SPF, DKIM e DMARC sono tre record nel DNS del tuo dominio: dicono ai server di posta chi può inviare a nome della tua azienda. Se sono sbagliati, le email finiscono in spam o non arrivano; se mancano, chiunque può spacciarsi per te. Il lavoro vero spetta a chi gestisce il dominio, di solito un webmaster o l’agenzia che lo ha registrato, più che allo strumento di invio. Brevo è un punto di partenza pratico perché ha un piano gratuito su cui provare la configurazione prima di pagare. Per i grandi mittenti Google e Yahoo hanno introdotto requisiti precisi: leggi i loro documenti, perché cambiano.
Brevo è una scelta sensata per provare la configurazione senza impegnarsi troppo: mandi messaggi di prova a caselle tue e controlli se SPF, DKIM e DMARC risultano superati, poi sali allo Starter quando i volumi crescono. Secondo brevo.com/pricing costa 9 $ al mese da 5.000 email e non ha limite giornaliero. Controlla nelle impostazioni del mittente che cosa chiede il fornitore e quanta guida offre: l’accesso al DNS resta comunque indispensabile.
Postmark invia solo email transazionali, quindi per la tua azienda significa un mittente a parte, con record propri, per le ricevute del gestionale o dell’e-commerce. Il listino su postmarkapp.com/pricing indica 100 email al mese gratuite per provare. Se più sistemi scrivono con lo stesso dominio, ognuno pesa sul limite di ricerche SPF: tieni un elenco di chi invia; serve uno sviluppatore.
SendGrid collega applicazioni e gestionali che inviano da soli. Il prodotto per le campagne, Marketing Campaigns, ha secondo la pagina prezzi di Twilio un piano gratuito fino a 2.000 contatti e 6.000 email al mese. Prima di scegliere leggi nella documentazione come si autentica un dominio nel tuo caso e chi in azienda può entrare nel DNS: senza quel passaggio il servizio non firma a nome tuo.
Se le email partono da più sistemi con lo stesso dominio, ActiveCampaign ti costringe a fare ordine: ogni mittente deve comparire nei record. Secondo activecampaign.com/pricing il livello Starter costa 15 $ al mese per 1.000 contatti, con un solo utente. Chiedi al supporto la guida all’autenticazione del dominio mittente e se il livello scelto consente l’invio con un dominio proprio.
Mailchimp è tra gli strumenti più diffusi nelle piccole aziende, quindi è facile che il tuo consulente o webmaster l’abbia già configurato. Lo Standard costa 20 $ al mese a 500 contatti, secondo mailchimp.com/pricing, e poi sale a scaglioni. Controlla se l’invio dal tuo dominio è disponibile nel piano che ti serve e che cosa devi inserire nel DNS, senza dare per scontata una procedura guidata.
MailerLite è pensato per liste piccole e per chi non vuole perdersi in decine di opzioni; il Power, secondo mailerlite.com/pricing, costa 25 $ al mese a 500 iscritti e include email illimitate. Per l’autenticazione devi chiedere se puoi scrivere con un indirizzo del tuo dominio nel piano scelto e come si controlla l’esito. Gli invii di servizio, come ricevute e conferme, richiedono un altro prodotto dello stesso gruppo e una configurazione a parte.
Se i contatti vivono già in HubSpot, l’email si aggiunge al CRM senza un secondo archivio. Il listino americano su hubspot.com/pricing/marketing indica Starter a 7 $ al mese e Professional a 800 $: il salto è molto ampio. Per l’autenticazione chiedi come si collega un dominio di invio, a quale livello e chi gestisce i record: con più strumenti sullo stesso dominio il rischio è dimenticarne uno.
Prima di scegliere lo strumento scopri dove vive il DNS del tuo dominio: nel pannello di chi lo ha registrato, in quello dell’hosting o in mano a un’agenzia. Per un dominio .it il nome è registrato tramite un intermediario accreditato. Senza accesso non puoi aggiungere nulla. Se il webmaster non risponde in tempi brevi, la scelta dello strumento passa in secondo piano: chiedi accesso o delega scritta prima di iniziare, e salva i record esistenti in un file.
Per ogni dominio deve esistere un solo record SPF, che elenca tutti i servizi autorizzati a inviare. Fai l’inventario: posta aziendale, newsletter, gestionale, fatturazione, e-commerce, modulo di contatto del sito. Ogni servizio aggiunge una voce e le ricerche DNS consentite sono limitate, quindi una lista lunga può rendere il record non valido senza avvisi. Chiedi al fornitore l’esatta stringa da inserire e se quella voce si unisce a quelle già presenti.
Il DMARC si introduce in due tempi. Prima una politica che si limita a osservare, con un indirizzo che riceve i rapporti sugli invii fatti a nome del dominio; poi, quando tutti i mittenti legittimi risultano in regola, una politica più severa. I rapporti sono file tecnici difficili da leggere a mano: chiedi se il fornitore li mostra in forma leggibile o se serve un servizio esterno. Una politica restrittiva troppo presto blocca anche le tue email vere.
Una firma DKIM può essere apposta con il dominio del fornitore o con il tuo. Nel secondo caso il messaggio risulta allineato al mittente che il destinatario vede, ed è ciò che il DMARC controlla. Chiedi quindi se nel piano che scegli l’indirizzo mittente può essere del tuo dominio, se la firma usa quel dominio e se c’è un costo aggiuntivo. Evita indirizzi gratuiti come mittente di una campagna aziendale: non possono essere autenticati dal tuo strumento.
Google e Yahoo hanno fissato condizioni più rigide per chi invia grandi volumi: autenticazione, disiscrizione semplice, tasso basso di segnalazioni. Non riportiamo qui cifre o date, perché le regole cambiano: apri le pagine ufficiali per i mittenti di Google e di Yahoo e confrontale con quello che il tuo strumento dichiara di fare. Chiedi al fornitore se i requisiti sono già coperti dal suo sistema e quali restano a carico tuo.
Dopo aver cambiato un record, manda un messaggio di prova a una tua casella Gmail, apri «mostra originale» e controlla che SPF, DKIM e DMARC risultino superati. Ripeti il controllo ogni volta che aggiungi un servizio che scrive a nome dell’azienda. Verifica se lo strumento mostra lo stato del dominio mittente e se ti avvisa quando un record non risulta più valido; se non lo fa, segna una scadenza periodica sul calendario.
Parti dal contratto o dalla fattura del dominio: lì trovi il fornitore presso cui è registrato. Poi chiedi a chi ha fatto il sito se i record sono sul registrar, sull’hosting o su un servizio come quello che protegge il sito. Se il DNS è affidato a un’agenzia, scrivile la lista dei record da aggiungere invece di chiederle di fare tutto. Prima di toccare qualsiasi cosa copia in un file i record attuali, soprattutto quelli della posta: sbagliare quelli può interrompere la ricezione delle email.
No: ne deve esistere uno solo, e se ne pubblichi due i controlli possono fallire. Quando aggiungi un nuovo servizio, non creare un secondo record, ma inserisci la voce indicata dal fornitore dentro quello esistente. Capita spesso che l’agenzia ne aggiunga uno nuovo per ogni strumento, con il risultato che nessuno funziona. Se ne trovi più d’uno, unisci le voci, ricontrolla il numero di ricerche e conserva una copia del record di partenza per tornare indietro.
Il DMARC non si accontenta che SPF o DKIM passino: vuole che il dominio verificato coincida con quello scritto nel campo mittente che il destinatario vede. Succede che lo strumento di invio firmi con il proprio dominio e il controllo passi, ma senza allineamento. È il problema più frequente quando più servizi scrivono a nome dell’azienda. Lo risolvi facendo firmare il servizio con il tuo dominio, secondo le istruzioni del fornitore, e leggendo poi i rapporti per scovare i mittenti non allineati.
Solo quando i rapporti, raccolti per un periodo che copra tutti i tuoi cicli di invio, mostrano che ogni mittente legittimo passa i controlli. Considera anche invii rari come la fatturazione di fine mese o la campagna di Natale: se non compaiono nei rapporti, non sai ancora se funzionano. Passa alla politica intermedia prima di quella che respinge i messaggi e, se non hai competenze interne, fatti seguire da un consulente informatico, perché un errore blocca anche le email vere.
Non si sostituisce, si affianca. I record che già fanno funzionare la posta dei dipendenti restano dove sono; per la newsletter si aggiungono le voci indicate dal nuovo strumento. Se la casella è ospitata presso un servizio di posta esterno, la sua guida spiega quali record vanno mantenuti. Il rischio non è la newsletter in sé, ma cancellare per sbaglio un record di posta mentre si inserisce quello nuovo. Per questo conviene usare un sottodominio per le campagne e lasciare intatto il dominio principale.
Quando un destinatario inoltra il tuo messaggio, il server che lo rimanda non è nell’elenco SPF del tuo dominio, quindi quel controllo può fallire. La firma DKIM, se il messaggio non viene modificato, viaggia con il testo e di solito regge. Per questo l’autenticazione si basa su entrambi e il DMARC chiede che almeno uno passi, allineato. Non ti serve un rimedio: ti serve sapere che alcuni rapporti mostreranno errori legati all’inoltro, che non vanno scambiati per un attacco.
Il BIMI permette di mostrare il logo del marchio accanto ai messaggi in alcuni client di posta. Richiede una politica DMARC severa e, per alcuni provider, un certificato a pagamento che attesta il marchio: verifica le condizioni attuali sui documenti dei provider. Per una piccola azienda è un passo di rifinitura da valutare dopo che SPF, DKIM e DMARC funzionano. Non cambia la consegna dei messaggi e non è un requisito di partenza; il lavoro di preparazione al DMARC severo è comunque utile.
I rapporti DMARC servono proprio a questo: elencano da quali indirizzi IP partono messaggi che dichiarano il tuo dominio, compresi quelli che non conosci. Se li ricevi su una casella dedicata, controllali periodicamente o usa un servizio che li legge per te. Se emerge un abuso, avvisa i clienti con un messaggio sul sito e sui social, cambia le credenziali dei servizi collegati e valuta una segnalazione alla Polizia Postale. Per una frode concreta rivolgiti al tuo consulente legale.
Una parte sì. Il nuovo fornitore ti darà le sue chiavi e le sue voci da inserire, mentre quelle del vecchio vanno tolte quando non lo usi più, così il record SPF resta corto e non lascia autorizzato chi non scrive più per te. Tienile finché i flussi automatici del vecchio strumento sono attivi. Dopo la migrazione ripeti la prova su una casella Gmail e rileggi i rapporti DMARC: il cambio è il momento in cui è più facile dimenticare qualcosa.