Come configurare DKIM e SPF nel modo giusto

Se le tue cold email finiscono nello spam, rimbalzano senza un motivo evidente o vengono segnalate da Google e Microsoft, il tuo primo problema non è il testo. È la fiducia. Imparare a configurare DKIM e SPF correttamente è uno dei modi più rapidi per migliorare la deliverability, perché dice ai provider di posta che il tuo dominio ha davvero autorizzato quel messaggio.

Per qualsiasi azienda che invia campagne outbound, questa non è una formalità tecnica facoltativa. Fa parte dell'infrastruttura che genera fatturato. Se usi un dominio personalizzato per l'outreach, SPF e DKIM devono essere attivi prima di aumentare i volumi, testare le campagne o valutare i risultati.

Come configurare DKIM e SPF senza complicarti la vita

SPF e DKIM svolgono compiti collegati, ma non sono la stessa cosa.

SPF, o Sender Policy Framework, indica ai server riceventi quali server di posta sono autorizzati a inviare email per conto del tuo dominio. Pensalo come un elenco di mittenti approvati pubblicato nei tuoi record DNS.

DKIM, o DomainKeys Identified Mail, aggiunge una firma crittografica alle email in uscita. Quella firma dimostra che il messaggio è stato autorizzato dal tuo dominio e che non è stato alterato durante il transito.

Se manca SPF, i provider di posta hanno meno fiducia nel fatto che il tuo server di invio sia legittimo. Se manca DKIM, hanno meno prove che il messaggio stesso sia autentico. Servono entrambi, che lavorano insieme. Nella maggior parte dei casi, prima o poi vorrai anche DMARC, ma SPF e DKIM sono il primo passo.

Prima di configurare qualsiasi cosa

Ti servono due accessi: le impostazioni DNS del tuo dominio e la tua piattaforma di invio email. Il DNS di solito si gestisce dal registrar del dominio o dal provider di hosting. La tua piattaforma di invio può essere Google Workspace, Microsoft 365, il tuo software di cold email, il tuo provider SMTP o un servizio di invio dedicato.

Le schermate esatte cambiano, ma il processo è quasi sempre lo stesso. Il tuo provider di posta ti dà dei record DNS da aggiungere. Tu li pubblichi nelle impostazioni del dominio. Poi verifichi che siano attivi.

Se invii l'outreach da un dominio o sottodominio separato, spesso è la scelta più intelligente. Protegge la reputazione del tuo dominio principale se la qualità delle campagne cala o se i volumi crescono troppo in fretta. Molti mittenti lo ignorano finché le prestazioni non crollano. A quel punto stanno riparando i danni invece di prevenirli.

Passo 1: aggiungi il tuo record SPF

Il tuo record SPF è un record TXT nel DNS. Inizia con v=spf1 e include i servizi autorizzati a inviare posta per il tuo dominio.

Un esempio semplice potrebbe essere questo:

v=spf1 include:_spf.google.com ~all

Questo esempio dice ai provider di posta che Google può inviare email per il tuo dominio. Se usi anche un'altra piattaforma, come uno strumento di outreach o un servizio di email transazionali, potrebbe essere necessario includere anche quella.

Il punto chiave con SPF è che per ogni dominio deve esserci un solo record SPF. Non due. Non uno per ogni strumento. Un unico record che contenga tutti i mittenti autorizzati.

È qui che molte aziende rovinano la deliverability senza accorgersene. Aggiungono un secondo record TXT SPF quando collegano una nuova piattaforma. Il DNS lo accetta, ma i server di posta riceventi possono considerare non valida la configurazione SPF. La soluzione è unire tutti i mittenti autorizzati in un unico record SPF.

Devi anche fare attenzione alla chiusura del record. Il tag ~all è un soft fail, tipico delle configurazioni nelle prime fasi. Il tag -all è un hard fail ed è più severo. Quale usare dipende da quanto sei sicuro di aver incluso ogni fonte di invio legittima. Se passi a -all troppo in fretta e dimentichi un mittente, le email valide possono fallire.

Passo 2: aggiungi il tuo record DKIM

Anche DKIM si aggiunge dal DNS, ma di solito usa uno o più record CNAME o TXT, a seconda del provider.

La tua piattaforma di posta genererà un selettore DKIM e una chiave pubblica. Tu aggiungi quelle informazioni al DNS esattamente come ti vengono fornite. Poi la tua piattaforma di invio usa dietro le quinte la chiave privata corrispondente per firmare i messaggi in uscita.

Un record DKIM spesso sembra più tecnico di SPF, ma la regola vera è semplice: copialo esattamente. Un carattere mancante, una riga spezzata o un nome host sbagliato possono impedire la validazione.

Alcuni provider ti chiedono di pubblicare un valore host come:

selector1._domainkey.yourdomain.com

Poi devi associarvi il valore TXT o la destinazione CNAME corrispondente che ti forniscono.

Una volta che il record si è propagato, il tuo provider dovrebbe riuscire a verificarlo. Dopo la verifica, le email inviate tramite quel provider porteranno una firma DKIM legata al tuo dominio.

Se invii da più provider, puoi avere più selettori DKIM. È normale. A differenza di SPF, DKIM può supportare più record perché ogni selettore è indipendente.

Passo 3: verifica entrambi i record prima di inviare volumi

Non dare per scontato che le modifiche al DNS abbiano funzionato solo perché hai cliccato su salva. La propagazione del DNS può richiedere qualche minuto o, in alcuni casi, di più. La maggior parte delle piattaforme di invio offre un pulsante di verifica o un controllo di stato. Usalo.

Dovresti anche inviare email di prova ad account che controlli tu, come Gmail o Outlook, e ispezionare le intestazioni del messaggio o i risultati di autenticazione. Quello che devi vedere è SPF pass e DKIM pass.

Se uno passa e l'altro no, sei autenticato solo in parte, non configurato del tutto. Potrebbe comunque migliorare i risultati rispetto a inviare senza alcuna autenticazione, ma non è lo standard che vuoi per le campagne outbound.

Errori comuni che danneggiano la deliverability

L'errore più grande è trattare SPF e DKIM come una casella da spuntare. Non lo sono. Una configurazione sbagliata può fare quasi gli stessi danni di nessuna configurazione, perché genera un'autenticazione incoerente.

Un problema frequente è usare il dominio di invio sbagliato. L'indirizzo Da visibile deve essere allineato al dominio che hai autenticato. Se la tua piattaforma firma con un dominio ma il messaggio dichiara di provenire da un altro, la fiducia crolla in fretta.

Un altro problema è dimenticare che l'inoltro può influire su SPF. Poiché SPF controlla il percorso del server di invio, la posta inoltrata può non superare SPF anche quando il mittente originale era legittimo. In quel caso DKIM è più resistente, perché convalida la firma sul contenuto. È uno dei motivi per cui DKIM conta così tanto.

C'è poi il problema dell'appiattimento dei record e dei limiti di ricerca SPF. SPF consente solo un numero limitato di ricerche DNS. Se accumuli troppi include provenienti da troppi strumenti, puoi superare il limite e causare errori. Per un'azienda con un parco strumenti caotico, questo conta. A volte la risposta è fare pulizia, non aggiungere un'altra toppa.

Come incide sulle prestazioni della cold outreach

Se invii email di vendita, l'autenticazione incide direttamente sul posizionamento nella posta in arrivo, non solo sulla conformità. Un'offerta forte non vale nulla se l'email non viene mai vista.

I provider di posta usano l'autenticazione come uno dei vari segnali di fiducia. Non salverà un targeting sbagliato, un testo debole o schemi di invio sconsiderati. Ma senza di essa, anche una campagna ben costruita parte in svantaggio.

Questo vale soprattutto se invii a nuovi prospect su larga scala. La cold outreach è già soggetta a più controlli rispetto alle comunicazioni con i clienti. Hai bisogno che la tua configurazione tecnica riduca gli attriti, non che ne crei di nuovi.

Per questo le aziende che fanno campagne outbound dovrebbero pensare oltre il solo software di invio. Conta tutto il sistema – configurazione del dominio, salute delle caselle, record DNS, aumento graduale dei volumi, qualità della lista e pertinenza del messaggio. Gli strumenti possono accelerare l'esecuzione, ma nessuno strumento può battere la reputazione rovinata di un dominio.

Ti serve anche DMARC?

Sì, di solito. Ma impostiamo le aspettative nel modo giusto.

DMARC si basa su SPF e DKIM. Dice ai provider di posta cosa fare quando l'autenticazione fallisce e ti dà visibilità attraverso i report. Se prima non configuri SPF e DKIM, DMARC ha ben poco su cui lavorare.

Per molte aziende, l'ordine più sensato è SPF per primo, DKIM per secondo, DMARC per terzo. Se ti butti subito su DMARC con una policy di reject e la configurazione di base è sbagliata, puoi bloccare posta legittima. Parti dal monitoraggio, conferma l'allineamento, poi inasprisci la policy col tempo.

Uno standard pratico di configurazione per la maggior parte delle aziende

Se vuoi una base affidabile, usa un dominio o sottodominio di invio dedicato all'outreach, pubblica un solo record SPF pulito, attiva DKIM con la tua piattaforma di invio, verifica entrambi e fai dei test prima di lanciare le campagne. Poi aggiungi DMARC quando le fondamenta sono stabili.

Questo approccio ti dà controllo. Protegge il dominio del tuo brand principale, rende più semplice la risoluzione dei problemi e crea un percorso più pulito per scalare l'outbound.

Per i team non tecnici, la buona notizia è che di solito è una configurazione da fare una volta sola, non un'attività quotidiana. Una volta fatta correttamente, la tua attenzione può tornare a ciò che muove davvero la pipeline – puntare ai prospect giusti, scrivere offerte migliori e inviare con disciplina.

Se prendi sul serio l'email come canale di vendita, non trattare l'autenticazione come un ripensamento. Configurala una volta, verificala come si deve e dai alle tue campagne una possibilità concreta di arrivare nella posta in arrivo.