DMARC, SPF e DKIM: cosa controllare per far arrivare le email commerciali

Cosa sono SPF, DKIM e DMARC?

Sono tre impostazioni DNS del dominio da cui parte la posta. L’SPF elenca i server autorizzati a inviare email a nome del dominio. Il DKIM aggiunge a ogni messaggio una firma digitale, che il destinatario verifica con una chiave pubblicata nel DNS. Il DMARC lega i due controlli al dominio che compare nel campo “Da” e indica al provider cosa fare dei messaggi che non li superano; può anche fornire report su chi invia a nome del dominio.

In pratica: SPF risponde a “questo server può scrivere per questo dominio?”, DKIM a “il messaggio è stato alterato?”, DMARC a “cosa si fa se qualcosa non torna?”. Sono definizioni generali: la configurazione esatta dipende dal fornitore di posta e dagli strumenti di invio che usi.

Quali requisiti chiede Google ai mittenti di email?

La pagina ufficiale di Google sui requisiti per i mittenti indica che, dal 1° febbraio 2024, chi scrive a indirizzi @gmail.com o @googlemail.com deve rispettare alcune regole. Per tutti i mittenti: configurare SPF o DKIM, usare una connessione TLS, avere record DNS validi per i domini o gli IP di invio e mantenere il tasso di spam, misurato in Postmaster Tools, sotto lo 0,3%.

Per chi supera i 5.000 messaggi al giorno servono SPF e DKIM, più DMARC sul dominio di invio (la policy può essere impostata su “none”), l’allineamento del dominio del campo “Da” con quello di SPF o DKIM e, per messaggi di marketing e per gli iscritti, la cancellazione con un clic con un link ben visibile nel corpo. Google raccomanda inoltre chiavi DKIM di almeno 1.024 bit, meglio 2.048 se il fornitore lo consente. Verifica sempre la pagina originale: i requisiti possono cambiare e ogni provider ha le proprie regole.

Perché contano per sequenze email e cold email?

Una sequenza commerciale vale solo se i messaggi arrivano in posta in arrivo. Per un’email di vendita costruita come sequenza, un dominio non autenticato può far finire nello spam anche il testo migliore, e il CRM segnerà come “inviati” messaggi che nessuno legge.

Il tema pesa ancora di più per la cold email B2B: scrivi a persone che non ti conoscono, quindi le segnalazioni di spam sono più probabili e la reputazione del dominio si consuma in fretta. Autenticazione e rispetto di consenso, informativa e opposizione vanno insieme: la prima aiuta la consegna, i secondi la correttezza del trattamento dei dati. Nessuna configurazione tecnica garantisce risposte o vendite.

Come controllare il tuo dominio prima di inviare?

Un percorso ordinato, valido per qualsiasi strumento di invio, può essere questo:

• chiedere al fornitore di posta e allo strumento di invio quali record SPF e DKIM vanno pubblicati nel DNS;
• verificare che il dominio nel campo “Da” sia lo stesso, o sia allineato, a quello autenticato;
• pubblicare un record DMARC, partendo da una policy di sola osservazione (“none”) e leggendo i report prima di renderla più severa;
• inviare un messaggio di prova a caselle diverse e controllare le intestazioni, dove il provider indica l’esito dei controlli;
• per messaggi di marketing, inserire il link di cancellazione ben visibile e le intestazioni per la cancellazione con un clic.

Per sequenze di lead nurturing o di email marketing B2B, conviene separare la posta commerciale da quella ordinaria: un problema di reputazione sulle campagne non dovrebbe toccare le email dello studio o dell’amministrazione.

Quanto costa e quanto tempo richiede la configurazione?

Non indico cifre: la pagina di Google non riporta costi e non ho altre fonti ufficiali che li rendano verificabili. Le voci da considerare sono il tempo di chi gestisce il dominio e il DNS (spesso il fornitore del sito o dell’hosting), l’eventuale piano a pagamento dello strumento di invio, il monitoraggio dei report DMARC e il tempo per correggere i mittenti che risultano non allineati. I tempi dipendono da quanti sistemi inviano a nome del dominio (gestionale, CRM, newsletter, fatturazione) e da quanto è ordinata la configurazione di partenza. Va definito prima di avviare una sequenza, non dopo il primo invio.

Quali errori evitare?

Il primo errore è configurare un solo sistema e dimenticare gli altri che inviano a nome del dominio: CRM, newsletter e programmi di fatturazione possono fallire i controlli senza che tu lo sappia. Il secondo è passare subito a una policy DMARC severa senza leggere i report, rischiando di bloccare email legittime. Il terzo è considerare l’autenticazione una soluzione completa: liste di cui non conosci l’origine, oggetti ingannevoli e invii massivi restano motivi di segnalazione e di cattiva reputazione. Il quarto è ignorare la cancellazione facile: nei messaggi di marketing è richiesta da Google per i grandi mittenti ed è una buona pratica per tutti. Dopo un invio, un follow-up del preventivo mai letto spesso dipende proprio da questi dettagli.

Domande frequenti

SPF, DKIM e DMARC sono obbligatori?

Dipende dal provider del destinatario e dal volume. Secondo Google, per scrivere a Gmail servono almeno SPF o DKIM; sopra i 5.000 messaggi al giorno servono tutti e tre. Altri provider hanno regole proprie da verificare.

Posso partire con DMARC senza bloccare le email?

Sì: Google indica che la policy di applicazione può essere impostata su “none”. È una scelta di osservazione, utile per leggere i report prima di una policy più severa.

Bastano questi controlli per non finire nello spam?

No. Sono una condizione necessaria, non sufficiente. Contano anche reputazione del dominio, qualità e origine della lista, tasso di segnalazioni (Google indica di restare sotto lo 0,3%) e contenuto del messaggio.

Fonti e approfondimenti

• Google — Linee guida per i mittenti di email: requisiti per SPF, DKIM, DMARC, tasso di spam e cancellazione con un clic. Verificata il 29/10/2026.

Come applicarlo nella tua PMI?

Se vuoi che sequenze, risposte e stato dei contatti nel CRM lavorino su email che arrivano davvero, vedi la pagina su vendita sequenziale ed email marketing di Alex Cappello.