SPF, DKIM e DMARC: perché le tue email finiscono in spam e come sistemarle

In breve: SPF dice quali server possono inviare posta per il tuo dominio, DKIM firma ogni messaggio e DMARC stabilisce cosa fare quando i controlli falliscono. Dal 1° febbraio 2024 Gmail richiede SPF o DKIM a tutti i mittenti e SPF, DKIM e DMARC a chi invia più di 5.000 messaggi al giorno verso caselle Gmail personali, con disiscrizione in un clic nei messaggi promozionali.

Due problemi di posta sembrano diversi e nascono nello stesso posto. Il primo: le email del negozio (conferme d'ordine, newsletter, risposte dell'assistenza) finiscono tra la posta indesiderata. Il secondo: qualcuno invia messaggi falsi che sembrano provenire dal tuo dominio. In entrambi i casi la risposta sta in tre record DNS: SPF, DKIM e DMARC.

Cosa fanno i tre record

SPF: chi può inviare

Il record SPF elenca i server e i servizi autorizzati a spedire posta per il tuo dominio: il tuo provider di posta, la piattaforma delle newsletter, il negozio che manda le conferme. Il server che riceve controlla se chi spedisce è nell'elenco. Il record deve includere tutti i mittenti reali: se ne dimentichi uno le sue email vengono scartate o declassate.

DKIM: la firma

Ogni messaggio parte con una firma digitale. La chiave pubblica sta nel DNS del tuo dominio. Chi riceve verifica la firma e controlla che il messaggio non sia stato modificato e provenga davvero da quel dominio. Ogni servizio che spedisce a tuo nome ha una sua chiave. Google indica come minimo 1024 bit e consiglia 2048 bit.

DMARC: la regola

DMARC lega i due controlli all'indirizzo che il destinatario vede (il campo «Da»). Dice cosa fare se i controlli falliscono. Ha tre livelli:

• none: nessuna azione. Serve a osservare con i rapporti.
• quarantine: i messaggi sospetti vanno in spam.
• reject: i messaggi sospetti vengono rifiutati.

Perché un messaggio superi DMARC il dominio autenticato da SPF o da DKIM deve essere allineato con quello del campo «Da»: identico oppure, con l'allineamento rilassato, un suo sottodominio.

Cosa chiede Gmail dal 2024

Dal 1° febbraio 2024 Google applica regole più severe. Quelle valide per tutti i mittenti verso Gmail:

• SPF o DKIM per il dominio di invio;
• record DNS diretti e inversi validi per domini e indirizzi IP;
• connessione cifrata TLS;
• un tasso di segnalazioni di spam inferiore allo 0,3% in Postmaster Tools. Google consiglia di restare sotto lo 0,10%.

Per chi invia più di 5.000 messaggi al giorno verso caselle Gmail personali (@gmail.com e @googlemail.com) si aggiungono:

• SPF e DKIM insieme a DMARC (può essere impostato su none);
• allineamento del dominio del campo «Da» con quello di SPF o DKIM;
• per i messaggi di marketing, disiscrizione con un clic (intestazioni List-Unsubscribe e List-Unsubscribe-Post) e un link visibile nel corpo del messaggio.

Anche una piccola azienda, per tutelare la reputazione del dominio, farebbe bene a rispettarli tutti.

Come si imposta

1. Elenca chi spedisce a nome del dominio: posta aziendale, newsletter, negozio, assistenza clienti, CRM, fatturazione.
2. Imposta SPF con tutti i mittenti reali. Il limite tecnico è di dieci richieste DNS: troppi servizi inclusi lo superano.
3. Attiva DKIM in ogni servizio e pubblica la chiave nel DNS.
4. Pubblica DMARC con p=none e un indirizzo dove ricevere i rapporti.
5. Leggi i rapporti per qualche settimana e correggi chi non supera i controlli.
6. Passa a quarantine e poi a reject quando tutti i mittenti legittimi sono a posto.

Errori frequenti

• Due record SPF sullo stesso dominio: ne serve uno solo.
• Servizio di newsletter che non firma con il tuo dominio.
• DMARC subito su reject senza aver osservato: si bloccano email legittime.
• Dimenticare i sottodomini o il dominio che usa il negozio per le conferme.
• Lista di indirizzi non curata: troppi indirizzi inesistenti o disinteressati alzano le segnalazioni di spam.

Come controllare

Invia un messaggio a un indirizzo Gmail e apri «Mostra originale»: accanto a SPF, DKIM e DMARC deve comparire «PASS». Esistono anche strumenti gratuiti che leggono i record del dominio e segnalano gli errori.

Approfondimenti: email per un negozio online · phishing aziendale · email marketing

Domande frequenti

Cos'è SPF?

Un record DNS che elenca i server autorizzati a inviare email a nome del tuo dominio. I server riceventi lo controllano per capire se il messaggio arriva da una fonte legittima.

Cos'è DKIM?

Una firma digitale aggiunta a ogni messaggio dal tuo servizio di posta. La chiave pubblica sta nel DNS e permette di verificare che il messaggio non sia stato alterato e provenga dal dominio dichiarato. Google indica come minimo chiavi a 1024 bit e consiglia 2048 bit.

Cos'è DMARC?

Un record che indica ai server riceventi come trattare i messaggi che non superano SPF o DKIM o non sono allineati al dominio visibile del mittente: ignorare, mettere in quarantena o rifiutare. Permette anche di ricevere rapporti sugli invii.

Quali sono i requisiti di Gmail dal 2024?

Dal 1° febbraio 2024 tutti i mittenti devono usare SPF o DKIM, avere record DNS inversi validi, connessione TLS e un tasso di spam sotto lo 0,3%. Chi invia più di 5.000 messaggi al giorno verso caselle Gmail personali (@gmail.com e @googlemail.com) deve usare SPF, DKIM e DMARC allineato e offrire la disiscrizione con un clic nei messaggi di marketing.