SPF, DKIM e DMARC in Exchange Online: configurare l'autenticazione della posta elettronica

By Mirko Peters · 2026-10-29

Scopri come configurare SPF, DKIM e DMARC in Exchange Online per proteggere il tuo dominio, prevenire lo spoofing e garantire tassi di recapito della posta elevati.

Automatically translated with AI from the original post. Read the English original

Proteggere la posta elettronica in uscita e in entrata della tua organizzazione in Microsoft 365 richiede la corretta configurazione di SPF, DKIM e DMARC. Questa guida spiega come questi tre fondamentali protocolli di autenticazione della posta elettronica lavorano insieme in Exchange Online per proteggere il tuo dominio da spoofing, attacchi di phishing e mancati recapiti indesiderati.

Punti chiave

• SPF definisce quali server di posta sono autorizzati a inviare email per conto del tuo dominio personalizzato.
• DKIM firma crittograficamente i messaggi in uscita per verificare che il contenuto dell'email non sia stato alterato durante il transito.
• DMARC utilizza i risultati di SPF e DKIM per stabilire come i server di ricezione devono gestire le email non autenticate che si presentano come provenienti dalla tua organizzazione.
• Il routing predefinito tramite onmicrosoft.com garantisce una consegna di base, ma i domini personalizzati richiedono record SPF e DKIM espliciti nel tuo DNS pubblico.
• Un monitoraggio DMARC efficace inizia con un criterio 'none' prima di passare a una quarantena rigorosa o all'applicazione del rifiuto.

Comprendere l'autenticazione della posta in Exchange Online

Quando si esegue la migrazione a Exchange Online, le organizzazioni spesso si concentrano molto sulla migrazione delle caselle di posta, sui connettori ibridi e sulla condivisione dei calendari. Tuttavia, far funzionare correttamente il flusso della posta richiede molto più che indirizzare i record MX verso Microsoft. Senza un'adeguata autenticazione della posta, le comunicazioni aziendali legittime finiscono spesso nelle cartelle dello spam o, peggio, gli autori di minacce possono facilmente falsificare l'identità del tuo brand.

I protocolli di autenticazione della posta fungono da passaporto digitale e da guardie di sicurezza per il tuo dominio. Quando una casella di Exchange Online invia un messaggio a un destinatario esterno come Gmail o Yahoo, i server di ricezione vogliono la prova certa che il messaggio provenga davvero dalla tua organizzazione e non sia stato falsificato da un terzo malintenzionato. È qui che la triade SPF, DKIM e DMARC diventa indispensabile per qualsiasi amministratore cloud moderno.

Il ruolo di SPF in Exchange Online

Lo Sender Policy Framework (SPF) è un record TXT fondamentale pubblicato nel tuo provider DNS pubblico. Elenca esplicitamente gli indirizzi IP e i servizi autorizzati a inviare email per conto del tuo dominio. Per un tenant di Exchange Online, il record SPF deve includere il meccanismo di inclusione di Microsoft.

Un tipico record SPF di Exchange Online risulta sorprendentemente semplice e include solitamente include:spf.protection.outlook.com. Quando un server esterno riceve un'email dal tuo dominio, interroga il DNS pubblico, controlla il record SPF e verifica se l'indirizzo IP del server di invio corrisponde all'elenco autorizzato. Se la tua organizzazione utilizza strumenti di marketing di terze parti, sistemi di ticketing o piattaforme HR che inviano posta per tuo conto, questi servizi devono essere integrati con attenzione nell'unico record SPF per evitare errori di sintassi e superamenti del limite di ricerche DNS.

Implementazione della firma DKIM

Mentre SPF convalida il server di invio, DomainKeys Identified Mail (DKIM) convalida l'integrità del messaggio stesso. DKIM aggiunge una firma digitale all'intestazione di ogni email in uscita. Questa firma è legata crittograficamente a una chiave pubblica pubblicata nelle impostazioni DNS del tuo dominio.

Exchange Online rende semplice la configurazione di DKIM tramite il portale di Microsoft Defender, anche se richiede la creazione di specifici record CNAME presso il registrar DNS esterno. Una volta attivato, Exchange Online firma automaticamente i messaggi in uscita. Se un malintenzionato intercetta e modifica l'email durante il transito, l'hash crittografico non supera la verifica e il gateway di posta del destinatario capisce subito che il messaggio è stato manomesso. Attivare DKIM è un passaggio obbligatorio per migliorare la consegna dei messaggi presso i principali provider di posta, sia consumer sia aziendali.

Applicare i criteri DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) unisce SPF e DKIM in un unico criterio. Un record DMARC indica ai server di posta del destinatario cosa fare se un messaggio in arrivo non supera sia il controllo SPF sia quello DKIM. Soprattutto, DMARC introduce anche le regole di allineamento, che garantiscono che il dominio visibile all'utente finale nell'intestazione 'From' corrisponda ai domini autenticati da SPF e DKIM.

Quando si inizia con DMARC in Exchange Online, gli amministratori dovrebbero sempre partire da un criterio di monitoraggio (p=none). Questa impostazione istruisce i server destinatari a inviare ogni giorno i report XML aggregati e forensi a un indirizzo di reporting designato, senza bloccare alcuna posta. Analizzando questi report, gli amministratori IT possono individuare mittenti non autorizzati, correggere i sistemi interni configurati in modo errato e passare gradualmente il criterio a p=quarantine e infine a p=reject per la massima protezione del dominio.

Risoluzione dei problemi comuni del flusso di posta

Anche con configurazioni DNS corrette, gli amministratori che gestiscono il flusso di posta di Exchange Online si trovano di fronte a insidie non sempre evidenti. Un problema frequente si presenta negli ambienti ibridi, in cui le email vengono instradate sia attraverso i server Exchange locali sia tramite Exchange Online Protection (EOP). Se i connettori di inoltro interni non dispongono delle autorizzazioni corrette o delle dichiarazioni degli IP di origine, i messaggi in uscita possono compromettere la firma DKIM o generare soft-fail SPF.

Un'altra sfida ricorrente riguarda le applicazioni di terze parti che inoltrano posta tramite Exchange Online con la submission SMTP client o con il metodo direct send. Se tali applicazioni usano il dominio personalizzato principale nell'indirizzo del mittente senza essere esplicitamente autorizzate nel record SPF o autenticate tramite una casella dedicata all'applicazione, i filtri antispam segnalano rapidamente i messaggi. Esaminare i log di tracciamento dei messaggi nell'interfaccia di amministrazione di Exchange aiuta a individuare queste lacune di autenticazione prima che abbiano un impatto sulle attività quotidiane.

Conclusioni e prossimi passi

Proteggere il dominio personalizzato in Exchange Online va ben oltre la semplice creazione di caselle di posta e la condivisione del calendario. Padroneggiare SPF, DKIM e DMARC garantisce che le comunicazioni della tua organizzazione restino affidabili, conformi e recapitate in sicurezza nelle caselle di posta dei destinatari di tutto il mondo. Per approfondire l'architettura di base della posta, le caselle condivise e le strategie cloud rispetto a quelle ibride, non perdere la puntata completa del podcast: troverai una spiegazione chiara e priva di gergo tecnico su tutto ciò che accade all'interno del principale motore di posta di Microsoft.

Domande frequenti

Qual è la stringa include SPF per Exchange Online?

La stringa include SPF standard per Exchange Online di Microsoft 365 è include:spf.protection.outlook.com. Indica ai server destinatari di considerare attendibile l'infrastruttura cloud autorizzata di Microsoft per l'invio di posta per il tuo dominio.

Exchange Online attiva DKIM automaticamente?

No: Microsoft fornisce l'infrastruttura, ma gli amministratori devono attivare manualmente DKIM nel portale di Microsoft Defender e pubblicare i record CNAME richiesti presso il registrar DNS pubblico.

Qual è il criterio DMARC consigliato per iniziare?

Il criterio consigliato per iniziare è p=none. Consente di raccogliere i report DMARC aggregati e forensi senza influire sulla consegna della posta, aiutandoti a identificare le fonti legittime di posta prima di applicare criteri più restrittivi di quarantena o rifiuto.

Perché le mie email di Exchange Online finiscono nello spam?

Le email finiscono spesso nello spam se il dominio non ha record SPF, DKIM o DMARC configurati correttamente, oppure se l'indirizzo IP di invio ha una cattiva reputazione. Configurare questi protocolli di autenticazione migliora la reputazione del mittente e garantisce il corretto posizionamento nella casella di posta.