SPF, DKIM e DMARC per e-commerce: requisiti di Gmail e Yahoo

Cosa fanno SPF, DKIM e DMARC, cosa chiedono Gmail, Yahoo e Outlook.com ai mittenti, come configurarli su Shopify e WooCommerce e arrivare a p=reject.

Redazione FixReports11 min di lettura

Per rispettare i requisiti di Gmail e Yahoo per i mittenti, ogni negozio online deve avere SPF o DKIM sul proprio dominio di invio, mentre chi invia grandi volumi (i cosiddetti mittenti bulk) deve averli entrambi, insieme a un record DMARC almeno p=none con il dominio visibile nel campo From allineato a SPF o DKIM. I mittenti bulk devono inoltre offrire la disiscrizione con un clic nelle email di marketing e mantenere il tasso di spam segnalato sotto lo 0,3%. Su Shopify questo significa autenticare il dominio del mittente dal pannello di amministrazione e aggiungere un record DMARC; su WooCommerce significa inviare tramite un provider email autenticato. Quando i report DMARC mostrano che tutta la tua posta legittima supera i controlli, puoi portare la policy verso p=reject.

Punti chiave

Cosa fanno davvero SPF, DKIM e DMARC?

SPF elenca chi può inviare per il tuo dominio, DKIM firma ogni messaggio e DMARC collega entrambi all’indirizzo From che vedono i tuoi clienti.

RecordCosa dimostraDove si trovaStandard
SPFIl server di invio è autorizzato per il dominio usato nella busta (MAIL FROM)Record TXT sul dominioRFC 7208 (si apre in una nuova scheda)
DKIMIl messaggio è stato firmato dal dominio e non è stato modificato durante il transitoRecord TXT su selector._domainkey.example.comRFC 6376 (si apre in una nuova scheda)
DMARCSPF o DKIM sono stati superati per un dominio allineato con il dominio From visibile; indica ai server riceventi cosa fare in caso di esito negativo e dove inviare i reportRecord TXT su _dmarc.example.comRFC 9989 (si apre in una nuova scheda)

L’allineamento è un dettaglio facile da trascurare. La tua piattaforma email può superare SPF per il proprio dominio di bounce, mentre il tuo indirizzo From mostra il dominio del negozio. Quel messaggio supera SPF ma non supera DMARC, a meno che DKIM non sia firmato con il tuo dominio.

Cosa chiedono Gmail e Yahoo ai mittenti?

Entrambi richiedono l’autenticazione a ogni mittente e aggiungono regole più severe per i mittenti bulk.

Per tutti i mittenti, Gmail richiede SPF o DKIM, DNS diretto e inverso validi, TLS, formattazione conforme alla RFC 5322 e un tasso di spam inferiore allo 0,3% in Postmaster Tools (Google (si apre in una nuova scheda)). Yahoo richiede almeno SPF o DKIM e un tasso di spam inferiore allo 0,3% (Yahoo Sender Hub (si apre in una nuova scheda)). Per i mittenti bulk:

RequisitoGmailYahoo
SPF e DKIMEntrambiEntrambi
DMARCObbligatorio; la policy può essere nonePolicy valida almeno p=none, e DMARC deve essere superato
AllineamentoDominio From allineato con il dominio SPF o DKIMUguale; è accettato l’allineamento rilassato (relaxed)
Disiscrizione con un clicMessaggi di marketing e in abbonamento, secondo la RFC 8058, più un link visibileHeader List-Unsubscribe con supporto one-click per i messaggi di marketing e in abbonamento
Rispetto delle disiscrizioniEntro 48 ore (consigliato)Entro 2 giorni
Tasso di spamInferiore allo 0,3%; Google consiglia di restare sotto lo 0,10%Inferiore allo 0,3%

Per i negozi online contano alcuni dettagli:

  • Gmail conta per dominio. I messaggi inviati dallo stesso dominio principale contano ai fini del limite di 5.000, quindi email degli ordini, marketing e risposte dell’assistenza si sommano.
  • Contano solo gli account Gmail personali. Le linee guida non si applicano ai messaggi inviati ad account Google Workspace.
  • La posta transazionale è esente dalla disiscrizione con un clic. Le conferme d’ordine richiedono comunque l’autenticazione.

La disiscrizione con un clic usa due header definiti nella RFC 8058 (si apre in una nuova scheda), che richiede anche una firma DKIM valida che li copra:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Per verificare che la tua piattaforma di marketing li aggiunga, apri il sorgente originale di una delle tue campagne.

Cosa è cambiato dopo febbraio 2024?

I controlli si sono inaspriti per gradi e altri provider di posta hanno adottato regole simili.

DataModificaFonte
Febbraio 2024Entrano in vigore i requisiti di Gmail e Yahoo (Yahoo ha introdotto i controlli in modo graduale)Google (si apre in una nuova scheda), Yahoo (si apre in una nuova scheda)
Giugno 2024Gmail: i mittenti bulk con un tasso di spam superiore allo 0,3% non possono più accedere alle misure di mitigazioneFAQ di Gmail (si apre in una nuova scheda)
1° giugno 2024Scadenza di Gmail per la disiscrizione con un clic per i mittenti che avevano già un link di disiscrizioneFAQ di Gmail (si apre in una nuova scheda)
5 maggio 2025Requisiti di Outlook.com per i domini che inviano più di 5.000 email al giorno; l’aggiornamento di Microsoft del 29 aprile indica che i messaggi non conformi vengono rifiutati con 550 5.7.515Microsoft (si apre in una nuova scheda)
Novembre 2025Gmail intensifica i controlli, con rifiuti temporanei e permanentiFAQ di Gmail (si apre in una nuova scheda)
Maggio 2026La RFC 9989 rende obsoleta la RFC 7489 come specifica di DMARCIETF (si apre in una nuova scheda)

Le regole di Outlook.com si applicano ai suoi indirizzi consumer (outlook.com, hotmail.com e live.com) e richiedono che SPF e DKIM siano superati e un record DMARC almeno p=none allineato con SPF o DKIM.

Come si configurano SPF, DKIM e DMARC su Shopify?

Autentica il dominio del mittente nel pannello di amministrazione di Shopify, poi aggiungi un record DMARC presso il tuo provider DNS.

La guida alla configurazione delle email (si apre in una nuova scheda) di Shopify spiega che dal 1° febbraio 2024 Gmail e Yahoo richiedono un dominio autenticato e un record DMARC per inviare da un indirizzo con il tuo marchio. Se i record di autenticazione non sono configurati, Shopify riscrive l’indirizzo del mittente nel formato store+123@shopifyemail.com. I passaggi:

  1. Nel pannello di amministrazione di Shopify, vai su Impostazioni > Notifiche.
  2. Nella sezione Email del mittente, fai clic su autentica il tuo dominio.
  3. Aggiungi presso il tuo provider DNS tutti i record CNAME mostrati. Il loro numero può variare. Secondo Shopify, questi record gestiscono SPF e DKIM per il tuo indirizzo mittente e non devi aggiungere indirizzi IP.
  4. Considera fino a 48 ore perché le modifiche DNS diventino effettive.
  5. Aggiungi un record TXT con nome _dmarc e valore v=DMARC1; p=none;, che Shopify usa come impostazione predefinita.

Se hai acquistato il dominio da Shopify o lo hai trasferito su Shopify, è Shopify a gestire questi record per te. Shopify avverte inoltre che un dominio può avere un solo record DMARC e che le impostazioni di allineamento rigoroso (adkim=s o aspf=s) vanno rimosse o cambiate in r.

L’autenticazione di Shopify copre la posta inviata da Shopify. Se usi un’altra piattaforma per le campagne, un help desk o Google Workspace per la posta del personale, ciascuno ha bisogno della propria configurazione DKIM e, se usa il tuo dominio per i bounce, della propria voce SPF.

Come si configura l’autenticazione email per WooCommerce?

Invia le email di WooCommerce tramite un provider dedicato che firmi con il tuo dominio, come raccomanda la stessa documentazione di WooCommerce.

WooCommerce invia la posta con la funzione WordPress wp_mail() e le sue FAQ sulle email (si apre in una nuova scheda) raccomandano un provider SMTP dedicato, più affidabile della funzione di posta del tuo server. Una configurazione tipica:

  1. Scegli un provider di email transazionali e verifica il tuo dominio presso di lui. Il provider ti fornisce i record DKIM e l’include SPF da pubblicare.
  2. Collega WordPress a quel provider con un plugin SMTP o API.
  3. In WooCommerce > Impostazioni > Email, imposta l’indirizzo del mittente (From address) su un indirizzo del tuo dominio. WooCommerce avverte che un indirizzo pubblico, ad esempio su Gmail o Yahoo, rischia di finire nello spam o di essere bloccato.
  4. Pubblica un record DMARC su _dmarc.yourdomain.
  5. Controlla WooCommerce > Stato > Log e filtra per la sorgente transactional-emails per vedere quali messaggi sono stati inviati e quali non sono andati a buon fine.

Se anche il tuo hosting invia posta per il dominio, autenticalo o disattivalo. Qualsiasi sistema che invia a nome del tuo dominio senza SPF o DKIM allineati non supera DMARC.

Che cos’è il limite di 10 lookup di SPF e come si resta sotto?

Un controllo SPF può usare al massimo 10 termini che richiedono query DNS; con uno in più il risultato è permerror e SPF non viene superato.

La RFC 7208, sezione 4.6.4 (si apre in una nuova scheda) elenca i termini che contano: i meccanismi include, a, mx, ptr ed exists e il modificatore redirect. I meccanismi ip4, ip6 e all non contano. Contano anche gli include annidati dentro i tuoi include, perché il limite si applica all’intera valutazione. La RFC raccomanda inoltre di limitare a due i “void lookup” (query che non restituiscono alcuna risposta) e indica che il meccanismo ptr non dovrebbe essere pubblicato.

Come restare sotto i 10:

  • Rimuovi gli include dei servizi che non usi più.
  • Usa ip4 o ip6 per i server che gestisci tu con indirizzi fissi.
  • Sposta la posta di marketing su un sottodominio come news.example.com, che ha un proprio record SPF e un proprio conteggio.
  • Non pubblicare mai due record SPF. La RFC 7208 vieta i record multipli e la valutazione restituisce permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com e spf.example-marketing.com sono segnaposto per i valori che ti indicano i tuoi provider.

Come si passa DMARC da p=none a p=reject?

Parti da p=none con i report attivi, correggi ogni fonte legittima che emerge dai report, poi rendi più rigorosa la policy.

FaseRecordObiettivo
1. Monitoraggiov=DMARC1; p=none; rua=mailto:dmarc@example.comRaccogliere report aggregati su chi invia a nome del tuo dominio
2. CorrezioneNessuna modificaFare in modo che ogni fonte legittima superi SPF o DKIM allineati
3. Quarantenav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comLa posta che non supera i controlli finisce nello spam
4. Rifiutov=DMARC1; p=reject; rua=mailto:dmarc@example.comLa posta che non supera i controlli viene rifiutata

Passa alla fase successiva solo quando i report mostrano che la piattaforma del negozio, lo strumento di marketing, l’help desk e la posta del personale superano tutti i controlli. I report aggregati sono definiti nella RFC 9990 (si apre in una nuova scheda). Se l’indirizzo rua si trova su un altro dominio, ad esempio quello di un servizio di reportistica, quel dominio deve pubblicare un record che autorizzi la ricezione dei report.

Le guide meno recenti suggeriscono un’introduzione graduale con pct=25 o pct=50. La RFC 9989 ha rimosso pct (la sua voce nel registro è ora “historic”) perché i valori diversi da 0 e 100 venivano applicati in modo incoerente. Al suo posto, t=y chiede ai server riceventi di applicare la policy immediatamente inferiore, ad esempio quarantine invece di reject. Se vuoi una fase di prova, usa t=y invece delle percentuali parziali.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Una policy applicata apre anche la strada a BIMI, che mostra il tuo logo nelle caselle di posta che lo supportano. Per BIMI, Gmail richiede DMARC con p=quarantine o p=reject e un Verified Mark Certificate o un Common Mark Certificate (Google (si apre in una nuova scheda)). Per la posta in arrivo sul tuo dominio, MTA-STS (RFC 8461 (si apre in una nuova scheda)) ti permette di chiedere ai server mittenti di rifiutare la consegna ai tuoi server di posta se questi non offrono TLS con un certificato attendibile.

Come puoi verificare i record del tuo negozio?

Interroga i tre tipi di record con dig, oppure usa uno strumento di verifica che li legga per te.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Il selettore DKIM te lo fornisce il provider, e puoi trovarlo nel valore s= dell’header DKIM-Signature di un messaggio che hai inviato. Il report sulla deliverability delle email legge il tuo DNS pubblico, conta i lookup SPF, prova i selettori DKIM più comuni e controlla la policy DMARC, rua, pct, BIMI e MTA-STS. Dei record corretti aiutano, ma nessuna configurazione garantisce il recapito nella posta in arrivo, perché i provider di posta valutano anche le segnalazioni di spam e il comportamento di invio.

Domande frequenti

Mi serve DMARC se il mio negozio invia meno di 5.000 email al giorno?

Gmail richiede DMARC solo ai mittenti bulk, ma Shopify segnala che Gmail e Yahoo richiedono un dominio autenticato e un record DMARC per inviare da un indirizzo con il tuo marchio. Un record p=none comporta un rischio basso e ti fornisce i report, quindi la maggior parte dei negozi dovrebbe pubblicarne uno.

Il mio dominio può avere due record SPF?

No. La RFC 7208 stabilisce che un dominio non deve avere più record SPF e, se ne ha più di uno, la valutazione SPF restituisce permerror. Unisci tutti i mittenti in un unico record.

Con p=reject le email degli ordini di Shopify vengono bloccate?

No, a patto che i record CNAME di Shopify siano configurati e che i report DMARC mostrino la posta di Shopify che supera DKIM allineato. Controlla i report prima di andare oltre p=none e mantieni l’allineamento rilassato, come consiglia Shopify.

Il tag pct di DMARC è ancora valido?

La RFC 9989, pubblicata a maggio 2026, ha rimosso pct e introdotto t=y per la modalità di test. Le indicazioni di Google su BIMI chiedono ancora pct=100, che è il valore predefinito quando il tag è assente, quindi per i nuovi record la scelta più semplice è omettere pct.

Superare SPF, DKIM e DMARC garantisce che le mie email arrivino nella posta in arrivo?

No. L’autenticazione è un requisito, non una garanzia. Gmail e Yahoo valutano anche il tasso di segnalazioni di spam, la gestione delle disiscrizioni e la formattazione dei messaggi.

Fonti

Tutte le guide