Guida
SPF, DKIM e DMARC: proteggere la posta elettronica di una PMI
SPF, DKIM e DMARC impediscono che vengano inviate false e-mail a Suo nome e aiutano i Suoi veri messaggi ad arrivare. Google, Yahoo e Microsoft li esigono già dai grandi mittenti. Ecco cosa fanno, in parole semplici, e come attivarli senza bloccare le Sue stesse fatture.
Aggiornato il 18 ottobre 2026 · Le cifre hanno la loro fonte in fondo alla pagina; le valutazioni sono quelle di IT CyberWall.
Perché La riguarda
Chiunque può inviare un’e-mail che sembra provenire dal Suo dominio: una falsa fattura ai Suoi clienti, un falso ordine di bonifico al Suo contabile. Tre impostazioni, pubblicate nel DNS del Suo nome di dominio, permettono ai servizi di posta dei Suoi destinatari di riconoscere i Suoi veri messaggi. Proteggono la Sua posta elettronica e la Sua reputazione, non i Suoi dati: non sono un backup.
SPF, DKIM e DMARC in parole semplici
| Impostazione | Cosa dice | Immagine |
|---|---|---|
| SPF | L’elenco dei server autorizzati a inviare messaggi a nome del Suo dominio[1]. | L’elenco dei postini autorizzati. |
| DKIM | Una firma digitale aggiunta a ogni messaggio, che collega il messaggio al Suo dominio[2]. | Il timbro dell’azienda sulla busta. |
| DMARC | La Sua istruzione ai destinatari quando un messaggio non supera i controlli (non fare nulla, spostarlo nella posta indesiderata, rifiutarlo) e l’invio di report[3]. | L’istruzione lasciata alla reception. |
L’ANSSI dedica a questi tre meccanismi una parte delle sue raccomandazioni sull’interconnessione di un sistema informativo a internet[4].
Cosa esigono Google, Yahoo e Microsoft
- Google, dal 1° febbraio 2024: SPF o DKIM per tutti i mittenti; SPF, DKIM e DMARC per chi invia più di 5 000 messaggi al giorno verso Gmail[5].
- Yahoo: SPF o DKIM per tutti; SPF, DKIM e DMARC per gli invii massivi[6].
- Microsoft Outlook.com, dal 5 maggio 2025: SPF, DKIM e DMARC per i domini che inviano più di 5 000 messaggi al giorno; in caso contrario, i messaggi finiscono nella posta indesiderata, poi vengono rifiutati[7].
Anche una PMI che invia pochi messaggi ha interesse a pubblicarli tutti e tre: le sue fatture e i suoi preventivi arrivano meglio, e il suo nome è più difficile da usurpare.
L’attivazione, passo dopo passo
- Censire tutto ciò che invia messaggi a Suo nome: posta elettronica, software di fatturazione, CRM, sito web, strumento di e-mailing, stampante che invia scansioni.
- Pubblicare un SPF che elenchi questi mittenti, senza dimenticarne nessuno.
- Attivare DKIM per ogni servizio che lo consente.
- Pubblicare un DMARC in osservazione (policy « none ») e ricevere i report.
- Leggere i report per alcune settimane: rivelano i mittenti dimenticati e le usurpazioni.
- Inasprire gradualmente: spostamento nella posta indesiderata (« quarantine »), poi rifiuto (« reject »), che Microsoft raccomanda[7].
Cosa fa IT CyberWall
Facciamo l’inventario dei Suoi mittenti, pubblichiamo e testiamo i record SPF, DKIM e DMARC, leggiamo i report con Lei e inaspriamo la policy quando non comporta rischi. È un intervento breve, che si integra nei nostri servizi di cybersicurezza.
Le Sue e-mail finiscono nella posta indesiderata, o il Suo nome viene usurpato?
Verifichiamo i Suoi record e attiviamo SPF, DKIM e DMARC.
Fonti
Fonti consultate il 18 ottobre 2026. Le tariffe dei fornitori sono indicate IVA esclusa, nella valuta e nella regione del listino pubblicato, e possono cambiare: verifichi sempre la pagina ufficiale prima di decidere.
- IETF – RFC 7208, Sender Policy Framework (SPF), aprile 2014 — www.rfc-editor.org/rfc/rfc7208
- IETF – RFC 6376, DomainKeys Identified Mail (DKIM) Signatures, settembre 2011 — www.rfc-editor.org/rfc/rfc6376
- IETF – RFC 9989, DMARC (maggio 2026, sostituisce la RFC 7489) — www.rfc-editor.org/rfc/rfc9989
- ANSSI – Recommandations relatives à l’interconnexion d’un système d’information à internet, v3.0 (19 giugno 2020), § 5.4 — messervices.cyber.gouv.fr/guides/recommandations-relatives-linterconnexion-dun-si-internet
- Google – Consignes pour les expéditeurs de messages — support.google.com/a/answer/81126?hl=fr
- Yahoo – Sender Best Practices — senders.yahooinc.com/best-practices/
- Microsoft – Outlook.com Policies, Practices, and Guidelines — substrate.office.com/ip-domain-management-snds/Postmaster/Policies