Posso avere due record SPF?

No. Un dominio deve avere un solo record TXT che inizia con v=spf1. Con due record il controllo fallisce (permerror). Le varie sorgenti vanno unite in un unico record con più include.

Cosa succede se supero 10 lookup SPF?

Il record diventa non valido (permerror) e molti server lo trattano come assente: le email possono finire in spam o essere rifiutate.

DMARC p=none protegge?

No: con p=none i provider segnalano ma consegnano comunque le email false. Serve per osservare; la protezione arriva con quarantine o reject.

Guide · posta elettronica · 7 novembre 2026

SPF, DKIM e DMARC: come verificarli e perché le tue email finiscono in spam

Se le tue email arrivano in spam, o un cliente ti dice di aver ricevuto una mail "tua" che non hai mai scritto, il problema quasi sempre è in tre record DNS: SPF, DKIM e DMARC. Qui trovi cosa fanno, come leggerli e gli errori che vediamo più spesso.

Vuoi solo la risposta? Inserisci il tuo dominio nel controllo SPF, DKIM e DMARC: ti dice in pochi secondi cosa manca.

Il problema: chiunque può scrivere "da" il tuo dominio

Il protocollo della posta (SMTP) è nato senza controlli sul mittente: chiunque può spedire una mail con scritto info@tuaazienda.it nel campo "Da". SPF, DKIM e DMARC sono le tre aggiunte che permettono a Gmail, Outlook e agli altri provider di verificare se una mail viene davvero da te.

SPF: chi è autorizzato a spedire

SPF è un record TXT sul dominio che elenca i server autorizzati a inviare posta a suo nome. Esempio reale, quello di diobo.it:

v=spf1 include:_spf.mx.cloudflare.net include:spf.brevo.com -all

Si legge così: possono spedire i server di Cloudflare e di Brevo; tutti gli altri no (-all). La parte finale conta: ~all chiede di considerare sospette le altre mail, -all di rifiutarle, ?all e +all di fatto non proteggono.

Errori comuni:

Due record SPF: succede quando si aggiunge un servizio (newsletter, gestionale) e si crea un secondo v=spf1 invece di aggiungere un include al primo. Con due record SPF il controllo fallisce.
Più di 10 lookup DNS: ogni include, a, mx, exists e redirect costa un'interrogazione, e anche gli include annidati contano. Oltre 10 il record è considerato non valido. Il nostro strumento li conta e mostra l'albero degli include.
Servizio dimenticato: il sito che manda le notifiche, il gestionale che invia le fatture. Se spediscono a nome del dominio e non sono nel record, le loro mail falliscono.

DKIM: la firma digitale della mail

Con DKIM il server che spedisce firma ogni messaggio con una chiave privata; la chiave pubblica sta nel DNS, sotto un "selettore". Chi riceve verifica la firma e sa che il messaggio non è stato alterato e viene da un server autorizzato dal dominio.

brevo1._domainkey.diobo.it  CNAME  →  chiave pubblica DKIM pubblicata da Brevo

Il nome prima di ._domainkey è il selettore e lo sceglie il servizio di posta: google per Google Workspace, selector1 e selector2 per Microsoft 365, nomi propri per gli altri. Se il nostro strumento non trova DKIM, indica il selettore del tuo provider nel campo apposito.

DMARC: cosa fare quando i controlli falliscono

DMARC è il record che lega tutto insieme. Dice ai provider cosa fare con una mail che usa il tuo dominio ma non supera SPF o DKIM, e dove mandarti i report.

_dmarc.diobo.it   v=DMARC1; p=reject; adkim=r; aspf=r; rua=mailto:…

p=none: osserva soltanto. Le mail false vengono consegnate. Utile solo come primo passo.
p=quarantine: le mail false finiscono in spam.
p=reject: le mail false vengono respinte. È la protezione vera.

Un dettaglio che sfugge spesso: per DMARC non basta che SPF o DKIM passino, devono essere allineati al dominio nel campo "Da". Una mail inviata da Gmail come info@tuaazienda.it passa SPF e DKIM per gmail.com, ma per DMARC del tuo dominio non vale nulla.

La sequenza giusta per attivarli

Elenca tutti i servizi che spediscono a nome del dominio: posta, sito, newsletter, gestionale.
Unisci tutto in un solo record SPF e controlla di restare sotto i 10 lookup.
Attiva DKIM su ogni servizio che lo supporta.
Pubblica DMARC con p=none e un indirizzo per i report.
Manda mail vere e verifica nelle intestazioni ("Mostra originale" in Gmail) che compaia dmarc=pass.
Solo allora passa a quarantine e poi a reject.

È esattamente la sequenza usata per diobo.it: DMARC è passato a reject solo dopo aver visto dmarc=pass su una mail reale.

Verifica il tuo dominio

Il controllo email mostra MX, SPF con il conteggio dei lookup, DKIM e DMARC, con le spiegazioni dei problemi trovati. Per un quadro completo del sito c'è il check-up gratuito. Se preferisci che ci pensiamo noi: info@diobo.it.