- La Sua e-mail non è stata autenticata. Il server di destinazione non è in grado di confermare che il messaggio provenga effettivamente dal Suo dominio. Solitamente manca un record, non è mai stato aggiunto un nuovo strumento (CRM, fatturazione, newsletter, modulo del sito web, help desk o persino uno scanner), oppure il record SPF ha superato il limite consentito e ha smesso di funzionare senza alcun avviso per tutte le comunicazioni.
- Il messaggio sembra spam. Servizi di accorciamento dei link, molte immagini e poche parole, lettere maiuscole, una firma con sei loghi, allegati non richiesti o un oggetto scritto come se fosse una pubblicità. I filtri assegnano un punteggio a ciascuno di questi elementi.
- La reputazione del Suo dominio ha subito un duro colpo. Una casella di posta è stata compromessa e ha inviato spam per un fine settimana, qualcuno ha inviato un aggiornamento a 400 destinatari da Outlook mettendo tutti in copia nascosta (Bcc), oppure la vostra posta viene inviata tramite un server condiviso con un «vicino» malintenzionato.
- Il lato del destinatario. Una regola, una casella di posta piena, un inoltro a un indirizzo personale o un filtro che, una volta, ha identificato il Suo indirizzo come posta indesiderata. È un problema meno comune di quanto si pensi, e solo il destinatario può risolverlo.
Perché le e-mail aziendali finiscono nella cartella dello spam e come risolvere il problema una volta per tutte
I quattro motivi per cui le e-mail aziendali finiscono nella cartella della posta indesiderata, cosa fanno effettivamente SPF, DKIM e DMARC, quali sono i requisiti che Gmail e Outlook impongono ora a ogni mittente e un controllo che potete eseguire in 20 minuti.
8 minuti di letturaAggiornato
In breve
Nove volte su dieci la causa è l’autenticazione: il Suo dominio non sta comunicando al mondo quali servizi possono inviare e-mail a Suo nome, oppure è stato aggiunto un nuovo strumento senza aggiornare tali record. Gmail e Outlook ora richiedono record SPF, DKIM e DMARC da ogni mittente e, in caso di errore, inviano silenziosamente le e-mail nella cartella dello spam. Corregga i record, attivi DKIM in ogni strumento che invia e-mail a nome del Suo dominio, avvii il monitoraggio DMARC e la maggior parte dei problemi di consegna scomparirà nel giro di un giorno o due.
Quattro motivi, in ordine di probabilità
Cosa fanno effettivamente SPF, DKIM e DMARC
Si tratta in tutti e tre i casi di brevi record di testo presenti nel DNS del Suo dominio. Nessuno all’interno della Sua azienda li vede, ma ogni server di posta a cui si rivolge li verifica.
| Registra | In parole semplici | Cosa può andare storto senza di esso |
|---|---|---|
| SPF | Un elenco dei servizi autorizzati a inviare e-mail a nome del Suo dominio, ad esempio Microsoft 365 e il Suo strumento di fatturazione. | La posta proveniente da un servizio non presente nell’elenco non viene elaborata. Un elenco con più di dieci voci non viene elaborato in alcun caso. |
| DKIM | Una firma digitale aggiunta a ciascun messaggio, a dimostrazione che proviene dal Suo dominio e che non è stato alterato durante il tragitto. | I messaggi arrivano senza firma e non si distinguono da un falso. |
| DMARC | Le vostre istruzioni per i destinatari: cosa fare quando un messaggio che dichiara di provenire da voi non supera i controlli sopra indicati e a chi inviare le segnalazioni. | I destinatari possono indovinare, e chiunque può inviare e-mail a vostro nome a vostra insaputa. |
Un dettaglio è fondamentale: l’allineamento. Il dominio presente nell’indirizzo del mittente che gli utenti vedono deve corrispondere al dominio che ha superato i controlli SPF o DKIM. Uno strumento per newsletter che invia i messaggi a nome del Suo dominio ma firma con il proprio dominio supera il controllo DKIM per sé stesso, ma non supera comunque il controllo DMARC per conto Suo.
Cosa richiedono ora Gmail, Outlook e Yahoo
A partire dal 2024 i principali fornitori di servizi di posta elettronica hanno iniziato a pubblicare le regole invece di basarsi su supposizioni e, alla fine del 2025, Google ha intensificato l’applicazione delle norme con un numero maggiore di messaggi respinti. I requisiti da loro pubblicati, a partire da ottobre 2026:
| Requisiti | Gmail (tutti i mittenti) | Outlook.com e Yahoo |
|---|---|---|
| SPF e DKIM | Entrambe le configurazioni | Entrambe le soluzioni sono predisposte per chiunque invii circa 5.000 messaggi al giorno o più; se ne attende vivamente l’adozione da parte di tutti gli altri |
| Record DMARC | Pubblicato, almeno p=nessuno | Pubblicato, almeno p=nessuno, in conformità con SPF o DKIM |
| In base al settore di riferimento | Sì, con SPF o DKIM | Sì |
| DNS inverso e TLS | Requisiti | Previsto |
| Tasso di reclami per spam | Inferiore allo 0,3%, con l’obiettivo di raggiungere lo 0,1 | Livello mantenuto basso; Microsoft monitora attentamente la propria reputazione |
| Annullamento dell’iscrizione con un solo clic | E-mail di marketing provenienti da mittenti che inviano messaggi in massa | E-mail di marketing provenienti da mittenti che inviano messaggi in massa |
Queste regole si applicano formalmente alle e-mail inviate a indirizzi personali Gmail, Outlook.com e Yahoo. In pratica, Microsoft 365 e Google Workspace applicano gli stessi controlli alle caselle di posta aziendali, pertanto la soluzione è la stessa indipendentemente dal servizio utilizzato dai Suoi clienti.
Il controllo di 20 minuti
- Elenchi tutto ciò che invia messaggi utilizzando il Suo dominio. Microsoft 365 o Google Workspace, il CRM, gli strumenti di fatturazione e gestione delle buste paga, la piattaforma per le newsletter, il modulo di contatto del sito web, l’help desk, gli strumenti per il calendario e le prenotazioni, e quella stampante che consente di scansionare direttamente via e-mail. La maggior parte dei domini ne conta da cinque a otto.
- Verifichi il Suo record SPF. Deve essercene esattamente uno. Deve includere tutti i servizi dell’elenco, non superare le dieci ricerche DNS e terminare con -all o ~all. Un secondo record SPF, o un’undicesima ricerca, comporta il fallimento di tutti i requisiti.
- Attivare l’DKIM ovunque. In Microsoft 365 si trova nel portale Defender alla voce «Impostazioni di autenticazione e-mail»; in Google Workspace alla voce «App», «Google Workspace», «Gmail», «Autenticazione e-mail». Ogni strumento di terze parti dispone di una propria impostazione DKIM che fornisce due o tre record DNS da aggiungere.
- Pubblicare DMARCa a livello di monitoraggio. Un record con p=none e un indirizzo di segnalazione non cambia ancora nulla, ma nel giro di pochi giorni i rapporti mostreranno tutti i servizi che inviano messaggi a nome dell’utente, compresi quelli che l’utente ha dimenticato e chiunque stia usurpando la sua identità.
- Invii un test e legga il risultato. Invii un’e-mail a un account Gmail personale, apra il messaggio, selezioni «Mostra originale» e verifichi la presenza di SPF: PASS, DKIM: PASS e DMARC: PASS. Outlook.com mostra le stesse informazioni nelle intestazioni del messaggio. Un unico «FAIL» indica esattamente quale record correggere.
- Rafforzare gradualmente la sicurezza DMARC. Dopo due-quattro settimane di rapporti privi di segnalazioni, passare a p=quarantena, quindi a p=rifiuto. In caso di rifiuto, nessuno potrà inviare e-mail a nome del cliente e i destinatari avranno maggiore fiducia nei suoi messaggi.
Problemi che sembrano riguardare l’autenticazione ma in realtà non lo sono
- Una casella di posta compromessa. Se la consegna dei messaggi dovesse interrompersi da un giorno all’altro, verifichi innanzitutto i registri di accesso e le regole della posta in arrivo degli account interessati. Gli autori degli attacchi aggiungono una regola che nasconde le risposte e inviano spam dall’account originale.
- Invio di posta in massa da una casella di posta normale. Outlook e Gmail sono pensati per le conversazioni, non per le campagne. Gli aggiornamenti relativi a centinaia di contatti devono essere gestiti con uno strumento adeguato e inviati da un sottodominio come news.yourcompany.com, in modo che eventuali problemi non compromettano il Suo dominio principale.
- Firme complesse e strumenti di accorciamento dei link. Meno immagini, nessun link abbreviato e un testo che sembri scritto da una persona.
- Un settore completamente nuovo. I domini privi di cronologia vengono considerati sospetti nelle prime settimane. Si raccomanda di iniziare con volumi ridotti e conversazioni autentiche.
- Elenchi acquistati o ricavati da fonti esterne. Tassi di reclami superiori allo 0,3% comportano l’esclusione dall’elenco dei clienti affidabili dei fornitori per una settimana alla volta, e nessuna correzione dei dati può porvi rimedio.
Si prega di mantenere l’ordine
- Aggiunga ogni nuovo strumento che invia e-mail a SPF e DKIM il giorno stesso della sua configurazione
- Legga i rapporti DMARC ogni mese, oppure chieda a qualcuno di leggerli per lei
- Mantenete le e-mail di marketing e transazionali su sottodomini dedicati
- Monitorate il tasso di reclami in Google Postmaster Tools e negli strumenti per i mittenti di Microsoft
- Verifichi chi è autorizzato a creare regole per la posta in arrivo e a inoltrare messaggi, poiché queste sono le prime impostazioni che un malintenzionato modifica
Domande frequenti
Cosa ci chiedono più spesso
Risposte brevi alle domande che fondatori e responsabili finanziari ci pongono più spesso.
Ci chieda qualcos’altroDi solito si tratta di una delle quattro seguenti situazioni: un nuovo strumento ha iniziato a inviare messaggi a nome del Suo dominio senza essere stato aggiunto all’SPF, il record SPF ha superato il limite di dieci query, una casella di posta è stata compromessa oppure un provider ha inasprito i controlli, come ha fatto Google alla fine del 2025. Il controllo di 20 minuti sopra indicato individua quale delle quattro sia la causa.
Sì. Google ora richiede un record DMARC da ogni mittente che invia messaggi a indirizzi Gmail, mentre Outlook.com lo richiede ai mittenti di grandi dimensioni. Un record con p=none non modifica nulla e non comporta alcun costo, ed è l’unico modo per verificare chi sta inviando messaggi a nome vostro.
Non a p=none. I problemi si presentano solo se si passa alla quarantena o al rifiuto prima che tutti i servizi legittimi siano stati approvati; per questo motivo esaminiamo innanzitutto i rapporti per alcune settimane.
Sì. I record risiedono nel DNS del Suo dominio e si applicano a qualsiasi piattaforma e strumento utilizzi per l’invio della posta. L’unica differenza riguarda il luogo in cui attiva l’DKIM.
Questo perché Microsoft 365 è presente nei Suoi record SPF e DKIM, mentre il CRM non lo è, oppure il CRM effettua la firma utilizzando il proprio dominio anziché il Suo. Ogni strumento dispone di un’impostazione DKIM che risolve il problema.
Per la maggior parte dei domini, i record possono essere corretti in un giorno. L’aumento graduale del livello di DMARC, fino al rifiuto sicuro, richiede alcune settimane di analisi dei rapporti, mentre il ripristino di una reputazione compromessa avviene nel corso di settimane di invii regolari.
In che modo SF3 Technologies vi aiuta
Individuiamo tutti i servizi che inviano messaggi a nome del Suo dominio, correggiamo i record SPF, attiviamo DKIM in Microsoft 365 e in Google Workspace, nonché in ogni strumento, pubblichiamo i record DMARC e li configuriamo in modo da respingere i messaggi non autorizzati, come indicato nei rapporti, affinché le Sue e-mail arrivino a destinazione e nessuno possa inviare messaggi a Suo nome. I record rimangono nel Suo DNS e nel Suo tenant, sotto il Suo controllo.
I requisiti relativi ai mittenti sono quelli pubblicati da Google e Microsoft nell’ottobre 2026 e sono soggetti a modifiche nel tempo. Si raccomanda di verificare le linee guida attuali di ciascun fornitore relative ai mittenti prima di fare affidamento su una soglia specifica.