Configurare SPF, DKIM e DMARC con Aruba, Register.it, Google Workspace e Microsoft 365

SPF, DKIM e DMARC: cosa sono e perché dipendono dal provider

SPF, DKIM e DMARC sono tre record DNS con cui un dominio dichiara chi può spedire posta a suo nome. L’SPF (RFC 7208) elenca i server autorizzati, il DKIM (RFC 6376) aggiunge a ogni messaggio una firma verificabile con una chiave pubblicata nel DNS, il DMARC (RFC 9989 del maggio 2026) dice ai destinatari cosa fare quando i primi due controlli falliscono o non corrispondono al mittente visibile.

I record stanno nel DNS del tuo dominio, ma i valori li decide chi spedisce davvero la posta. Se la casella è su Microsoft 365 e il dominio è registrato con Aruba, l’SPF deve autorizzare i server di Microsoft, non quelli di Aruba. Per questo il primo passo è sapere quale servizio invia la posta, non dove hai comprato il dominio.

Dal 1° febbraio 2024 chi invia più di 5.000 messaggi al giorno verso Gmail deve avere SPF, DKIM e un record DMARC, anche solo con policy none. Anche con volumi più bassi, la configurazione completa riduce il rischio che la posta finisca nello spam, come spiega la guida sulle email nello spam.

Come configurare SPF, DKIM e DMARC per il tuo dominio

1. Elenca tutti i servizi che inviano posta con il tuo dominio: casella aziendale, sito, gestionale, newsletter.
2. Pubblica un solo record TXT SPF sul dominio, con un include per ogni servizio, usando i valori della tabella di questa guida.
3. Attiva il DKIM nel pannello di ciascun servizio e pubblica i record che ti indica, se il DNS non è gestito dal provider stesso.
4. Pubblica il record DMARC su _dmarc. del dominio, partendo da p=none con un indirizzo per i report.
5. Controlla tutto con la verifica SPF, DKIM e DMARC e invia un messaggio di prova a una casella Gmail.

I valori ufficiali per Aruba, Register.it, Google e Microsoft

La tabella riporta i valori indicati nelle guide ufficiali dei quattro provider, consultate il 5 ottobre 2026. Se usi un piano o un servizio diverso, controlla la pagina del tuo fornitore.

La parte finale del record decide come trattare i server non elencati. Con -all (fail) il dominio dichiara che non possono spedire per lui, con ~all (softfail) li segnala come sospetti senza chiederne il rifiuto. Microsoft consiglia -all, Google e Register.it indicano ~all. Con DMARC attivo la differenza pesa meno, perché la decisione finale la prende la policy DMARC.

Aruba e Register.it: posta e DNS dallo stesso provider

Quando posta e DNS sono sullo stesso provider italiano, parte della configurazione è già fatta. Controlla comunque che i record siano pubblicati davvero.

Aruba. La guida ufficiale indica come record SPF v=spf1 include:_spf.aruba.it -all, modificabile dal pannello di gestione DNS. Per i domini creati da febbraio 2024 Aruba genera una firma DKIM allineata con selettore a1: il record si trova su a1._domainkey. seguito dal tuo dominio. Per i domini precedenti la guida spiega come personalizzare la firma con un record TXT. Il DMARC si gestisce dal pannello DNS o con un record TXT su _dmarc.

Register.it. Per la posta inviata da SMTP, webmail e hosting Register il valore indicato è v=spf1 include:spf.webapps.net ~all. Il dominio nell’include non contiene il nome Register.it, ma il valore è quello ufficiale. Il DKIM si attiva dal pannello: icona Email, pulsante “Azioni”, voce “DKIM”, interruttore su ON. Register.it ricorda che queste impostazioni coprono solo la posta che passa dai suoi server: per un provider esterno serve il suo SPF.

Alcune guide dei provider riportano ancora esempi DMARC con il tag pct, per esempio pct=98. La RFC 9989 lo ha eliminato. Un server destinatario che segue il nuovo standard lo tratta come tag sconosciuto e lo ignora: nei record nuovi lascialo fuori.

Google Workspace

Per Google Workspace la guida di Google indica come SPF v=spf1 include:_spf.google.com ~all. Se il dominio invia posta anche da altri servizi, aggiungili nello stesso record.

Il DKIM non è attivo finché non lo configuri. La chiave si genera nella Console di amministrazione, nelle impostazioni di autenticazione email di Gmail: Google indica come selettore predefinito google e consiglia una chiave a 2048 bit, usando 1024 bit solo se il pannello DNS non accetta record lunghi. Pubblica il record TXT su google._domainkey, attendi che il DNS lo mostri, poi torna nella Console e avvia l’autenticazione. Senza quest’ultimo passaggio Gmail continua a firmare con un dominio di Google, non allineato al tuo.

Microsoft 365

Per Microsoft 365 la documentazione ufficiale indica v=spf1 include:spf.protection.outlook.com -all e consiglia esplicitamente il -all.

Il DKIM funziona con due record CNAME, selector1._domainkey e selector2._domainkey, che puntano a chiavi gestite da Microsoft: così Microsoft può ruotare le chiavi senza che tu tocchi il DNS. I valori esatti li mostra il portale Microsoft Defender per il tuo dominio. Da maggio 2025 i nuovi domini usano destinazioni che terminano in dkim.mail.microsoft, mentre quelli configurati prima mantengono il formato su onmicrosoft.com: copia i valori dal portale, non da esempi trovati online. La chiave predefinita è a 1024 bit, ma puoi passare a 2048.

DMARC e domini che usano più servizi

Il record DMARC è uguale per tutti i provider: un TXT su _dmarc. del dominio. Un punto di partenza sicuro è v=DMARC1; p=none; rua=mailto:dmarc@example.com, che non blocca nulla e ti fa ricevere i report aggregati. Dopo qualche settimana, quando nei report tutti i servizi legittimi risultano allineati, passa a p=quarantine e poi a p=reject. La RFC 9989 ha sostituito il vecchio pct con il tag t=y, che segnala una policy in prova.

Se il dominio spedisce da più servizi, gli include vanno in un unico record. Due record SPF sullo stesso nome danno errore permanente (permerror), come stabilisce la RFC 7208. Esempio per una casella Google Workspace e i moduli del sito ospitato su Aruba:

v=spf1 include:_spf.google.com include:_spf.aruba.it ~all

Ogni include pesa sul limite di 10 interrogazioni DNS fissato dalla RFC 7208, compresi quelli annidati dentro gli include dei provider. Oltre quel limite l’SPF va in errore per tutti i messaggi. Il generatore di record SPF, DKIM e DMARC compone il record, la verifica conta le interrogazioni e segnala i duplicati. Per controllare il TXT pubblicato c’è anche il DNS lookup. Un record appena modificato diventa visibile solo dopo la scadenza del TTL.