La conversazione di solito inizia così: “abbiamo inviato la proposta lunedì, il cliente dice di non averla mai ricevuta”. Oppure: “la fattura è stata inviata, ma è finita nello spam, e ora il pagamento è in ritardo di tre settimane”.
Chi sente queste frasi tende a considerarle incidenti. Non lo sono. Nella stragrande maggioranza dei casi, sono il risultato prevedibile di una configurazione mancante. E la buona notizia è che il rimedio è rapido, economico e definitivo.
Questo articolo spiega, senza tecnicismi, cosa c’è dietro. Non dovrete configurare nulla. Dovrete sapere cosa chiedere.
Il problema che questi tre acronimi risolvono
L’e-mail è stata progettata negli anni Ottanta, su una rete in cui tutti si conoscevano. È nata quindi con una debolezza intrinseca: qualsiasi computer al mondo può inviare un messaggio dicendo “sono la vostra banca”, “sono il vostro fornitore” o “sono il direttore finanziario della vostra azienda”. Il protocollo non chiede credenziali. Accetta l’affermazione.
Per decenni, la risposta è stata il filtraggio. I sistemi riceventi hanno imparato a diffidare, ad analizzare gli schemi e a mandare nello spam tutto ciò che sembrava sospetto. L’effetto collaterale è noto a qualsiasi azienda: anche i messaggi legittimi finiscono nella rete.
SPF, DKIM e DMARC affrontano questo problema alla radice. Invece di indovinare di chi fidarsi, permettono a ogni organizzazione di dichiarare pubblicamente chi è autorizzato a inviare per suo conto, e permettono ai sistemi riceventi di verificare quella dichiarazione.
I tre, in parole semplici
Immaginate una lettera che arriva a una reception.
SPF è l’elenco di chi può inviare. L’azienda pubblica, in un record pubblico del proprio dominio, quali server sono autorizzati a inviare messaggi per suo conto. Quando arriva un messaggio, il sistema ricevente consulta l’elenco e verifica se il mittente vi compare. È l’equivalente di tenere alla reception un elenco dei corrieri autorizzati.
DKIM è il sigillo di ceralacca. Ogni messaggio inviato porta una firma crittografica che solo l’organizzazione può produrre. Il destinatario verifica la firma e apprende due cose: che il messaggio proviene davvero da chi dichiara di averlo inviato, e che nessuno lo ha manomesso lungo il percorso. È il sigillo sulla busta.
DMARC è l’istruzione su cosa fare quando qualcosa fallisce. Senza di esso, ogni sistema decide per conto proprio. Con esso, l’organizzazione dichiara esplicitamente: se un messaggio afferma di provenire da me e non supera i controlli, ignoratelo, mettetelo in quarantena o rifiutatelo. E, aspetto cruciale, DMARC restituisce dei report: diventa possibile vedere chi sta cercando di inviare messaggi a nome dell’azienda.
I tre funzionano insieme. Da solo, ciascuno risolve metà del problema.
Cosa è cambiato nel 2024 e nel 2025
Per anni è stata considerata una raccomandazione tecnica. Non più.
Nel febbraio 2024, Google e Yahoo hanno iniziato a richiedere SPF, DKIM e DMARC a chiunque invii più di cinquemila messaggi al giorno alle loro caselle di posta consumer, con un tasso di segnalazioni di spam inferiore allo 0,3% e un meccanismo di disiscrizione con un solo clic. Nel maggio 2025, Microsoft ha adottato requisiti equivalenti e ha iniziato a rifiutare i messaggi non conformi sui propri servizi consumer.
In termini gestionali: i maggiori operatori di posta elettronica al mondo hanno smesso di trattare l’autenticazione come una preferenza e hanno iniziato a trattarla come una condizione per la consegna. Un’organizzazione senza queste impostazioni non rischia solo la cartella spam. Rischia il rifiuto puro e semplice.
Quanto costa quando non viene fatto
Il danno raramente compare su una fattura, ed è per questo che passa inosservato.
| Sintomo | Costo reale |
|---|---|
| Proposte commerciali che finiscono nello spam | Trattative perse senza mai sapere perché |
| Fatture che non arrivano | Pagamenti in ritardo e tempo dell’amministrazione speso a reinviare |
| Clienti che chiedono “questa e-mail è davvero vostra?” | Ore di assistenza clienti, e sfiducia nel marchio |
| Terzi che usano il dominio per il phishing | Danno reputazionale, e una reputazione del dominio compromessa |
| Campagne con tassi di apertura estremamente bassi | Spesa in comunicazione senza ritorno |
L’ultimo punto merita particolare attenzione da parte di chi comunica regolarmente. Una newsletter con un tasso di apertura molto basso viene quasi sempre vista come un fallimento dei contenuti. Spesso è un fallimento di autenticazione: il messaggio non ha raggiunto la posta in arrivo principale, è finito nella cartella promozioni o spam, e nessuno l’ha visto per poterlo aprire.
Un passo in più: far comparire il marchio nella posta in arrivo
Quando tutti e tre sono configurati correttamente, si apre una possibilità in più: BIMI, che consente al logo dell’organizzazione di comparire accanto ai suoi messaggi nella posta in arrivo del destinatario.
Non è un dettaglio estetico. In un elenco di trenta messaggi in bianco e nero, quello con il logo si distingue prima ancora di essere letto. E funziona come segno di legittimità: i sistemi che supportano BIMI mostrano il logo solo ai mittenti con l’autenticazione in regola, il che rende la sua presenza una piccola garanzia che il messaggio è autentico.
Cosa chiedere a chi gestisce la vostra posta elettronica
Non dovete saperlo configurare. Dovete porre cinque domande, e pretendere risposte chiare:
- Il nostro dominio ha SPF, DKIM e DMARC configurati? Se la risposta è “credo di sì”, non li ha.
- Su quale policy è impostato il nostro DMARC? Le opzioni sono non fare nulla, mettere in quarantena o rifiutare. Molte organizzazioni restano per anni sulla prima, utile per osservare ma che non protegge.
- Chi riceve e legge i report DMARC? Sono loro a rivelare i tentativi di abuso del dominio. Senza qualcuno che li legga, il meccanismo funziona solo a metà.
- Tutti i servizi che inviano per nostro conto sono autorizzati? Piattaforme di newsletter, sistemi di fatturazione, CRM, negozi online. È qui che le sorprese saltano fuori quasi sempre.
- Chi si assume la responsabilità di questa configurazione, e la mantiene? I domini cambiano, i fornitori cambiano, arrivano nuovi servizi. Una configurazione corretta nel 2023 può essere incompleta oggi.
La conclusione, in due righe
Non è una questione tecnica che la direzione può delegare e dimenticare. È la differenza tra il fatto che le comunicazioni dell’organizzazione arrivino o no, e tra il fatto che il marchio venga usato per ingannare i clienti o no.
Configurarlo richiede ore. Non configurarlo costa affari ogni mese, e nessuno è in grado di quantificarlo.