DKIM per Gmail: una guida completa alla configurazione per il 2026

Probabilmente ti sarà già capitato. Una richiesta di un cliente, un preventivo o una campagna su cui hai lavorato a lungo finiscono nello spam, e l’unico indizio è che il mittente sembra corretto, mentre Gmail tratta comunque il messaggio come sospetto. È esattamente qui che entra in gioco DKIM per Gmail, perché fornisce a Gmail un segnale crittografico che conferma che la tua posta proviene realmente dal tuo dominio e non è stata alterata durante il percorso.

Gmail non considera più l’autenticazione come un semplice optional. I dati di Google mostrano che il 76,9% delle email ricevute da Gmail è firmato con DKIM, e Google richiede ai mittenti di massa l’utilizzo di SPF, DKIM e DMARC (guida all’autenticazione Gmail di Google). Se invii newsletter, email di vendita, aggiornamenti di assistenza o campagne di mail merge, DKIM diventa parte della configurazione di base, non un’ottimizzazione successiva. Per una panoramica più ampia sullo stack di autenticazione, consulta le basi dell’autenticazione email.

Perché i tuoi messaggi Gmail necessitano dell’autenticazione DKIM

Quando un cliente dice di non aver mai visto il tuo preventivo, il tuo follow-up o la tua email di campagna, il problema spesso nasce dalla fiducia. Gmail deve decidere se il messaggio sembra provenire genuinamente dal tuo dominio, e questa decisione influisce sulla sua destinazione: posta in arrivo, tab promozioni o spam.

DKIM, ovvero DomainKeys Identified Mail, fornisce a Gmail questa prova. Firma la posta in uscita con una chiave specifica del dominio e Gmail controlla tale firma all’arrivo del messaggio. Se la firma corrisponde, il messaggio ha maggiori probabilità di essere trattato come posta aziendale legittima ed è meno probabile che venga bloccato dai filtri.

La posta firmata aiuta anche a proteggere il tuo dominio dallo spoofing. Senza DKIM, qualcuno può inviare un messaggio che sembra provenire dalla tua azienda e i provider di posta hanno meno segnali per distinguere la tua posta da una copia falsa. Questo è un rischio diretto per le piccole imprese che si affidano a Gmail per le risposte ai clienti, le fatture e le campagne di mail merge.

Un dominio firmato ti offre anche un segnale di reputazione più pulito. Gmail considera l’autenticazione come parte del quadro generale di fiducia, quindi un messaggio firmato correttamente supporta la tua reputazione di mittente invece di costringere Gmail a indovinare se la posta sia sicura. Per una visione d’insieme su come si incastrano i vari pezzi, consulta questa panoramica sull’autenticazione.

Molte piccole imprese cercano di risolvere i problemi di deliverability modificando gli oggetti, distanziando gli invii o riscrivendo il corpo del testo. Tali aggiustamenti possono favorire il coinvolgimento, ma non sostituiscono l’autenticazione. Se il messaggio non è firmato correttamente, Gmail avrà sempre un motivo per trattarlo con cautela.

Genera la tua chiave DKIM in Google Workspace

Inizia dalla console di amministrazione di Google Workspace, quindi accedi all’area di autenticazione Gmail per il dominio che desideri firmare. Il flusso di configurazione di Google è progettato attorno a un’idea semplice: generare un nuovo record, pubblicarlo nel DNS, quindi tornare alla console di amministrazione e fare clic su Avvia autenticazione (sequenza di configurazione DKIM di Google Workspace).

Trova la schermata di autenticazione

Il percorso si trova solitamente sotto App, poi Google Workspace, poi Gmail e infine Autentica email. È qui che Google crea il materiale DKIM legato al tuo dominio. Se gestisci più di un dominio, fai attenzione a scegliere quello responsabile dell’invio della posta, piuttosto che solo quello che possiede il tuo sito web.

Il prefisso del selettore fa parte del nome del record che Google ti fornisce. Pensalo come un’etichetta che aiuta Gmail a sapere quale chiave DKIM cercare in seguito. La documentazione di Google mostra anche che le chiavi a 2048 bit sono l’opzione preferita quando il tuo ambiente le supporta, il che riflette uno spostamento verso un’autenticazione crittografica più forte rispetto al minimo indispensabile.

Nota operativa: genera prima la chiave in Google, quindi copia l’esatto nome host e il valore TXT forniti. Indovinare il nome del record è uno dei modi più rapidi per compromettere la configurazione.

Copia i dettagli del record con attenzione

Google mostrerà un nome host DNS e un valore del record TXT. Questi due elementi contano più del flusso della schermata. Il nome host è ciò che il DNS utilizza per pubblicare la chiave e il valore TXT è la metà pubblica del record di firma.

Se utilizzi uno strumento di posta o un flusso di lavoro di outreach collegato a Gmail, questo è anche il momento in cui dovresti assicurarti di impostare il dominio di invio corretto. Per le aziende che utilizzano un dominio in Gmail e un altro in una piattaforma di invio, la scelta del dominio sbagliato è una fonte comune di confusione. Se hai bisogno anche della parte SPF, questa guida SPF di Gmail si abbina bene alla configurazione DKIM.

Mantieni il testo del record esattamente come fornito da Google. Anche un piccolo errore di battitura nell’etichetta dell’host o nel valore incollato può impedire al dominio di autenticarsi in seguito, e non potrai accorgertene guardando solo la schermata di composizione di Gmail.

Pubblica il record DKIM nel DNS del tuo dominio

Il tuo provider DNS è il luogo in cui la chiave DKIM diventa attiva per il mondo esterno. Google può generare il record, ma Gmail non si fiderà della firma finché quella chiave pubblica non esisterà nella zona DNS del dominio da cui invii.

Apri l’area di gestione DNS del dominio e aggiungi un record TXT con l’esatto nome host e il valore TXT forniti da Google. Quel record è ciò che consente a Gmail di controllare la posta in uscita in seguito. Se il tuo provider utilizza un’interfaccia semplificata, cerca i record DNS, i record di dominio o le impostazioni DNS avanzate.

Qui la precisione conta più della velocità. Copia il testo esattamente come mostrato, perché questo non è il posto dove abbreviare, riformattare o “ripulire” il valore. Un carattere mancante o uno spazio extra possono interrompere l’autenticazione anche se il record sembra corretto a prima vista.

Forma campione, non una copia da incollare alla cieca:
Nome host, il selettore DKIM generato da Google.
Tipo, TXT.
Valore, l’intera stringa DKIM fornita da Google.

Per gli strumenti di mail merge e i flussi di lavoro di outreach collegati a Gmail, la scelta del dominio deve corrispondere alla casella di posta che invia i messaggi. Se la tua piattaforma di invio utilizza un dominio diverso da quello in Google Workspace, un record sulla zona sbagliata non farà nulla per la deliverability. Se hai bisogno anche che l’SPF sia allineato, questa risorsa di configurazione SPF per Gmail è un utile compagno mentre completi i record di autenticazione.

Dopo aver pubblicato il record, lascia il tempo al DNS di aggiornarsi prima di testare. Alcuni provider mostrano la modifica rapidamente, mentre altri impiegano più tempo per apparire ovunque su Internet. La guida sui tempi di propagazione DNS spiega perché gli amministratori spesso attendono prima di provare ad attivare la firma in Google Admin, poiché il lato DNS è solitamente la parte più lenta della configurazione (guida sui tempi di propagazione DNS).

Se gestisci già l’SPF, mantieni l’intero set di record coerente in tutto il dominio. DKIM, SPF e il dominio di invio devono puntare nella stessa direzione, specialmente se invii da Gmail e da una piattaforma di outreach separata. Un record pubblicato sul dominio sbagliato non aiuterà Gmail a fidarsi della posta che lascia il tuo sistema.

Una volta che il record è a posto, torna in Google Admin e preparati ad attivare la firma. Se la voce DNS è malformata, Google non sarà in grado di verificare la chiave e il problema sembrerà un problema di Gmail anche se è iniziato nel DNS.

Verifica e testa la tua configurazione DKIM

Dopo che il record DNS è attivo, torna in Google Admin e fai clic su Avvia autenticazione. Quell’interruttore non crea DKIM da solo, ma dice a Google di iniziare a firmare la posta dopo che può vedere la chiave pubblica nel DNS. La configurazione è considerata completa solo quando Google mostra il dominio come completamente autenticato nella console di amministrazione.

Il controllo più pulito rimane un messaggio reale inviato a una casella di posta esterna. La guida di Google stessa suggerisce di ispezionare le intestazioni e cercare una riga Authentication-Results che mostri esplicitamente dkim=pass header.i=@tuodominio.com (guida alla verifica DKIM di Google Workspace). Questo ti dice che la firma è sopravvissuta al transito e corrisponde al dominio che avrebbe dovuto rappresentare.

Com’è fatto un risultato positivo

Un test superato mostra solitamente il risultato DKIM nelle intestazioni grezze, non nella visualizzazione normale del messaggio. Potresti anche vedere campi correlati che confermano l’identità del firmatario, ma la riga chiave è quella che dice che DKIM è passato per il tuo dominio. Se quella riga manca, tratta il messaggio come non verificato finché non ne capisci il motivo.

Un verificatore di terze parti può aiutare, ma dovrebbe confermare ciò che l’intestazione ti dice già. Usalo come un rapido controllo di sanità mentale, non come l’unica fonte di verità. La prova più forte rimane un messaggio esterno reale con intestazioni valide riconosciute da Gmail.

Se l’intestazione dice dkim=pass, la firma funziona. Se non lo dice, il problema è solitamente il posizionamento del record, la propagazione o una mancata corrispondenza tra il selettore e la voce DNS live.

Molti amministratori si fermano troppo presto e si affidano solo allo stato della console di amministrazione. È utile, ma non sostituisce la lettura dell’intestazione del messaggio dal lato ricevente. La casella di posta è dove Gmail prende la sua decisione, quindi è lì che vuoi confermare il risultato.

Risoluzione dei problemi DKIM comuni

La maggior parte dei problemi DKIM rientra in un piccolo insieme di categorie prevedibili. Ognuna lascia una traccia diversa, quindi di solito puoi restringerla senza tirare a indovinare, anche se stai inviando da uno strumento di mail merge e stai controllando perché una campagna finisce diversamente dalla successiva.

Quando Google dice che l’autenticazione non è verificata

Se Google mostra ancora il dominio come non verificato, inizia dalla propagazione. Gli aggiornamenti DNS non appaiono sempre ovunque contemporaneamente, quindi un record DKIM nuovo può sembrare corretto nel tuo pannello di controllo mentre Gmail vede ancora lo stato precedente. Alcune guide alla configurazione consigliano di attendere prima di fare clic su Avvia autenticazione in Google Admin, che è spesso la mossa più sicura se la modifica è stata appena pubblicata.

Se lo stato non cambia ancora dopo quell’attesa, ispeziona il record TXT nella tua dashboard DNS riga per riga. Un carattere mancante, un nome host errato o un record aggiunto sotto l’etichetta sbagliata possono bloccare la verifica anche quando l’interfaccia sembra a posto.

Quando il controllo dell’intestazione fallisce

Un’intestazione fallita significa solitamente che il messaggio è stato inviato, ma la firma non corrisponde a ciò che Gmail si aspettava. Ciò accade spesso quando il selettore nell’email non corrisponde al selettore che hai pubblicato, o quando esiste più di un record DKIM e il sistema di invio sceglie quello sbagliato.

Per i mittenti che utilizzano strumenti di mail merge o outreach, questo si presenta spesso come un messaggio che è stato firmato da qualche parte nel percorso ma che non regge nella casella di posta del destinatario. Se stai anche affrontando problemi di posizionamento, rivedi i modi pratici per prevenire problemi di spam in Gmail. DKIM aiuta con l’autenticazione, ma non risolve da solo ogni problema di filtraggio.

Quando il record DNS sembra corretto ma fallisce comunque

A volte il record è lì ed è comunque sbagliato. Il valore TXT deve corrispondere esattamente al testo generato da Google, incluso il tag della versione DKIM e il materiale della chiave. Se il tuo provider DNS racchiude il valore in un modo che modifica la stringa, reinseriscilo in modo che l’intero record rimanga intatto.

Se il provider non gestisce il formato di chiave che hai scelto, una configurazione DNS diversa potrebbe essere più facile da gestire. In pratica, gli errori di copia e incolla causano più fallimenti dei limiti del provider, quindi inizia controllando il record rispetto a ciò che ha generato Google.

Ordine di risoluzione dei problemi: verifica che il record esista, conferma che il selettore corrisponda, attendi la propagazione, quindi riesegui il test dell’intestazione.

Quella sequenza ti impedisce di modificare troppe variabili contemporaneamente. Se modifichi il record, il selettore e lo strumento di invio tutti nello stesso momento, non saprai quale modifica ha risolto il problema.

Se il tuo team vuole anche tenere la posta in uscita fuori dallo spam, questi modi pratici per prevenire problemi di spam in Gmail ti forniscono un utile controllo successivo una volta che DKIM è attivo.

Suggerimenti avanzati per mail merge e manutenzione

Un passaggio DKIM non significa automaticamente che ogni messaggio si comporterà allo stesso modo. La guida di Google punta verso l’allineamento DMARC, dove il dominio di firma DKIM, il valore d=, corrisponde al dominio Mittente visibile. Se non si allineano, un messaggio può comunque sembrare autenticato in un senso pur fallendo il controllo di allineamento che conta per la consegna e la fiducia (guida DKIM di Google Workspace).

Questo conta molto per i flussi di lavoro di mail merge, gli invii CRM e gli strumenti di supporto. Una campagna può essere firmata correttamente dal servizio di invio ma apparire comunque disallineata dal punto di vista del destinatario se il mittente visibile e il dominio autenticato divergono. Per i team che valutano strumenti di outreach più ampi, le risorse per il marketing digitale delle piccole imprese possono aiutare a inquadrare l’autenticazione come parte dell’intero stack, non come una soluzione autonoma.

Se utilizzi un prodotto come Mail Merge for Gmail, la domanda chiave è se i messaggi escono dal dominio che hai già autenticato e se l’indirizzo Mittente visibile corrisponde a quel dominio. Questa è la linea pratica tra un messaggio tecnicamente firmato e uno configurato per un allineamento più pulito tra Gmail e le altre caselle di posta.

Mantieni la manutenzione semplice

Tratta DKIM come una risorsa continua, non come un’attività una tantum. Verifica che il selettore corrisponda ancora al record live dopo qualsiasi modifica DNS, migrazione di dominio o cambio di piattaforma. Se ruoti mai le chiavi, aggiorna prima la voce DNS, quindi conferma la nuova firma prima di ritirare quella vecchia.

Tieni d’occhio anche gli altri livelli di autenticazione. SPF e DMARC non sostituiscono DKIM, ma rendono la configurazione complessiva molto più resiliente. In un ambiente di piccola impresa, quella combinazione è solitamente più facile da mantenere sana rispetto al tentativo di diagnosticare problemi di posta in arrivo in seguito.

Se gestisci diversi mittenti, fai un breve inventario di ogni sistema che invia posta per conto della tua azienda. Strumenti di newsletter, help desk, piattaforme di fatturazione e invii manuali da Gmail possono comportarsi tutti in modo diverso. Le persone che evitano i peggiori problemi di deliverability sono quelle che sanno esattamente quale sistema firma quale messaggio.

---

Se stai configurando tutto questo per aggiornamenti ai clienti, outreach o campagne di mail merge, completa il lavoro controllando sia l’intestazione di Gmail che il dominio Mittente visibile, quindi mantieni SPF e DMARC sincronizzati con la stessa identità di invio. Se desideri un flusso di lavoro di invio basato su Gmail che rimanga vicino alla posta in arrivo mentre gestisci la personalizzazione da Sheets, dai un’occhiata a Mail Merge for Gmail.