Home / Guida

Il tuo dominio può essere falsificato? Controllalo in cinque minuti

Tre record DNS decidono se chiunque può mandare email a nome tuo. Qui trovi come leggerli da solo, cosa significano e come si sistemano. Se preferisci, li misuriamo noi gratis.

In sintesi

Record da controllare	3: SPF, DKIM, DMARC
Tempo	cinque minuti con nslookup
Chi li modifica	chi gestisce il dominio, dal pannello DNS
Percorso sicuro	none, poi quarantine, poi reject
Costo della verifica fai da te	zero

La guida vale per qualunque dominio, non solo per gli e-commerce.

Perché conta

Se il tuo dominio non è protetto, una fattura falsa con il tuo indirizzo nel mittente arriva ai tuoi clienti senza che nessun server la fermi. E c’è un effetto meno visibile: Google e Yahoo dal 2024, Microsoft dal 2025, chiedono l’autenticazione a chi invia in volume e trattano con sospetto la posta non autenticata. Le conferme d’ordine finiscono nello spam e nessuno te lo dice.

Nel nostro studio su 1.263 e-commerce italiani, l’84,2% era in questa situazione.

I tre record

Record	Dove sta	A cosa serve	Segno di problema
SPF	record TXT sul dominio che inizia con `v=spf1`	dice quali server possono spedire a tuo nome	manca, oppure finisce con `~all` o `?all`
DKIM	record TXT su `selettore._domainkey.tuodominio.it`	firma ogni email, così il destinatario sa che non è stata alterata	manca: il tuo fornitore di posta ti dice qual è il selettore
DMARC	record TXT su `_dmarc.tuodominio.it` che inizia con `v=DMARC1`	dice cosa fare con le email che dichiarano il tuo dominio ma non passano i controlli	manca, oppure ha `p=none`

Come leggerli da solo

Serve solo un terminale. Su Windows apri PowerShell, su Mac o Linux il Terminale, e scrivi, sostituendo il tuo dominio:

nslookup -type=TXT tuodominio.it
nslookup -type=TXT _dmarc.tuodominio.it

Il primo comando mostra l’SPF, se c’è: cerca la riga che inizia con v=spf1 e guarda come finisce. Il secondo mostra il DMARC: cerca v=DMARC1 e la parte p=. Per il DKIM serve il nome del selettore, che dipende da chi ti fornisce la posta: i più comuni sono default, google, selector1 e selector2, e si controllano con nslookup -type=TXT selettore._domainkey.tuodominio.it.

Se non ti va di farlo a mano, la verifica istantanea fa questi controlli al posto tuo e ti mostra l’esito subito, senza chiederti l’email.

Cosa significa quello che trovi

Cosa trovi	Cosa significa	Esito
Nessun DMARC	Chiunque può scrivere a nome tuo e la posta viene consegnata	IRREGOLARE
DMARC con `p=none`	Il record c’è ma chiede di non bloccare nulla: serve solo a osservare	IRREGOLARE
DMARC con `p=quarantine`	La posta falsa finisce nello spam del destinatario	DA MISURARE
DMARC con `p=reject` e SPF con `-all`	La posta falsa viene rifiutata prima di arrivare	REGOLARE

Come si sistema, senza rompere la posta

L’errore classico è passare in un colpo solo a p=reject: se un servizio legittimo, il gestionale o la newsletter, non è nell’SPF, da quel momento le sue email vengono rifiutate. La sequenza sicura è in tre passi, ciascuno di circa un mese.

Osserva. Pubblica DMARC con p=none e un indirizzo rua= per ricevere i rapporti. Nei rapporti compare chiunque spedisca a nome tuo, compresi i servizi che non ricordavi di usare.
Completa. Aggiungi all’SPF tutti i servizi legittimi trovati nei rapporti e attiva il DKIM per ciascuno. Quando i rapporti mostrano che tutto il traffico buono passa, passa a p=quarantine.
Chiudi. Dopo un altro mese pulito, p=reject e SPF con -all. Da lì la posta falsa non arriva più.

Sono modifiche ai record DNS, non al sito: le fa chi gestisce il dominio, in genere dal pannello del registrar, e non richiedono sviluppatori.

Preferisci che lo misuriamo noi

Facciamo gli stessi controlli, più il DKIM su una lista di selettori e l’MTA-STS, e ti mandiamo l’esito per iscritto entro 48 ore lavorative. Gratis, e la misura parte solo se la chiedi tu.

Chiedi la misura

Questa guida non è un parere legale e non sostituisce la configurazione fatta da chi gestisce la tua posta.