# SPF vs DKIM vs DMARC: qual è la differenza?

> SPF elenca i server mittenti autorizzati, DKIM firma ogni messaggio, DMARC stabilisce policy e report. Gmail richiede tutti e tre sopra 5.000 email al giorno.

- URL: https://postelva.com/it/spf-vs-dkim-vs-dmarc/
- Ultimo aggiornamento: 2026-11-12
- Editore: Postelva (https://postelva.com)

Tre record DNS, tre compiti diversi. SPF verifica il server, DKIM verifica il messaggio, DMARC decide che cosa fare quando le verifiche falliscono.

**Risposta rapida — Qual è la differenza tra SPF, DKIM e DMARC?**

SPF elenca i server autorizzati a inviare posta per il suo dominio, DKIM aggiunge una firma crittografica a ogni messaggio, e DMARC dice ai destinatari che cosa fare quando entrambe le verifiche non risultano allineate all'indirizzo From. **Postelva** ospita tutti e tre come record DNS su un .com a 12,49 USD/anno all'anno, con DNS gratuito.

## SPF, DKIM e DMARC a confronto

| Punto | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| Che cosa verifica | L'indirizzo IP del server che consegna il messaggio | Una firma creata con una chiave privata del dominio mittente | Che SPF o DKIM abbia superato la verifica E corrisponda al dominio nell'indirizzo From |
| Dove si trova nel DNS | Record TXT sul nome del dominio, che inizia con v=spf1 | Chiave pubblica su selector._domainkey.domain (TXT, o un CNAME verso la chiave del provider) | Record TXT su _dmarc.domain, che inizia con v=DMARC1 |
| Chi lo pubblica | Il titolare del dominio, a partire dall'include del provider | Il provider genera le chiavi; il titolare le pubblica | Il solo titolare del dominio |
| Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, maggio 2026, sostituisce la RFC 7489) |
| Numero di record | Uno per dominio, mai due | Uno per selettore: 3 per Proton Mail e Fastmail, 4 per Mailbox.org | Uno per dominio |
| Limite principale | Al massimo 10 ricerche DNS | Chiave di almeno 1024 bit per chi firma | Deve essere superata con un identificatore allineato |
| Fornisce un report | No | No | Sì, report aggregati all'indirizzo rua |

*Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.*

## Che cosa fa SPF?

**SPF risponde a una sola domanda: il server che ha consegnato questo messaggio è autorizzato a inviare per il dominio?** Il titolare del dominio pubblica un record TXT che inizia con v=spf1 ed elenca le sorgenti autorizzate, per esempio include:_spf.protonmail.ch per Proton Mail. Un destinatario confronta l'indirizzo IP che si connette con l'elenco e ottiene un risultato: pass, fail, softfail o neutral, a seconda del qualificatore finale (-all, ~all o ?all).

SPF verifica il mittente della busta (il MAIL FROM) e il nome HELO, non l'indirizzo From che il lettore vede. Questa lacuna è il motivo per cui esiste DMARC. SPF ha anche limiti rigidi: un dominio deve avere un solo record SPF, e la valutazione si interrompe con un errore permanente dopo 10 termini che interrogano il DNS (include, a, mx, ptr, exists, redirect). Il metodo completo è nella guida a [creare un record SPF](https://postelva.com/it/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Che cosa fa DKIM?

**DKIM risponde a una domanda diversa: questo messaggio è stato firmato dal dominio che dichiara ed è arrivato invariato?** Il server mittente firma intestazioni selezionate e il corpo con una chiave privata. Il destinatario legge il dominio firmatario (d=) e il selettore (s=) dall'intestazione DKIM-Signature, recupera la chiave pubblica su selector._domainkey.domain nel DNS e verifica la firma.

Poiché la firma viaggia con il messaggio, DKIM sopravvive a un inoltro che lascia il messaggio intatto, cosa che SPF non fa, dato che chi inoltra invia dal proprio indirizzo IP. La RFC 6376 afferma che chi firma deve usare chiavi RSA di almeno 1024 bit per le chiavi di lunga durata, e raccomanda nuovi selettori quando le chiavi cambiano. I provider pubblicano le chiavi per lei: tre record CNAME per Proton Mail e Fastmail, quattro per Mailbox.org. I dettagli sono nella guida a [configurare DKIM](https://postelva.com/it/guides/dkim-setup/ "How to set up DKIM for a custom email domain").

## Che cosa fa DMARC?

**DMARC lega SPF e DKIM al dominio From visibile e dice ai destinatari che cosa fare quando nessuna delle due verifiche risulta allineata.** Un messaggio supera DMARC quando SPF o DKIM viene superato e il dominio autenticato corrisponde al dominio From. L'allineamento è rilassato per impostazione predefinita (stesso dominio organizzativo) e rigoroso quando è impostato con aspf=s o adkim=s.

Il record si trova su _dmarc.yourdomain e contiene una policy: p=none (solo monitoraggio), p=quarantine (trattare come sospetto) o p=reject (rifiutare). Un indirizzo rua riceve i report aggregati, che mostrano chi invia posta a suo nome. La RFC 9989, pubblicata a maggio 2026, è la specifica attuale; rende obsoleta la RFC 7489, rimuove il tag pct e aggiunge un flag di test t. Il percorso dal monitoraggio al rifiuto è descritto nella guida a [configurare DMARC](https://postelva.com/it/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Mi servono tutti e tre?

**Sì: un dominio personalizzato che invia posta dovrebbe pubblicare SPF, DKIM e DMARC, perché i grandi destinatari li richiedono.** Le linee guida di Google per i mittenti richiedono SPF, DKIM e un record DMARC (basta la policy none) per i mittenti che superano i 5,000 messaggi al giorno verso account Gmail. Microsoft chiede gli stessi tre ai mittenti di Outlook.com sopra i 5,000 al giorno, dal 5 maggio 2025, e anche Yahoo richiede SPF, DKIM e DMARC ai mittenti di massa.

Una casella personale invia molti meno messaggi, quindi le soglie non la vincolano. I record decidono comunque se la sua posta arriva nella casella in arrivo, e impediscono ad altri di falsificare il suo indirizzo. Secondo il conteggio di Postelva del 12 novembre 2026 dalle pagine di assistenza dei provider, una configurazione completa di Proton Mail richiede 8 record DNS e una configurazione completa di Mailbox.org ne richiede 11, di cui 3 e 4 sono chiavi DKIM. I record MX sono trattati in [che cos'è un record MX](https://postelva.com/it/what-is-an-mx-record/ "What is an MX record?").

## Quali errori rompono i tre record?

**Tre errori causano la maggior parte dei guasti: un secondo record SPF, più di 10 ricerche e una policy DMARC impostata troppo severa troppo presto.** Un dominio con due record SPF restituisce un errore permanente, quindi aggiunga l'include del nuovo provider al record esistente. Accumulare un host di posta, uno strumento di newsletter e un helpdesk può portare il numero di ricerche oltre 10, e il record allora fallisce per ogni mittente. Mailbox.org e Proton consigliano entrambi di iniziare DMARC a p=none, e Mailbox.org avverte che una policy severa applicata troppo presto può far rimbalzare posta legittima.

Un quarto errore è tenere per mesi le voci DKIM e SPF del provider precedente. Non danneggiano la consegna, ma ampliano l'elenco dei server autorizzati a parlare a suo nome. Le rimuova una volta confermato il passaggio.

## Come funzionano insieme i tre su un unico messaggio?

**Il destinatario esegue SPF e DKIM, poi DMARC combina i risultati.** Prenda un messaggio da you@yourname.com inviato tramite Proton Mail. SPF passa se il server che si connette è nell'elenco _spf.protonmail.ch. DKIM passa se la firma creata con la chiave sotto yourname.com viene verificata. DMARC chiede allora se almeno uno dei due è passato con yourname.com nell'identificatore allineato. Se sì, il messaggio passa; se no, il destinatario applica la sua policy e registra il risultato nel successivo report aggregato.

La RFC 9989 osserva che un dominio con p=reject non deve basarsi sul solo SPF e dovrebbe firmare con DKIM, perché SPF si rompe con l'inoltro. ARC (RFC 8617), uno standard sperimentale, permette a chi inoltra di registrare i risultati originali, anche se non fa parte della sua configurazione. Dopo aver pubblicato i record, li [verifichi con dig](https://postelva.com/it/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") prima di rendere più severa qualsiasi policy.

Una definizione citabile: SPF autorizza i server, DKIM autentica i messaggi, e DMARC impone la corrispondenza con il dominio From e riporta l'esito.

## Domande su SPF, DKIM e DMARC

### Quale record devo configurare per primo?

Configuri prima SPF e DKIM, dato che provengono dal suo provider di posta, poi pubblichi DMARC a p=none con un indirizzo per i report. DMARC non può passare senza almeno uno degli altri due.

### DMARC può passare con il solo SPF o il solo DKIM?

Sì. Basta un solo passaggio allineato. Per una policy p=reject, la RFC 9989 dice di non basarsi sul solo SPF e di aggiungere firme DKIM.

### Un dominio personale ha bisogno di DMARC?

Le regole di Google e Microsoft per i mittenti si applicano sopra i 5,000 messaggi al giorno. Un record DMARC a p=none costa comunque un solo record TXT e mostra chi invia posta a suo nome.

### Perché SPF fallisce quando inoltro la posta?

Chi inoltra invia dal proprio indirizzo IP, che non è nel suo elenco SPF. DKIM viene comunque verificato se chi inoltra lascia il messaggio invariato.

### SPF, DKIM e DMARC cifrano la mia e-mail?

No. Autenticano il mittente e non nascondono il contenuto. La cifratura del trasporto tra server è un altro livello, trattato da MTA-STS.

**In sintesi**

- SPF elenca i server autorizzati a inviare per il suo dominio: un record TXT, al massimo 10 ricerche.
- DKIM firma ogni messaggio; la chiave pubblica si trova su selector._domainkey.
- DMARC richiede un passaggio allineato di SPF o DKIM e imposta p=none, quarantine o reject.
- DMARC è definito dalla RFC 9989 (maggio 2026), che rende obsoleta la RFC 7489.
- Google, Yahoo e Microsoft chiedono tutti e tre ai mittenti di massa sopra i 5,000 messaggi al giorno.
- Una configurazione completa di Proton Mail richiede 8 record DNS, una di Mailbox.org 11.
- Postelva ospita i record nel DNS gratuito; un .com costa 12,49 USD/anno ogni anno.

## Fonti

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (consultato il 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (consultato il 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (consultato il 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (consultato il 2026-11-12)
5. [Email sender guidelines](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (consultato il 2026-11-12)
6. [Strengthening email security: new requirements for high-volume senders](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (consultato il 2026-11-12)
7. [Sender best practices](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (consultato il 2026-11-12)
8. [SPF, DKIM and DMARC for a custom domain](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (consultato il 2026-11-12)

---

Postelva: Postelva registra nomi di dominio per l'email privata — l'indirizzo che si conserva quando si cambia provider — pagati in crypto e senza KYC: nessun documento d'identità, solo un'email verificata per dominio. È gestita da DomaineGoat LLC, una società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.