Configurare SPF, DKIM e DMARC per Microsoft 365

Cosa significa

Con Microsoft 365 è Exchange Online a inviare le tue email. Il tuo dominio deve mostrare ai destinatari che si fida di Microsoft, con tre record DNS:

• SPF elenca i server di Microsoft come mittenti autorizzati.
• DKIM firma ogni email con una chiave legata al tuo dominio.
• DMARC dice ai destinatari cosa fare con le email che falliscono, e ti invia dei report.

Se non hai mai attivato DKIM per il tuo dominio personalizzato, Microsoft firma con il tuo dominio onmicrosoft.com. Quella firma viene superata, ma non corrisponde al tuo indirizzo From, quindi non aiuta il tuo DMARC.

Perché è importante

Gmail, Yahoo e Outlook.com si aspettano SPF e DKIM, e DMARC per chi invia grandi volumi. Microsoft stessa rifiuta o mette nella posta indesiderata sempre più email che falliscono questi controlli.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. SPF, DKIM e DMARC dovrebbero essere tutti superati, con DKIM che mostra d=yourdomain.com.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record SPF e DMARC.

Come risolvere

1. SPF

Presso il tuo provider DNS, tieni un unico record TXT che inizia con v=spf1 su @. Solo per Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Se altri strumenti inviano per te, aggiungi i loro include alla stessa riga. Usa ~all finché non sei sicuro che la lista sia completa.

2. DKIM

1. Apri il portale Microsoft Defender e vai su Email & collaboration, Policies & rules, Threat policies, Email authentication settings, poi sulla scheda DKIM.
2. Seleziona il tuo dominio personalizzato. Microsoft mostra due record CNAME, chiamati selector1._domainkey e selector2._domainkey.
3. Copia i valori esatti mostrati nel portale: puntano a un host Microsoft costruito a partire dai nomi del tuo dominio e del tuo tenant. Non provare a indovinarli.
4. Aggiungi entrambi i record CNAME presso il tuo provider DNS.
5. Aspetta che siano visibili, poi attiva Sign messages for this domain with DKIM signatures.

Due selettori permettono a Microsoft di cambiare le chiavi senza rompere nulla. Tieni entrambi i record per sempre.

3. DMARC

Aggiungi un record TXT chiamato _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Leggi i report per qualche settimana. Quando tutte le fonti reali superano i controlli, passa a p=quarantine, poi a p=reject.

4. Non dimenticare il resto

• Ogni strumento in più (newsletter, fatture, moduli del sito) ha bisogno del proprio include SPF e della propria configurazione DKIM.
• Se possiedi solo il dominio onmicrosoft.com, lì non c'è niente da fare: lo gestisce Microsoft.

Verifica che sia risolto

• Avvia di nuovo lo Scanner di dominio: un record SPF valido e un record DMARC.
• Invia una nuova email di test da Outlook: tutte e tre le righe dovrebbero essere superate, con DKIM firmato dal tuo dominio.
• Con il Monitoraggio DMARC di Delivmail nella dashboard a pagamento, puoi seguire i report giornalieri prima di rendere più severa la tua policy.

Aiuto ufficiale: SPF, DKIM e DMARC per Microsoft 365.