Microsoft impone SPF, DKIM e DMARC per i mittenti ad alto volume

A partire dal 5 maggio 2025, Microsoft introduce nuove regole stringenti per chi invia grandi volumi di email verso domini Outlook, Hotmail, Live e altri servizi consumer. I domini che mandano più di 5.000 messaggi al giorno dovranno rispettare obbligatoriamente i protocolli SPF, DKIM e DMARC, altrimenti le email rischiano di essere filtrate come spam o rifiutate.

Cosa cambia e chi è coinvolto

• Le email da domini “bulk senders” che non rispettano i requisiti (*) verranno inizialmente recapitati nella cartella Spam / Posta indesiderata, e successivamente bloccati completamente se la non conformità persiste.
• I criteri minimi richiesti sono:
  1. SPF → il dominio mittente deve passare il controllo SPF
  2. DKIM → una firma valida DKIM
  3. DMARC → almeno policy p=none, con allineamento a SPF o DKIM
• I messaggi che non soddisfano queste condizioni genereranno un errore tipo:
  • 550 5.7.15 Access denied, sending domain ... does not meet the required authentication level. ``` :contentReference[oaicite:3]{index=3}

Perché Microsoft adotta queste misure

• Per ridurre phishing, spoofing e abusi di dominio.
• Per spingere il settore verso migliori pratiche di autenticazione email, come già fatto da Google e Yahoo.
• Per proteggere gli utenti finali, migliorando l’integrità delle caselle Outlook/Live/Hotmail.

Impatti e raccomandazioni per chi invia email

• Se invii marketing, newsletter, notifiche automatiche → verifica subito i tuoi record SPF, assegna firm DKIM, imposta DMARC.
• Se un dominio che non gestisci (servizio esterno) invia per tuo conto → assicurati che usino autenticazione corretta e allineamento con il tuo dominio.
• Risparmia tempo: metti policy DMARC progressive (inizia con p=none, passa a p=quarantine o reject dopo test).
• Controlla report e log (DMARC RUA / RUF) per capire fallimenti di autenticazione.

Avvertenze e note pratiche

• Anche se un dominio imposta p=reject, Microsoft 365 / Exchange Online potrebbe non applicare sempre il rifiuto se ci sono configurazioni interne particolari (SCL, regole personalizzate) che bypassano DMARC.
• C’è rischio che email legittime finiscano in spam se i record non sono perfetti al primo tentativo.
• Alcuni servizi legittimi che “modificano” il messaggio in transito (rivoluzionano intestazioni, forwarding) possono rompere DKIM/SPF/DMARC, quindi serve configurare ARС/trust dove applicabile.