Verifica SPF, DKIM e DMARC di un dominio

Cosa sono SPF, DKIM e DMARC

SPF, DKIM e DMARC sono tre standard di autenticazione della posta che, pubblicati come record TXT nel DNS, permettono ai server di destinazione di capire se un’email che dichiara di arrivare dal tuo dominio è autentica.

SPF (RFC 7208) elenca i server autorizzati a spedire per il dominio. È un record TXT pubblicato sul dominio, con valore che inizia con v=spf1.
DKIM (RFC 6376) aggiunge a ogni messaggio una firma digitale. La chiave pubblica per verificarla è in un record TXT su selettore._domainkey.example.com.
DMARC collega i due controlli al dominio visibile nel campo Da: e dice ai destinatari cosa fare con i messaggi che non passano. Si trova in _dmarc.example.com. Lo standard attuale è la RFC 9989 del maggio 2026, che sostituisce la RFC 7489.

Come verificare SPF, DKIM e DMARC

Inserisci il dominio usato nell’indirizzo del mittente, per esempio example.com.
Per il DKIM indica anche il selettore: lo trovi nell’intestazione DKIM-Signature di un’email inviata, nel campo s=.
Avvia la verifica e leggi l’esito di ciascun record.
Correggi nel pannello DNS gli errori segnalati e ripeti il controllo dopo la scadenza del TTL.

Errori comuni nei record SPF, DKIM e DMARC

Problema	Effetto	Soluzione
Due o più record SPF	L’SPF dà errore permanente (permerror) e non vale	Unisci tutti i meccanismi in un solo record `v=spf1`
Più di 10 lookup DNS nell’SPF	Permerror: la RFC 7208 limita a 10 i meccanismi che richiedono query DNS (`include`, `a`, `mx`, `exists`, `redirect`)	Togli gli `include` dei servizi non più usati o sostituiscili con gli IP
SPF che termina con `+all`	Autorizza chiunque a spedire per il tuo dominio	Usa `~all` o `-all`
DKIM non trovato	Selettore sbagliato o chiave non pubblicata	Ricava il selettore da un’email inviata e controlla il record
Chiave DKIM da 1024 bit	Accettata, ma più debole	Se il provider lo consente, genera una chiave RSA da 2048 bit
DMARC assente	Nessuna protezione contro chi usa il tuo dominio nel campo Da:	Pubblica almeno `v=DMARC1; p=none; rua=mailto:…`
DMARC fermo su `p=none`	I messaggi falsi vengono comunque consegnati	Dopo aver letto i report, passa a `quarantine` e poi a `reject`

Requisiti di Gmail per chi invia email

Dal 1° febbraio 2024 Gmail chiede a chiunque invii posta verso account personali di autenticare il dominio con SPF o DKIM. Servono anche DNS diretto e inverso validi per l’IP di invio, una connessione TLS e un tasso di segnalazioni come spam sotto lo 0,3%. Chi invia più di 5.000 messaggi al giorno deve avere SPF e DKIM insieme, un record DMARC (anche con p=none), l’allineamento del dominio nel campo Da: con quello di SPF o DKIM e la disiscrizione con un clic nei messaggi promozionali.

Se il record manca o va riscritto, usa il generatore di record SPF, DKIM e DMARC. Se l’autenticazione è a posto ma la posta viene rifiutata, fai il controllo blacklist dell’IP del server di posta.

Domande frequenti

Come verifico se il mio dominio ha SPF, DKIM e DMARC?

Questo strumento legge il record SPF, il record DMARC su _dmarc e, se indichi il selettore, la chiave DKIM. Un altro metodo è inviare un’email a un account Gmail e aprire “Mostra originale”: Gmail riporta l’esito PASS o FAIL di SPF, DKIM e DMARC per quel messaggio.

Dove trovo il selettore DKIM?

Il selettore DKIM si trova nell’intestazione DKIM-Signature di un’email inviata dal dominio, nel parametro s=. Per esempio s=google per Google Workspace o s=selector1 per Microsoft 365. Un dominio può avere più selettori, uno per ogni servizio che invia posta, come newsletter o gestionali.

Cosa succede se l’SPF supera i 10 lookup?

Se l’SPF richiede più di 10 query DNS, il controllo restituisce un errore permanente (permerror) e molti server lo trattano come un SPF fallito. Succede spesso con tanti include di servizi diversi, ognuno dei quali ne contiene altri. Rimuovi i servizi che non usi più o sostituisci alcuni include con gli indirizzi IP diretti.

Il DMARC con p=none protegge il dominio?

No, con p=none il DMARC raccoglie i report ma chiede ai destinatari di non intervenire, quindi le email false con il tuo dominio arrivano comunque. È la fase iniziale corretta per qualche settimana. Come passare poi a quarantine e reject lo spiega la pagina del generatore di record DMARC.

Il tag pct del DMARC è ancora valido?

Il tag pct, che applicava la policy a una percentuale dei messaggi, non esiste più nella RFC 9989 del maggio 2026, che ha sostituito la RFC 7489. Al suo posto c’è il tag t=y per la modalità di test. I server che seguono ancora la specifica precedente possono leggerlo, ma nei record nuovi conviene non usarlo.

Fonti e riferimenti

Pagina aggiornata il 5 ottobre 2026