Guida

Perché le tue email finiscono nello spam, e come risolvere con tre record DNS

Le email inviate dal tuo dominio hanno bisogno di SPF, DKIM e DMARC perché i destinatari si fidino. Come leggere il risultato in Gmail, cosa fa ogni record e come configurarli passo per passo.

Ultimo aggiornamento: 17 ottobre 2026

La risposta breve

Le email inviate dal tuo dominio hanno bisogno di tre record DNS perché i server di ricezione si fidino. SPF indica chi può inviare per il tuo dominio. DKIM aggiunge una firma che mostra che il messaggio non è stato modificato lungo il percorso. DMARC dice cosa fare quando questi controlli falliscono e ti manda dei report. Gmail e Yahoo li richiedono entrambi, e un record mancante o sbagliato è una causa frequente di messaggi filtrati o rifiutati. Puoi vedere il risultato da solo in una decina di minuti: manda un test a un indirizzo Gmail, apri «Mostra originale» e leggi le righe SPF, DKIM e DMARC.

In questa guida

Per chi è questa guida

Invii email dal tuo dominio: notifiche del modulo di contatto, fatture, una newsletter o una casella presso un provider di hosting o Microsoft 365. Una parte finisce nello spam, torna indietro con un errore, oppure qualcuno ti dice di aver ricevuto un messaggio «da te» che non hai mai inviato. Questa guida mostra come leggere ciò che vede chi riceve e come correggere le cause più comuni.

Per fare il controllo non serve essere tecnici. Per modificare i record DNS può servire chi gestisce il tuo dominio.

Cosa fanno i tre record

SPF è un elenco, pubblicato nel tuo DNS, dei server e dei servizi autorizzati a inviare posta per il tuo dominio.
DKIM è una firma digitale. Il tuo servizio di invio firma ogni messaggio e pubblica la chiave corrispondente nel tuo DNS, così il destinatario può verificare che il messaggio venga da quel dominio e non sia stato modificato.
DMARC dice ai destinatari cosa fare quando SPF e DKIM non corrispondono all’indirizzo nella riga «Da» (niente, quarantena o rifiuto) e dove mandare i report. Perché DMARC passi, il dominio che ha superato SPF o DKIM deve essere allineato con il dominio nella riga «Da».

Gmail chiede a ogni mittente di avere SPF o DKIM. Chi invia grandi volumi (Gmail indica circa 5000 messaggi al giorno) deve avere SPF, DKIM e DMARC, ed è consentita una policy DMARC none. Yahoo chiede lo stesso, consiglia un indirizzo per i report e una chiave DKIM di almeno 1024 bit (requisiti Gmail per i mittenti, buone pratiche Yahoo).

Come capire quale causa vale per te

Invia un messaggio di prova dall’indirizzo che usi a un indirizzo Gmail tuo.
Aprilo, scegli i tre puntini e Mostra originale. In alto vedi SPF, DKIM e DMARC, ciascuno con PASS o FAIL.
SPF fallisce: il servizio che ha inviato il messaggio manca nel tuo record SPF, oppure il tuo dominio ha più di un record SPF. Lo standard ammette un solo record SPF per dominio (RFC 7208) e un controllo SPF può causare al massimo 10 interrogazioni DNS, quindi anche una lunga catena di voci «include» può fallire.
DKIM fallisce: la chiave di firma non è mai stata aggiunta al tuo DNS, oppure è stata aggiunta per un dominio diverso da quello nella riga «Da».
DMARC manca o non è allineato: non esiste un record DMARC, oppure il dominio «Da» è diverso da quello che ha superato SPF o DKIM. È tipico quando uno strumento di moduli o di fatturazione invia a tuo nome senza essere configurato per il tuo dominio.
Se Gmail rifiuta un messaggio, il testo di ritorno contiene un codice che indica la causa: 4.7.27 SPF, 4.7.30 DKIM, 4.7.31 nessun DMARC, 4.7.32 non allineato.

La soluzione, passo per passo

Elenca tutti i servizi che inviano posta con il tuo dominio. Provider di posta, modulo del sito, fatturazione, newsletter, strumento di prenotazione, assistenza. Chiedi al tuo team da dove invia.
SPF. Pubblica un solo record TXT per il dominio che includa ogni servizio del tuo elenco. Ogni servizio documenta la voce esatta da aggiungere.
DKIM. In ogni servizio attiva la firma per il tuo dominio e aggiungi al tuo DNS la chiave che ti dà.
DMARC. Inizia con v=DMARC1; p=none; rua=mailto:report@tuo-dominio come record TXT su _dmarc.tuo-dominio. Non cambia nulla nella consegna, ricevi solo dei report.
Leggi i report per due-quattro settimane. Mostrano chi invia posta con il tuo dominio. Correggi ogni mittente legittimo che fallisce e annota quelli che non riconosci.
Stringi gradualmente. Quando la posta legittima passa, passa da none a quarantine e più avanti a reject, se vuoi bloccare i messaggi falsificati. Fallo solo quando i report sono puliti.
Rifai il test dopo ogni modifica e rileggi le tre righe.

Usa una casella dedicata ai report, non la tua posta in arrivo. Arrivano come tanti file leggibili da macchina.

Un controllo in dieci minuti

Manda un test a un indirizzo Gmail e apri Mostra originale.
SPF, DKIM e DMARC dicono tutti PASS?
C’è esattamente un record SPF sul tuo dominio?
Ogni servizio che invia a tuo nome compare nel tuo elenco?
Esiste un record DMARC con un indirizzo per i report che leggi davvero?

Quando chiedere aiuto

Fatti aiutare se:

più servizi inviano con il tuo dominio e i record si contraddicono
i report mostrano mittenti che non riconosci
vuoi passare a una policy più rigida senza perdere posta legittima
hai spostato la posta tra provider e ora i messaggi spariscono

Guardiamo i tuoi record con te in una videochiamata gratuita di 30 minuti e ti diciamo cosa cambiare: prenota una chiamata.