Perché le Email Aziendali Finiscono nello Spam (e Come SPF, DKIM e DMARC Risolvono il Problema)

Premi invio su un sollecito di fattura, un preventivo o la tua newsletter mensile — e il tuo cliente non la vede mai. Nessun rimbalzo, nessun errore, solo silenzio. È finita nello spam.

Se ti suona familiare, non sei solo. Gmail, Yahoo e Outlook ora rifiutano o mettono nella cartella spam la posta proveniente da domini che non hanno configurato tre record DNS: SPF, DKIM e DMARC. Da febbraio 2024, i mittenti di massa (circa 5.000 o più messaggi al giorno verso account Gmail) devono autenticarsi con tutti e tre, offrire l'annullamento dell'iscrizione con un clic e mantenere i reclami di spam sotto lo 0,3%. L'applicazione è stata intensificata durante il 2025, e nel 2026 anche i mittenti aziendali a basso volume ne sentono l'impatto: senza autenticazione, i tuoi preventivi, le fatture e le conferme di appuntamento hanno molte più probabilità di essere segnalati.

La buona notizia: sistemare tutto richiede circa un'ora, non costa nulla e migliora permanentemente la consegna. Ecco cosa fa ciascun record, come configurarli e gli errori che tengono le piccole imprese nella cartella spam.

Cosa Fanno Realmente SPF, DKIM e DMARC​

Pensa a questi tre record come a controlli di identità per la tua email. Ognuno risponde a una domanda diversa che il server ricevente pone prima di consegnare il tuo messaggio.

SPF: quali server possono inviare per conto del tuo dominio​

SPF (Sender Policy Framework) è un record TXT nel DNS del tuo dominio che elenca ogni server autorizzato a inviare posta a tuo nome. Quando Gmail riceve un messaggio che dichiara di provenire da [email protected], cerca il tuo record SPF e verifica se l'indirizzo IP del server mittente è nell'elenco.

Esempio di record SPF per un'azienda che utilizza Google Workspace più uno strumento di fatturazione:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• v=spf1 identifica il record come SPF.
• Ogni include: autorizza i server di un fornitore.
• ~all (soft fail) dice ai riceventi di trattare con sospetto i server non elencati; -all (hard fail) dice loro di rifiutarli del tutto.

SPF da solo non basta, perché valida solo il mittente dell'involucro (il Return-Path nascosto), non l'indirizzo che il tuo cliente vede nel campo Da. L'inoltro rompe anche SPF. Ecco perché serve anche DKIM.

DKIM: una firma a prova di manomissione su ogni messaggio​

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica alle intestazioni di ogni messaggio in uscita. Il tuo fornitore di invio detiene una chiave privata; tu pubblichi la chiave pubblica corrispondente come record DNS TXT. Il server ricevente verifica la firma per confermare che il messaggio provenga davvero dal tuo dominio e non sia stato alterato durante il transito.

A differenza di SPF, DKIM sopravvive all'inoltro, il che lo rende il segnale più duraturo dei due. Google richiede ai mittenti di massa di avere sia SPF che DKIM validi, con almeno uno di essi allineato al dominio del campo Da.

La configurazione di DKIM di solito comporta:

1. Attivare la firma DKIM nel tuo fornitore (Google Workspace, Microsoft 365, Mailchimp e strumenti simili hanno tutti un passaggio di abilitazione con un clic).
2. Copiare il record TXT che ti viene fornito (un selettore più una lunga chiave pubblica) nel tuo DNS.
3. Attendere la propagazione, quindi verificare nel pannello del fornitore.

DMARC: la tua policy su cosa fare quando i controlli falliscono​

DMARC (Domain-based Message Authentication, Reporting, and Conformance) collega SPF e DKIM. È un record TXT in _dmarc.tuodominio.com che dice ai server riceventi cosa fare quando un messaggio che dichiara di provenire da te fallisce l'autenticazione — e dove inviarti i report a riguardo.

Un record DMARC iniziale in modalità monitoraggio:

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100;

• p=none significa non intraprendere ancora alcuna azione, invia solo i report. Inizia da qui.
• rua= è dove vanno i report aggregati. Usa una casella di posta che controlli davvero.
• Una volta che la posta legittima passa in modo costante, passa a p=quarantine (invio dei fallimenti allo spam), poi a p=reject (bloccali). Questa progressione è ciò che impedisce agli spammer di impersonare il tuo dominio.

DMARC richiede anche l'allineamento: il dominio nell'intestazione Da deve corrispondere al dominio che ha superato SPF o DKIM. Questo è il passaggio che molte aziende dimenticano — SPF e DKIM possono entrambi mostrare "pass" mentre DMARC fallisce ancora perché i domini non coincidono.

Le Regole Gmail e Yahoo che Devi Rispettare​

Anche se non invii mai 5.000 messaggi al giorno, trattale come la tua base di partenza. Gmail conta tutta la posta proveniente dallo stesso dominio primario (incluse le sottodomini) verso la soglia di massa, lo stato di mittente di massa non scade mai una volta assegnato e ogni mittente — di massa o meno — deve autenticarsi.

Ecco la lista di controllo pratica per il 2026:

• Autenticati con SPF o DKIM come minimo; entrambi se invii in massa. I mittenti di massa necessitano di SPF e DKIM più un record DMARC pubblicato (almeno p=none) con allineamento del dominio Da.
• Mantieni i reclami di spam sotto lo 0,3%. Google Postmaster Tools mostra la tua percentuale; tassi sostenuti superiori allo 0,3% attivano il filtraggio. Cerca di rimanere ben sotto lo 0,1%.
• Rendi facile l'annullamento dell'iscrizione per la posta di marketing. Includi un'intestazione List-Unsubscribe visibile che supporti l'annullamento con un clic e onora le richieste entro due giorni.
• Usa DNS diretti e inversi validi e un dominio Da coerente. Non inviare posta aziendale da indirizzi di caselle di posta gratuite o con nomi Da in continuo cambiamento.
• Non impersonare le intestazioni Gmail o acquistare liste. La posta non richiesta genera i reclami che affondano più velocemente la tua reputazione.

Yahoo e Outlook applicano sostanzialmente lo stesso insieme di regole, quindi una configurazione corretta copre tutti e tre.

Configurare Tutto in Circa un'Ora​

Non devi essere tecnico per fare questo — ti serve solo l'accesso al tuo host DNS (dove hai comprato il dominio o dove puntano i tuoi nameserver) e l'accesso da amministratore al tuo fornitore di posta.

Passaggio 1: Inventario di chi invia posta a tuo nome​

Elenca ogni servizio che invia email usando il tuo dominio: il tuo fornitore di caselle di posta, il modulo di contatto del tuo sito web, il tuo sistema di fatturazione o prenotazione, il tuo strumento di newsletter, il tuo CRM. Ognuno di essi deve essere in SPF o coperto dalla propria firma DKIM. Se ne salti uno, la sua posta inizia a fallire.

Passaggio 2: Pubblica SPF senza superare il limite dei 10 lookup​

SPF ha un limite rigido di 10 lookup DNS. Ogni include: può innescarne diversi, e accumulare fornitori (caselle di posta + marketing + helpdesk + fatturazione) può spingerti silenziosamente oltre — a quel punto SPF restituisce un errore e i riceventi lo trattano come un fallimento.

• Parti dal record raccomandato dal tuo fornitore; non unire frammenti casuali da post di blog.
• Mantieni tutte le fonti di invio in un unico record TXT SPF nel dominio radice. Più record SPF invalidano tutti.
• Se sei vicino al limite, chiedi ai fornitori include appiattiti o rimuovi i servizi che non usi più.
• Valida con un controllo SPF gratuito prima di procedere.

Configurazione SPF comune:

Passaggio 3: Abilita DKIM ovunque invii​

Attiva la firma DKIM in ogni piattaforma di invio e pubblica ogni record selettore che ti fornisce. Un dominio spesso finisce con diversi selettori DKIM (uno per fornitore) — è normale. Verifica che ciascuno risulti attivo nella console del fornitore e invia un test a un indirizzo Gmail per confermare che l'intestazione Authentication-Results mostri dkim=pass.

Ruota le chiavi quando il tuo fornitore lo richiede; le rotazioni rotte si manifestano come un decadimento graduale della consegna, quindi conferma che la nuova chiave sia valida prima di rimuovere quella vecchia.

Passaggio 4: Pubblica DMARC in modalità monitoraggio, poi applica​

1. Pubblica _dmarc con p=none e un indirizzo rua=.
2. Osserva i report aggregati per due o quattro settimane. I lettori di report DMARC gratuiti trasformano l'XML in tabelle leggibili che mostrano quali server passano e quali falliscono.
3. Correggi ogni fonte legittima che fallisce (di solito una firma DKIM mancante o una mancata corrispondenza di allineamento).
4. Passa a p=quarantine, osserva un altro ciclo, poi passa a p=reject.

Passare direttamente a p=reject il primo giorno è l'interruzione auto-inflitta più comune in tutto questo processo — fatture e ricevute legittime vengono bloccate perché un mittente trascurato non è mai stato autenticato.

7 Errori che Tengono le Piccole Imprese nello Spam​

1. Nessun SPF, DKIM o DMARC. È ancora il riscontro più comune sui domini delle piccole imprese. Controlla il tuo con qualsiasi tester di autenticazione gratuito prima di presumere che il tuo fornitore "ci abbia pensato".
2. Due record SPF. Il DNS ne consente solo uno. Unisci tutto in un unico record TXT che inizia con v=spf1.
3. SPF oltre il limite di lookup. Troppi include significano errori SPF. Fai una verifica annuale e rimuovi i fornitori non più attivi.
4. DKIM abilitato nell'app ma mai pubblicato nel DNS. L'interruttore di firma senza il record TXT non fa nulla.
5. DMARC che fallisce sull'allineamento. SPF o DKIM passa ma sotto un dominio diverso dal tuo indirizzo Da — comune quando le newsletter inviano dal dominio di un fornitore invece che dal tuo. Configura un dominio di invio personalizzato così l'allineamento passa.
6. Nessuno legge i report DMARC. La casella rua= si riempie, gli avvisi su un nuovo strumento che fallisce passano inosservati e il problema emerge solo quando i clienti si lamentano.
7. L'igiene delle liste e i contenuti annullano una buona autenticazione. Liste acquistate, nessun link di annullamento iscrizione, oggetti fuorvianti ed email solo immagini generano i reclami che affondano la reputazione anche con un DNS perfetto.

Come Capire che Ha Funzionato​

• Invia email di test a indirizzi Gmail, Yahoo e Outlook (incluso un account nuovo che non ha mai interagito con te) e conferma la consegna in posta in arrivo, non nello spam.
• Ispeziona le intestazioni. In Gmail, apri il messaggio, scegli Mostra originale e conferma spf=pass, dkim=pass e dmarc=pass con il tuo dominio allineato.
• Registrati su Google Postmaster Tools. Aggiungi il tuo dominio, verifica la proprietà e osserva il tasso di spam, i tassi di autenticazione e la reputazione nelle settimane successive.
• Traccia metriche reali. Confronta tassi di apertura, tassi di risposta e — soprattutto — i reclami dei clienti "non ho mai ricevuto la tua fattura" prima e dopo il cambiamento.

Cosa C'entra Questo con i Tuoi Libri Contabili​

La consegna delle email è un problema di flusso di cassa travestito da attività IT. Quando le fatture finiscono nello spam, i clienti pagano in ritardo senza colpa loro, i tuoi giorni di vendita non incassati crescono e sprechi ore a inseguire pagamenti mai visti. Lo stesso vale per i preventivi che non ricevono mai risposta e per le sequenze di sollecito di pagamento che vengono spedite nel vuoto.

Tratta i domini di invio autenticati come tratti la riconciliazione bancaria: un controllo noioso che mantiene i soldi in movimento. Registra quale fornitore invia cosa (fatture, ricevute, marketing) così ogni flusso rimane autenticato, e traccia i ritardi di pagamento rispetto alla data in cui il cliente ha effettivamente visto la fattura — non solo alla data in cui il tuo sistema l'ha inviata. Registri di consegna puliti rendono sia il tuo follow-up che i tuoi libri contabili più onesti.

Per ulteriori informazioni su come tenere sotto controllo i crediti, vedi le guide in /docs/ sui flussi di lavoro di fatturazione e le viste della dashboard in /fava/ che evidenziano a colpo d'occhio i saldi scaduti.

Semplifica la Tua Gestione Finanziaria​

Una volta che le tue fatture arrivano in modo affidabile nella posta in arrivo, assicurati che ciò che accade dopo sia altrettanto pulito: registri chiari di ciò che è stato fatturato, pagato e in sospeso. Beancount.io fornisce contabilità a testo semplice che ti dà completa trasparenza e controllo sui tuoi dati finanziari — nessuna scatola nera, nessun vincolo al fornitore. Inizia gratis e mantieni ogni dollaro tracciabile dalla fattura al registro.