In breve:
- SPF dice quali server possono inviare posta per il suo dominio.
- DKIM firma le email inviate: il destinatario capisce che nessuno le ha modificate lungo il percorso.
- DMARC stabilisce che cosa fare con un'email che non supera i controlli SPF e DKIM e invia i report al titolare del dominio.
- Dal 2024 Gmail e Yahoo, e dal maggio 2025 Outlook.com, chiedono SPF, DKIM e DMARC a chi invia oltre 5 000 email al giorno. Senza questi record le email finiscono più spesso nello spam.
Valori per i fornitori più diffusi
Il record SPF si compone di voci include: per ogni servizio che invia posta per il dominio. Questi sono i valori di alcuni fornitori usati in Italia, verificati nel DNS il 30 ottobre 2026:
| Posta presso | Voce SPF | DKIM |
|---|---|---|
| Google Workspace | include:_spf.google.com | da attivare nella console di amministrazione, selettore predefinito google |
| Microsoft 365 | include:spf.protection.outlook.com | due record CNAME, selector1 e selector2, da attivare in Microsoft Defender |
| Hostinger | include:_spf.mail.hostinger.com | record indicati nel pannello hPanel, sezione email |
| Aruba | include:_spf.aruba.it | da attivare nel pannello di gestione della posta |
Per gli altri hosting, come Register.it, Keliweb, Shellrent, VHosting, Ergonet o SiteGround, il valore corretto lo indica la guida dell'hosting o il pannello di gestione DNS. Molti lo inseriscono automaticamente quando il dominio usa i loro nameserver.
Record SPF passo per passo
Un record SPF tipico per un dominio con la posta su Google Workspace e le newsletter inviate da un servizio esterno:
v=spf1 include:_spf.google.com include:servizio-newsletter.example ~all
- v=spf1 all'inizio è obbligatorio.
- include: autorizza i server di un fornitore. Ne aggiunga uno per ogni servizio che invia posta con il suo dominio.
- ~all alla fine segna come sospetta la posta da altri server; -all la fa rifiutare. Non usi mai +all, che autorizza chiunque.
- Il record SPF deve essere uno solo e può fare al massimo 10 ricerche DNS (ogni include ne conta almeno una). Oltre, la verifica SPF fallisce.
DKIM: si attiva dal fornitore, non si scrive a mano
La chiave DKIM la genera il fornitore di posta. Lei copia nel DNS il record che le indica, di solito un TXT o un CNAME sul nome selettore._domainkey.tuodominio.it, e poi attiva la firma nel pannello del fornitore. Se usa più servizi, ognuno ha il suo selettore e i record convivono senza problemi.
DMARC: cominci con il monitoraggio
Il record DMARC è un TXT sul nome _dmarc.tuodominio.it. Il primo passo consigliato è una policy che solo osserva:
v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it
Con p=none la posta viene consegnata come prima, ma i grandi provider inviano all'indirizzo rua report giornalieri su chi spedisce email con il suo dominio. Dopo qualche settimana, quando nei report compaiono solo i suoi servizi, si passa a p=quarantine (la posta non autenticata va nello spam) e poi a p=reject (viene rifiutata). Un DMARC rigido rende molto più difficile il phishing a nome della sua azienda.
Dopo un cambio di hosting
Quando si spostano sito o posta, i record SPF e DKIM del vecchio fornitore spesso restano nel DNS mentre mancano quelli del nuovo. È la causa più comune delle email nello spam subito dopo un trasloco. Dopo il cambio di nameserver verifichi il dominio con lo strumento in alto. I prezzi degli hosting con posta inclusa sono nella classifica per costo in 3 anni; per scegliere il dominio c'è la pagina acquistare un dominio.