Protezione dell'email aziendale nel 2026: come funziona il filtraggio di spam e phishing per Microsoft 365, Google Workspace e cPanel

La protezione dell'email aziendale nel 2026 consiste nell'applicare un filtro davanti a ogni casella di posta del proprio dominio. Si indirizzano i record MX del dominio verso un gateway di filtraggio, che controlla ogni messaggio in entrata per spam, phishing, malware e spoofing, per poi inoltrare la posta pulita a Microsoft 365, Google Workspace, cPanel/WHM o Exchange. SPF, DKIM e DMARC proteggono il proprio dominio da falsificazioni. iBlockSpam, il servizio di protezione email di BroadNet, funziona in questo modo, a un prezzo fisso per dominio.

Perché l'email aziendale è ancora il canale principale

Il 2025 Internet Crime Report dell'FBI ha registrato 1.008.597 reclami e perdite dichiarate per $20,877 miliardi. Il phishing/spoofing è stato il tipo di crimine più segnalato, con 191.561 reclami. Il business email compromise (BEC) ha registrato molti meno reclami, 24.768, ma le perdite dichiarate sono state di $3.046.598.558, in aumento rispetto ai $2.770.151.146 del 2024. Tra le tipologie di frode informatica, solo la frode sugli investimenti ha causato perdite superiori alle vittime. Il rapporto evidenzia inoltre che le aziende hanno riportato perdite superiori a $30 milioni a causa di truffe BEC che hanno coinvolto l'IA.

Questi numeri coprono solo i reclami presentati a IC3, quindi mostrano l'andamento piuttosto che il costo totale. Dimostrano inoltre che le due minacce operano in sinergia. Il phishing è l'attacco di massa. Il BEC è la fase di guadagno, in cui un'email convincente di un "fornitore" o di un "dirigente" chiede a qualcuno di modificare i dati bancari o di approvare un bonifico. IC3 definisce il phishing come email, messaggi di testo e chiamate telefoniche non richiesti, quindi lo stesso schema viene applicato anche tramite SMS. La nostra guida sulla difesa dal smishing copre l'aspetto relativo ai messaggi di testo.

Come funziona il filtraggio in entrata: il record MX decide

Secondo lo standard SMTP (RFC 5321), un server mittente interroga i record MX del vostro dominio per individuare la destinazione della posta. Qualunque sia il punto indicato da tali record, ogni messaggio in entrata passa prima da lì. Un gateway di filtraggio modifica il percorso da "mittente → server email" a "mittente → gateway → server email". Il gateway accetta la connessione, verifica la reputazione e l'autenticazione del mittente, scansiona link e allegati e, infine, consegna il messaggio, lo mette in quarantena o lo rifiuta.

Le caselle email non vengono spostate. Gli utenti mantengono le stesse app, password e cartelle. Due impostazioni sono più importanti di ogni altra cosa. In primo luogo, ogni record MX deve puntare al gateway, poiché un backup MX dimenticato che punta ancora direttamente al server email permette agli attaccanti di saltare il filtro. In secondo luogo, la piattaforma email dovrebbe accettare posta internet in entrata solo dal gateway. La protezione integrata di Microsoft continua a operare dietro il gateway, garantendo così due livelli indipendenti invece di uno solo.

Microsoft 365, Google Workspace e cPanel: specifiche della piattaforma

Microsoft 365 e Exchange Online

Microsoft documenta questa configurazione in Gestione del flusso di posta tramite un servizio cloud di terze parti. Il record MX punta al servizio di filtraggio e si crea un connettore in entrata Partner che accetta solo la posta proveniente dal certificato o dagli indirizzi IP del servizio. Senza di esso, gli aggressori possono inviare messaggi direttamente al tenant bypassando il filtro. Microsoft "raccomanda vivamente" l'attivazione di Enhanced Filtering for Connectors, nota anche come skip listing. Con un gateway posizionato a monte, ogni messaggio arriva dall'indirizzo IP del gateway. Il filtraggio avanzato (Enhanced Filtering) preserva l'IP sorgente originale e le informazioni sul mittente, consentendo ai controlli di SPF, DKIM, DMARC e anti-spoofing di Microsoft di identificare correttamente il mittente reale. Microsoft sconsiglia di limitarsi a bypassare il filtraggio spam per gli IP del gateway, poiché tali indirizzi sono spesso condivisi tra molti clienti.

Google Workspace

In Google Workspace, è possibile registrare il filtro come inbound mail gateway nella console Admin, elencare i relativi indirizzi IP e, facoltativamente, rifiutare tutta la posta che non provenga dal gateway. Google specifica che Gmail non applica la policy DMARC del mittente ai messaggi che arrivano tramite il gateway, sebbene utilizzi comunque i risultati dell'autenticazione per contrastare spam e phishing. Pertanto, il proprio gateway dovrebbe eseguire i propri controlli di SPF, DKIM e DMARC.

cPanel/WHM ed Exchange on-premises

I server di hosting e gli Exchange gestiti autonomamente seguono la stessa logica MX. Prima di modificare il DNS, confermare quale server riceva effettivamente la posta per il dominio. Successivamente, indirizzare il MX verso il gateway, impostare il gateway per la consegna al proprio server e, laddove la configurazione lo consenta, limitare l'SMTP in entrata agli indirizzi del gateway. Ridurre il TTL del record MX con un giorno di anticipo, in modo che sia la modifica che un eventuale rollback abbiano effetto rapidamente.

SPF, DKIM e DMARC: proteggere il proprio dominio

Il filtraggio in entrata protegge i propri utenti. L'autenticazione del dominio protegge chiunque riceva posta che dichiara di provenire dal proprio dominio. Ognuno dei tre standard dimostra qualcosa di diverso:

• **SPF** (RFC 7208) pubblica quali server possono inviare posta per il vostro dominio. I controlli sono limitati a 10 meccanismi di interrogazione DNS; pertanto, un record con troppe voci "include" risulterà non valido.
• **DKIM** (RFC 6376) aggiunge una firma crittografica che i destinatari verificano rispetto a una chiave pubblica pubblicata nel vostro DNS. Dimostra che il dominio firmatario ha inviato il messaggio e che il messaggio non è stato alterato.
• **DMARC** (RFC 7489) associa SPF o DKIM al dominio presente nell'indirizzo From: visibile, indica ai destinatari cosa fare in caso di errore del messaggio (none, quarantine o reject) e invia report su chi sta inviando posta a nome del vostro dominio.

Nel maggio 2026 l'IETF ha pubblicato RFC 9989, la specifica DMARC aggiornata (il progetto "DMARCbis"), nel Standards Track. Essa rende obsoleta la RFC 7489; due RFC complementari, la 9990 e la 9991, coprono la reportistica aggregata e quella degli errori. I record DMARC esistenti continuano a funzionare. Il percorso standard rimane lo stesso: pubblicare p=none, leggere i report, correggere ogni mittente legittimo, passare poi alla quarantena e infine al rifiuto (reject).

Lookalike domain, impersonificazione e quarantena

DMARC impedisce agli aggressori di utilizzare il tuo dominio esatto. Non può però evitare che ne registrino uno simile, con una lettera scambiata, un trattino aggiunto o un'estensione diversa, inviando messaggi da lì con SPF e DKIM completamente validi. Molti tentativi di BEC avvengono in questo modo, motivo per cui un buon filtro analizza anche l'impersonificazione del display name, i domini mittenti di recente creazione e i domini simili al proprio nome. Monitorare la registrazione di domini simili al proprio permette di ricevere un avviso prima che inizino a inviare email.

La quarantena determina se gli utenti accetteranno o meno un filtro. Le email sospette dovrebbero essere trattenute, non eliminate, e ogni utente dovrebbe poter visualizzare i messaggi trattenuti e rilasciare un messaggio legittimo senza dover aprire un ticket. Gli amministratori necessitano di una visualizzazione globale del dominio e della cronologia dei messaggi per tracciare eventuali reclami su email mancanti. Il servizio di Microsoft, ad esempio, invia di default il phishing ad alta affidabilità direttamente in una quarantena accessibile solo agli amministratori. Decidi in anticipo chi può rilasciare cosa.

Cosa significano le regole per i mittenti di Gmail, Yahoo e Outlook.com per il tuo dominio

Dal 1 febbraio 2024, le linee guida per i mittenti email di Google richiedono che ogni mittente verso account Gmail configuri SPF o DKIM, utilizzi TLS, abbia DNS di inoltro e di inversione validi e mantenga il tasso di spam riportato in Postmaster Tools al di sotto dello 0,3%. I mittenti che inviano più di 5.000 messaggi al giorno devono inoltre disporre di SPF, DKIM e DMARC, con il dominio From: allineato, e supportare la disiscrizione con un solo clic per le email di marketing. Le linee guida di Yahoo (Sender Hub) stabiliscono lo stesso standard di base: SPF o DKIM per tutti, entrambi più DMARC con almeno p=none per gli invii massivi, un tasso di spam inferiore allo 0,3% e la gestione delle disiscrizioni entro 2 giorni. Yahoo dichiara di non pubblicare una soglia di volume per definire chi sia considerato un mittente massivo.

Microsoft ha seguito la stessa linea per gli indirizzi consumer di Outlook.com (hotmail.com, live.com, outlook.com). Il suo annuncio di aprile 2025 richiede che i domini che inviano più di 5.000 email al giorno superino i controlli SPF e DKIM e pubblichino DMARC con almeno p=none, in linea con SPF o DKIM. A partire dal 5 maggio 2025, le email non conformi saranno rifiutate con l'errore "550; 5.7.515 Access denied". Per un'azienda tipica, ciò comporta due conseguenze. Ogni piattaforma che invia email a nome del tuo dominio, come il CRM, lo strumento di fatturazione o la piattaforma di marketing, necessita di un'autenticazione allineata. Inoltre, una volta applicata DMARC, diventa molto più difficile per gli aggressori falsificare il tuo dominio contro i tuoi stessi clienti. Per l'invio di email transazionali e di marketing, l' Email service di BroadNet gestisce l'invio autenticato tramite SMTP e API.

Checklist: come scegliere un filtro email in entrata

1. 1Funziona davanti alla tua piattaforma (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) utilizzando il metodo documentato dal fornitore, come un connettore con Enhanced Filtering o un gateway in entrata?
2. 2Verifica SPF, DKIM e DMARC sulle email in entrata e rileva l'impersonificazione del display name e dei domini simili (lookalike)?
3. 3Ogni utente dispone di una propria quarantena personale con riepiloghi, oltre a una visualizzazione per l'amministratore e una cronologia dei messaggi ricercabile?
4. 4Cosa succede se il server email va offline? Verifica la presenza di un periodo di spooling dichiarato.
5. 5Il prezzo è per utente o per dominio? Quali sono i limiti di volume e di dimensione dei messaggi inclusi?
6. 6La configurazione registra il DNS attuale e fornisce i passaggi per il rollback? Qualcosa monitora MX, SPF e DMARC per rilevare eventuali derive successive?
7. 7Dove viene elaborata la posta, cosa viene memorizzato e per quanto tempo?
8. 8Le condizioni di rimborso, le modalità di cancellazione e le procedure di disdetta sono indicate prima della firma?

L'email è solo un canale. Se i vostri clienti ricevono password monouso o avvisi via SMS, applicate la stessa disciplina anche lì. Consultate la nostra guida agli standard di sicurezza SMS OTP e utilizzate MobileValidate per verificare numeri di telefono e indirizzi email prima dell'invio.

Come si integra iBlockSpam

iBlockSpam fa parte del gruppo di marchi BroadNet. Secondo la sua pagina di funzionamento, si indirizzano i record MX verso i server di filtraggio di iBlockSpam; ogni messaggio in entrata viene quindi controllato per spam, virus, malware, phishing e spoofing prima che la posta pulita venga inoltrata al server già in uso. I passaggi sono: controllo, configurazione, verifica e monitoraggio. Una procedura guidata mostra i record DNS attuali e nuovi affiancati e salva i passaggi per il rollback. iBlockSpam non modifica il DNS per conto vostro. Ecco i dati ufficiali:

• Compatibile con Microsoft 365, Google Workspace, cPanel/WHM, Exchange e altri server di posta.
• Quarantena personale per ogni utente con riepiloghi programmati, quarantena amministrativa condivisa e 30 giorni di cronologia messaggi.
• In caso di indisponibilità del server di posta, i messaggi vengono trattenuti fino a 5 giorni e consegnati non appena il server torna operativo.
• Caselle postali e alias di dominio illimitati. Ogni dominio include 100.000 messaggi in entrata al mese, una dimensione massima dei messaggi di 400 MB e 500 messaggi di relay in uscita con firma DKIM.
• Lookalike Domain Watch, monitoraggio dei report DMARC e avvisi di drift MX/SPF/DMARC (settimanali su Protect, giornalieri su Protect Plus).
• La posta viene elaborata negli Stati Uniti.

Prezzi per dominio, in USD, IVA esclusa: **Protect** costa $12 per dominio al mese con fatturazione annuale ($144 all'anno) o $15 con fatturazione mensile. **Protect Plus** costa $19 con fatturazione annuale ($228 all'anno) o $24 con fatturazione mensile e aggiunge il monitoraggio giornaliero, un report mensile per il proprietario e una sessione di configurazione con un esperto. Non è previsto un periodo di prova gratuito. In alternativa, il primo abbonamento annuale di un dominio include una garanzia di rimborso di 30 giorni. L'Email Health Check gratuito analizza i selettori MX, SPF, DMARC e i comuni DKIM senza necessità di un account. L'approccio security più ampio di BroadNet e il Trust Center riportano le certificazioni del gruppo.

Domande frequenti

Il filtro anti-spam integrato di Microsoft 365 è sufficiente per un'azienda?

Per alcune organizzazioni lo è. Microsoft 365 include protezioni anti-spam, anti-malware e anti-phishing per ogni casella postale cloud, ed è attivo per impostazione predefinita. Un gateway separato aggiunge uno strato indipendente davanti ad esso, con i propri sistemi di rilevamento, quarantene personali, spooling in caso di interruzione del servizio e controlli per dominio. Se ne aggiungi uno, segui la configurazione documentata da Microsoft: un connettore Partner blindato con Enhanced Filtering for Connectors attivato.

Cos'è un filtro anti-spam di livello MX?

Un filtro anti-spam di livello MX è un servizio a cui puntano i record MX del tuo dominio, pertanto riceve tutte le email in entrata prima del tuo server di posta. Controlla ogni messaggio per spam, phishing, malware e spoofing, consegna la posta pulita alla tua piattaforma esistente e trattiene la posta sospetta in quarantena. Le tue caselle postali, le app e le password rimangono invariate. Cambia solo il percorso che la posta compie per raggiungerle.

Cos'è Enhanced Filtering for Connectors in Exchange Online?

Enhanced Filtering for Connectors, chiamata anche skip listing, è un'impostazione di Microsoft 365 per i connettori in entrata che ricevono posta da un servizio posizionato davanti a Exchange Online. Analizza l'indirizzo IP oltre quello del gateway per identificare il mittente originale, in modo che i controlli di SPF, DKIM, DMARC e anti-spoofing di Microsoft valutino la vera sorgente. Microsoft lo raccomanda vivamente ogni volta che il record MX punta a un filtro non Microsoft.

SPF, DKIM e DMARC bloccano le email di phishing?

Bloccano un tipo di phishing: le email che falsificano esattamente il proprio dominio. Con DMARC impostato su quarantena o rifiuto, i destinatari possono bloccare i messaggi che utilizzano falsamente il proprio indirizzo From:. Non bloccano i domini simili (lookalike), gli account compromessi di fornitori reali o il phishing inviato da account gratuiti correttamente autenticati. Per questi sono necessari il filtraggio in entrata, i controlli di impersonificazione e personale che verifichi le modifiche ai pagamenti tramite un secondo canale.

Cosa è cambiato con le regole per gli invii massivi di Gmail, Yahoo e Outlook.com?

Da febbraio 2024, Gmail (oltre 5.000 messaggi al giorno) e Yahoo (mittenti massivi, senza una soglia pubblicata) richiedono SPF e DKIM, DMARC di almeno p=none con allineamento, disiscrizione con un solo clic e tassi di spam inferiori allo 0,3%. Dal 5 maggio 2025, Outlook.com rifiuta la posta non conforme dai domini ad alto volume con l'errore 550 5.7.515. Ogni mittente necessita di almeno SPF o DKIM.

Qual è la differenza tra phishing e business email compromise?

Il phishing è la categoria generale: messaggi non richiesti che impersonano un'organizzazione affidabile per rubare credenziali, denaro o dati. Il business email compromise è una frode mirata contro le aziende che pagano i fornitori o spostano fondi tramite bonifico, utilizzando un account email compromesso o impersonato per dirottare i pagamenti. Il rapporto IC3 del FBI del 2025 ha registrato 191.561 reclami per phishing/spoofing e 24.768 reclami per BEC, con perdite di 3,05 miliardi di $ in BEC.

Un filtro email bloccherà i messaggi legittimi?

Qualsiasi filtro può valutare erroneamente un messaggio, quindi la misura di sicurezza è la quarantena piuttosto che l'eliminazione. Cerca una quarantena personale con riepiloghi regolari in modo che gli utenti possano sbloccare autonomamente un messaggio trattenuto, una quarantena amministrativa condivisa, liste di mittenti approvati per i contatti noti e una cronologia dei messaggi per tracciare quanto accaduto. iBlockSpam, ad esempio, offre ognuna di queste funzioni e conserva 30 giorni di cronologia dei messaggi.

Quanto costa iBlockSpam?

iBlockSpam è tariffato per dominio con caselle email illimitate. Protect costa $12 per dominio al mese con fatturazione annuale ($144 all'anno) o $15 con fatturazione mensile. Protect Plus costa $19 con fatturazione annuale ($228 all'anno) o $24 mensili e include il monitoraggio DNS giornaliero, un report mensile per il proprietario e una sessione di configurazione con un esperto. I prezzi sono in USD IVA esclusa. Non è prevista una prova gratuita, ma il primo abbonamento annuale include una garanzia di rimborso di 30 giorni.

Vuoi scoprire lo stato di salute del tuo dominio? Esegui il Controllo gratuito della salute email su iBlockSpam, poi confronta i piani Protect e Protect Plus. La configurazione richiede solo una modifica MX più i passaggi guidati sulla piattaforma, e le tue caselle email rimarranno dove sono.