Le email aziendali finiscono nello spam: SPF, DKIM e DMARC

La prova da fare subito

Mandate una vostra email a una casella Gmail. Aprite il messaggio, poi i tre puntini e "Mostra originale". In alto Gmail scrive SPF, DKIM e DMARC, ciascuno con PASS o FAIL. Se ne manca uno o compare FAIL, avete trovato da dove partire.

Cosa chiede Gmail

Dal 2024 Google pubblica requisiti per chiunque spedisca verso caselle Gmail personali:

• SPF oppure DKIM sul dominio che spedisce;
• un record PTR valido sull'indirizzo IP del server, cioè il DNS inverso;
• la connessione cifrata con TLS;
• segnalazioni di spam sotto lo 0,3%.

Chi manda più di 5.000 messaggi al giorno deve avere tutti e tre i record, l'allineamento del dominio del mittente e, per le newsletter, la disiscrizione con un clic. Anche sotto quella soglia conviene metterli tutti: costano un'ora di lavoro.

Le cause che trovo più spesso

• Il record SPF non comprende tutti i servizi che spediscono: la posta, il gestionale, la newsletter, il negozio online. Oppure ci sono due record SPF, e con due record il controllo fallisce.
• Il modulo contatti del sito spedisce con il From dell'utente che ha scritto. Il messaggio arriva da un dominio che non autorizza il vostro server, ed è falso per definizione.
• Il sito spedisce con la funzione mail() di PHP, dal server web. Va cambiato con un invio SMTP autenticato.
• Il server condiviso è in una lista nera per colpa di un altro cliente dello stesso hosting.
• Una casella è stata violata e ha spedito spam: la reputazione del dominio cala per settimane.
• Il dominio è appena stato cambiato, oppure è stato spostato l'hosting e i record sono rimasti quelli vecchi.

Cosa faccio

1. Leggo i record del dominio e le intestazioni di un messaggio vero.
2. Elenco chi spedisce a nome vostro. Spesso salta fuori un servizio di cui nessuno si ricordava.
3. Scrivo SPF, attivo DKIM su ogni servizio e metto DMARC in osservazione, con p=none.
4. Sistemo il modulo del sito, se serve, perché spedisca con SMTP.
5. Dopo qualche settimana leggo i resoconti DMARC e stringo la regola, così nessuno può più spedire fingendosi voi.

Anche la posta può stare su un server che gestisco io: i piani sono nella pagina Server e hosting. Se il messaggio partito da voi contiene link strani o la casella spedisce da sola, guardate anche Sito hackerato.

Domande frequenti

Cosa sono SPF, DKIM e DMARC, in due righe?

SPF dice quali server possono spedire per il vostro dominio. DKIM mette una firma su ogni messaggio. DMARC dice al destinatario cosa fare se le prime due prove non tornano, e vi manda un resoconto.

Si fermano le email mentre sistemi i record?

No, se si fa nell'ordine giusto. Prima elenco tutti i servizi che spediscono a nome vostro, poi metto DMARC in sola osservazione e lo stringo solo quando i resoconti sono puliti.

Usiamo Microsoft 365 o Google Workspace: serve lo stesso?

Sì. Spediscono loro, ma i record nel DNS del dominio li dovete mettere voi, e DKIM spesso va attivato a mano dal pannello. È una delle mancanze che trovo più spesso.

Basta per uscire dallo spam?

Toglie la causa tecnica. Se il server è in una lista nera, se la casella è stata violata o se tanti destinatari segnalano i messaggi come spam, va sistemato anche quello.

Per approfondire

• Il servizio: Server e hosting
• Altre pagine come questa: Siti con un problema