Un tuo cliente riceve una email dal tuo indirizzo. Oggetto: nuove coordinate bancarie per il pagamento della prossima fattura. La firma è la tua. Solo che quella email non l'hai mai inviata. Non serve violare i tuoi sistemi: basta scrivere il tuo dominio nel campo mittente. Si chiama spoofing (contraffazione del mittente) e colpisce anche le PMI. La difesa è standard: si chiama autenticazione email e si costruisce con tre record nel DNS (il sistema che traduce i nomi dei domini in indirizzi di rete). SPF, DKIM e DMARC. Il controllo richiede dieci minuti.

Due scenari concreti

Scenario uno: le tue email non arrivano. Le offerte finiscono nello spam (la posta indesiderata), le fatture non vengono consegnate, il sollecito parte quando è tardi. Non hai cambiato niente, eppure da mesi la posta svanisce. Succede quando il dominio invia senza autenticazione: i fornitori non possono distinguere te da un truffatore che usa il tuo nome, e nel dubbio bloccano. Per una PMI il costo non è tecnico: è commerciale.

Scenario due: qualcuno scrive ai tuoi clienti a nome tuo. Un truffatore spedisce email dal tuo dominio: chiede un pagamento urgente su un IBAN diverso, oppure devia l'ultimo bonifico di una trattativa in corso. Il danno immediato lo subisce il cliente, ma la fiducia che si rompe è nella tua azienda. Secondo il report annuale 2024 dell'Internet Crime Complaint Center (IC3) dell'FBI, le truffe di business email compromise (compromissione dell'email aziendale) hanno causato perdite dichiarate per circa 2,77 miliardi di dollari. Vale anche al telefono: ne parliamo nell'articolo sul vishing con voci clonate.

Cosa chiedono oggi Google, Yahoo e Microsoft

Per anni l'autenticazione è stata facoltativa. Poi i grandi nomi della posta hanno alzato i requisiti: oggi è una condizione per farsi consegnare.

  • Google: da febbraio 2024 chiede almeno SPF o DKIM a tutti i mittenti. Chi invia 5.000 o più messaggi al giorno verso Gmail deve avere un DMARC valido, mantenere i reclami spam sotto lo 0,3% e offrire la disiscrizione con un clic nelle comunicazioni commerciali.
  • Yahoo: dallo stesso periodo richiede ai mittenti in volume sia SPF sia DKIM, più un DMARC valido.
  • Microsoft: da maggio 2025 chiede requisiti simili a chi invia in volume verso Outlook.com.

Due numeri: 5.000 messaggi al giorno verso ciascun fornitore fanno scattare gli obblighi extra; i reclami spam devono restare sotto lo 0,3% (Google consiglia lo 0,1%). Se invii meno di 5.000 email al giorno pensi di essere fuori dai giochi: gli obblighi più severi valgono per i grandi volumi. Ma i filtri premiano chi è autenticato a qualsiasi volume, e una campagna importante può avvicinarti alle soglie senza che tu te ne accorga.

I tre record spiegati semplice

Pensa al tuo dominio come a un palazzo con un portiere: i tre record sono le regole che applica alla posta.

  • SPF (Sender Policy Framework): la lista degli invitati. Elenca i server autorizzati a spedire per conto del tuo dominio. Se il mittente non è in lista, il fornitore di posta capisce che è un impostore.
  • DKIM (DomainKeys Identified Mail): il sigillo. Ogni email in uscita riceve una firma digitale; il destinatario la verifica e conferma che il messaggio viene da te e non è stato modificato durante il viaggio.
  • DMARC (Domain-based Message Authentication, Reporting and Conformance): il regolamento. Dice a chi riceve cosa fare quando SPF o DKIM non tornano: p=none (solo monitoraggio), p=quarantine (quarantena), p=reject (rifiuto). E ti manda rapporti periodici su chi invia per il tuo dominio.

In sintesi: SPF dice chi può scrivere per te, DKIM garantisce che il messaggio non sia manomesso, DMARC decide cosa fare quando qualcosa non quadra.

Il controllo in dieci minuti

Non serve essere tecnici: un servizio online di ricerca DNS mostra i record pubblici del tuo dominio. Usa il dominio principale, quello con cui scrivi ai clienti.

  1. Cerca il record SPF: una voce di testo che inizia con v=spf1. Se non esiste, la posta viaggia senza lista degli invitati. Se esiste, guarda la coda: -all è severo, ~all è una tolleranza.
  2. Cerca il record DMARC, interrogando _dmarc.tuodominio.it. Cerca la stringa v=DMARC1 e poi la politica: p=none, p=quarantine o p=reject.
  3. Controlla il DKIM: dipende dal selettore scelto da chi gestisce la posta, e se non lo conosci chiedilo al fornitore. Si interroga su selettore._domainkey.tuodominio.it.

Tre esiti tipici: manca tutto e sei esposto; c'è solo l'SPF, meglio di niente ma non basta; c'è tutto ma con p=none, quindi guardi senza proteggere. Controlla anche i sottodomini (campagne, portali, gestionali): restano scoperti anche quando il dominio principale è a posto.

Gli errori tipici

  • La politica p=none lasciata per sempre. Serve per iniziare: osserva senza bloccare nulla. Ma se resta lì per anni non protegge: le email di chi si finge te continuano ad arrivare nelle caselle dei tuoi clienti. Il passaggio a quarantine e poi a reject va fatto quando sai chi invia per il dominio, non a caso.
  • I servizi esterni che inviano per te. Gestionale fatture, newsletter, CRM (i sistemi di gestione clienti), firma email, prenotazioni: se inviano con il tuo dominio ma non sono autorizzati nei record, i loro messaggi falliscono l'autenticazione. E se stringi la politica senza averli censiti, si bloccano. Il censimento completo dei mittenti evita i disastri.
  • I sottodomini dimenticati. marketing.tuodominio.it, portale.tuodominio.it, il gestionale in cloud: ogni sottodominio è una porta, e nessuno lo aggiorna quando cambia il fornitore di posta. Le email inviate da lì non superano i controlli, e agli attaccanti resta più spazio.

Quando serve un intervento tecnico

Il controllo lo fai da solo in dieci minuti. La correzione, spesso, no. Passare da p=none a p=reject richiede tre cose che in una PMI raramente stanno insieme: la mappa di chi invia per il dominio, la lettura dei rapporti DMARC (arrivano in formato XML, poco amichevole) e test per non bloccare email legittime. Un errore qui non è teorico: le offerte non partono, i solleciti non arrivano, le fatture non vengono consegnate.

Se non hai un referente tecnico interno, conviene farsi accompagnare. B2B Driven configura e monitora l'autenticazione email per le PMI: censimento dei mittenti, record corretti, policy che sale di livello senza fermare il business. Partiamo dai record con i nostri servizi di cybersecurity; se la posta passa dai tuoi server e cloud, sistemiamo anche l'infrastruttura di invio. E se un attacco è già andato a segno, serve l'incident response nelle prime 24 ore.

Un dominio non autenticato è come un negozio con la porta aperta: chiunque può entrare usando il tuo nome. Chiudere la porta richiede poco, ma va fatto prima che entri qualcuno.