ACN pubblica le nuove Linee Guida email: SPF, DKIM e DMARC diventano una priorità per sicurezza, NIS2 e GDPR

La posta elettronica continua a essere uno dei principali vettori di attacco. Se il dominio aziendale non è configurato correttamente, un soggetto terzo può inviare messaggi fingendo di rappresentare l’organizzazione, con impatti concreti su dipendenti, clienti, fornitori e partner. Le nuove indicazioni ACN nascono proprio per rafforzare l’affidabilità del servizio email e ridurre il rischio di abusi sull’identità del mittente.

Il punto centrale è semplice: senza una corretta autenticazione del mittente, chi riceve un’email può avere maggiori difficoltà a distinguere una comunicazione legittima da un tentativo di spoofing o phishing. Per un’impresa questo significa esporsi non solo a truffe e incidenti informatici, ma anche a disservizi, perdita di fiducia e possibili conseguenze sul piano della gestione degli incidenti e della protezione dei dati personali.
Per i soggetti NIS2, inoltre, il tema si inserisce nel quadro delle misure di sicurezza richieste dal d.lgs. 138/2024 e delle specifiche di base ACN. Per tutti i titolari del trattamento, resta poi fermo l’obbligo di adottare misure tecniche e organizzative adeguate al rischio, come previsto dall’art. 32 del GDPR.

La risposta, in pratica, è: quasi tutti. Sicuramente le organizzazioni rientranti nel perimetro NIS2, ma anche le PMI che usano il dominio aziendale per inviare email a clienti, fornitori, candidati, consulenti o partner. Un dominio non protetto può essere sfruttato per campagne fraudolente anche se l’azienda non ha una struttura IT complessa.
Per un CEO o un imprenditore la questione è strategica, non solo tecnica: la posta elettronica è uno strumento critico di business, e un abuso del dominio aziendale può tradursi in danno reputazionale, frodi di pagamento, compromissione delle comunicazioni e gestione urgente di un incidente. Per un IT manager, invece, queste Linee Guida rappresentano un riferimento operativo preciso da tradurre in configurazioni DNS, policy e monitoraggio.

Le Linee Guida ACN si concentrano sulla corretta configurazione dei protocolli SPF, DKIM e DMARC, indicati come elementi chiave per consentire ai server di posta di verificare autenticità e integrità dei messaggi e applicare una policy coerente sui messaggi non conformi.

Il record SPF va pubblicato nel DNS come record TXT e deve includere tutti gli indirizzi IP o i servizi autorizzati a inviare email per conto del dominio. Questo comprende non solo il provider di posta principale, ma anche eventuali servizi cloud, CRM, piattaforme di newsletter, sistemi HR o payroll che inviano messaggi usando il dominio aziendale. Le Linee Guida richiamano l’uso di una configurazione che escluda esplicitamente gli altri mittenti non autorizzati e sconsigliano configurazioni permissive.
In termini pratici, è un passaggio che richiede un censimento accurato di tutti i servizi che spediscono email per conto dell’organizzazione. Se anche un solo fornitore viene dimenticato, si rischiano problemi di recapito o falsi allarmi.

DKIM aggiunge una firma digitale ai messaggi in uscita, così da consentire ai server destinatari di verificare che il contenuto non sia stato alterato e che il messaggio sia effettivamente riconducibile a un soggetto autorizzato dal dominio. Nelle indicazioni ACN emergono requisiti precisi, tra cui l’uso di chiavi RSA a 2048 bit, la protezione della chiave privata e la rotazione periodica delle chiavi.
Per le organizzazioni che utilizzano più fornitori terzi, la logica corretta è evitare configurazioni indistinte e usare chiavi separate per ciascun soggetto autorizzato all’invio. Questo riduce il rischio e migliora la tracciabilità delle sorgenti di posta.

DMARC è il livello che mette ordine: indica ai server destinatari come trattare i messaggi che non superano i controlli SPF e DKIM e consente di ricevere report aggregati tramite il campo rua. Le Linee Guida ACN richiamano policy di enforcement almeno in quarantena e, in ottica più robusta, il rifiuto dei messaggi non conformi.
Questo punto è decisivo perché senza DMARC, anche una presenza parziale di SPF e DKIM può non essere sufficiente a bloccare efficacemente gli abusi. Inoltre, i report aiutano a capire se qualcuno sta tentando di inviare email a nome del dominio o se ci sono errori di configurazione interni da correggere.

DMARC è il livello che mette ordine: indica ai server destinatari come trattare i messaggi che non superano i controlli SPF e DKIM e consente di ricevere report aggregati tramite il campo rua. Le Linee Guida ACN richiamano policy di enforcement almeno in quarantena e, in ottica più robusta, il rifiuto dei messaggi non conformi.
Questo punto è decisivo perché senza DMARC, anche una presenza parziale di SPF e DKIM può non essere sufficiente a bloccare efficacemente gli abusi. Inoltre, i report aiutano a capire se qualcuno sta tentando di inviare email a nome del dominio o se ci sono errori di configurazione interni da correggere.

Un aspetto spesso trascurato riguarda i domini secondari o “silenziosi”, cioè quelli che l’organizzazione possiede ma non usa per la posta elettronica. Proprio questi domini possono diventare bersagli ideali per tentativi di spoofing perché meno monitorati. Le indicazioni ACN richiamano la necessità di pubblicare policy restrittive anche su questi domini, così da ridurre la superficie di attacco.
In altre parole, la difesa non va applicata solo al dominio principale usato per la posta quotidiana, ma all’intero patrimonio di domini gestiti dall’organizzazione.

Le Linee Guida ACN richiamano anche la verifica della possibilità di abilitare DNSSEC. La misura serve a proteggere l’integrità delle risposte DNS e quindi anche record sensibili come SPF, DKIM e DMARC, riducendo il rischio di manipolazioni lungo il percorso di risoluzione.
Non sempre l’attivazione dipende solo dall’azienda: in molti casi è necessario il coinvolgimento del registrar o del provider DNS. Proprio per questo conviene verificare subito la fattibilità tecnica e inserirla nella roadmap di hardening del dominio.

La prima azione da compiere è molto concreta: inoltrare queste indicazioni al Responsabile IT interno oppure al fornitore che gestisce il servizio email e il DNS aziendale. L’obiettivo non è “avere SPF, DKIM e DMARC in qualche forma”, ma verificare che siano configurati correttamente, in modo completo e coerente con tutti i sistemi che inviano posta per conto dell’organizzazione.
Serve quindi una verifica tecnica su almeno cinque punti: censimento dei servizi di invio, correttezza del record SPF, attivazione DKIM con chiavi adeguate, policy DMARC realmente efficace con report attivi, protezione dei domini secondari e valutazione di DNSSEC. Soprattutto nelle PMI, questo controllo viene spesso rimandato pur trattandosi di una misura ad alto impatto e generalmente sostenibile in termini di tempi e costi.

Le nuove Linee Guida ACN non vanno lette come un adempimento da lasciare in fondo alla lista IT. Per le imprese rappresentano una misura concreta di protezione dell’identità digitale del dominio, di riduzione del rischio di phishing e di rafforzamento della governance della sicurezza. Per i soggetti NIS2, sono anche un riferimento da considerare nel quadro delle misure richieste; per tutti gli altri, restano pienamente coerenti con il principio di sicurezza adeguata al rischio previsto dal GDPR.
Il documento completo è disponibile sul sito dell’Agenzia per la Cybersicurezza Nazionale, insieme alla comunicazione ufficiale di pubblicazione del 17 aprile 2026.