La decisione: mantenere la casella, cambiare il record MX
Cambiare servizio di posta e cambiare protezione sono due progetti diversi. Il primo sposta le caselle, lo storico, i calendari e gli account sui telefoni. Il secondo riguarda solo il percorso della posta in arrivo.
Questo percorso si riassume in un record DNS: il record MX, che indica ai server mittenti dove consegnare la posta del suo dominio. Quando indica il gateway, quest’ultimo riceve, analizza e poi consegna il messaggio al server delle caselle. Ciò vale per:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange installato in sede o in hosting;
- qualsiasi altro server di posta che riceve via SMTP;
- Klytic Mail, che è solo un caso tra gli altri, non un prerequisito.
Questa guida tratta il caso in cui si mantiene la casella. Se cambia anche server, le guide migrare da Microsoft 365 e migrare da Google Workspace descrivono quel progetto.
Chi modifica che cosa
| Impostazione | Dove | Chi |
|---|
| Record MX del dominio | Zona DNS, presso il registrar o il provider DNS | La persona che gestisce il DNS, o il fornitore che ne ha ricevuto la delega |
| Configurazione del gateway nel servizio di posta | Console di amministrazione di Microsoft 365, di Google Workspace o del server | L’amministratore della posta elettronica |
| SPF, DKIM e DMARC | Zona DNS | Chi gestisce il DNS, dopo l’inventario dei server che inviano per il dominio |
| Domini e server di consegna | Gateway | Il fornitore del gateway, che prepara la configurazione |
Il principio lato Microsoft 365
La documentazione Microsoft sul filtraggio tramite un servizio di terze parti è chiara: il record MX del dominio deve indicare questo servizio, che poi consegna a Exchange Online. Microsoft raccomanda un connettore in ingresso di tipo «partner», che può rifiutare la posta arrivata senza passare per il servizio. Raccomanda anche di attivare il filtro avanzato per i connettori, affinché la sua analisi valuti il vero mittente e non l’indirizzo del gateway. Sconsiglia di limitarsi a escludere dal suo filtraggio gli indirizzi del servizio di terze parti.
Il principio lato Google Workspace
Google descrive un «gateway della posta in arrivo»: il record MX indica il gateway, poi l’amministratore ne dichiara gli indirizzi IP nella console. Gmail li usa per ritrovare nelle intestazioni l’indirizzo reale del mittente, da cui dipendono SPF e la sua valutazione dello spam. È anche possibile rifiutare la posta che non proviene dal gateway. Google precisa che non applica la policy DMARC del mittente alla posta ricevuta tramite un gateway dichiarato: questo controllo spetta allora al gateway.
Questa guida non riproduce le schermate di queste console, che cambiano. Al momento della configurazione segua la pagina ufficiale citata in fondo alla pagina.
Più server dietro un unico gateway
Caso frequente in un gruppo: la società madre su Microsoft 365, una controllata su Google Workspace, una terza su un server storico. Un solo gateway può stare davanti a tutti e tre.
Il principio è un instradamento per dominio. Il record MX di ogni dominio punta al gateway. Per ogni dominio, il gateway conosce il server a cui consegnare la posta dopo l’analisi. L’analisi è comune, la destinazione cambia.
Vantaggio: una stessa policy di filtraggio, o impostazioni diverse per dominio, e la lettura di tutte le decisioni nello stesso posto. Punto da preparare: un dominio le cui caselle fossero ripartite tra due server richiede di sapere, indirizzo per indirizzo, dove consegnare. Questo caso si esamina prima del passaggio.
Che cosa cambia e che cosa non cambia
Non cambiano: gli indirizzi, le caselle, lo storico, il programma di posta, la webmail, i telefoni. Il filtro integrato del servizio di posta continua a funzionare. I diritti e le condivisioni interne restano quelli della piattaforma.
Cambiano:
- Il primo server che riceve la posta. È lui che vede la connessione di origine e verifica l’autenticazione del mittente.
- Il server delle caselle non vede più direttamente il mittente, ma il gateway. Da qui la configurazione descritta sopra.
- I messaggi riportano le intestazioni di decisione del gateway: un amministratore può leggervi perché un messaggio è stato consegnato o messo da parte.
- Se il gateway inoltra anche la posta in uscita, il record SPF del dominio deve autorizzarlo e la firma DKIM deve essere pubblicata per esso. Il significato di questi meccanismi è spiegato in SPF, DKIM e DMARC.
Il giorno in cui cambierà anche il server delle caselle, il gateway può restare al suo posto: cambia solo il suo server di consegna. La guida migrare la posta elettronica senza interruzioni resta il riferimento per quel giorno, anche per SPF, DKIM e DMARC.
L’attivazione, in ordine
- Inventario: domini, server delle caselle di ciascuno, applicazioni che inviano posta a nome del dominio.
- Preparazione del gateway da parte del suo fornitore: domini accettati, server di consegna, regole iniziali.
- Configurazione del gateway nel servizio di posta (connettore in ingresso o gateway della posta in arrivo), se la piattaforma lo prevede.
- Riduzione preventiva del TTL del record MX, poi modifica del record MX. Per la durata della cache DNS, una parte dei mittenti consegna ancora direttamente al server delle caselle: è normale.
- Verifica: un messaggio inviato da un indirizzo esterno deve arrivare con le intestazioni di decisione del gateway.
- Monitoraggio della quarantena nei primi giorni, per rilasciare i falsi positivi e adattare le regole.
Il ritorno alla situazione precedente è semplice: ripristinare il vecchio record MX. Si prepara come per una migrazione, con una persona che ha il potere di deciderlo.
Che cosa il gateway non fa
Vede la posta che lo attraversa, e solo quella. Non vede i messaggi scambiati tra due caselle di una stessa piattaforma che non ne escono, né i file condivisi in uno spazio di archiviazione online, né gli accessi degli utenti.
Non sostituisce quindi le impostazioni interne di Microsoft 365 o di Google Workspace: diritti, autenticazione a due fattori, avvisi di accesso, regole di inoltro automatico. Un account rubato resta innanzitutto una questione del servizio di posta. La guida spam, phishing, malware e account compromesso distingue i diversi casi.
Infine, un mittente che conosce l’indirizzo tecnico del server delle caselle può tentare di consegnare direttamente a esso, senza passare per il record MX. È il motivo del blocco proposto da Microsoft (connettore partner) e da Google (rifiuto della posta che non passa dal gateway).
Domande frequenti
Bisogna avvisare gli utenti?
I loro indirizzi non cambiano. Li avvisi però che potranno ricevere avvisi di quarantena: veda Quarantena, falsi positivi e segnalazioni.
Bisogna disattivare il filtro di Microsoft 365 o di Google?
No. Microsoft raccomanda di lasciare attiva la sua analisi e di configurarla in modo che veda il vero mittente, anziché aggirarla.
Quanto tempo richiede il passaggio?
La modifica del record MX in sé diventa effettiva al ritmo della cache DNS. La preparazione dipende dal numero di domini e di server. Per Klytic MTA, veda la sezione seguente.
Un gateway posto davanti cambia la recapitabilità dei nostri invii?
Solo se inoltra anche la posta in uscita. In questo caso SPF e DKIM devono tenerne conto: veda SPF, DKIM e DMARC.
Perché non cambiare semplicemente servizio di posta?
È un’altra decisione, con altri criteri. È trattata in scegliere una posta elettronica aziendale europea.
Dove si colloca Klytic
Klytic MTA si colloca davanti al servizio di posta che lei già utilizza: Microsoft 365, Google Workspace, Exchange, Klytic Mail o qualsiasi altro server. Non presuppone una casella Klytic.
- Attivazione: generalmente da 24 a 48 ore. Klytic prepara la configurazione; lei modifica il record MX del suo dominio, oppure Klytic lo fa per lei. La configurazione del gateway nella console di Microsoft 365 o di Google Workspace viene effettuata dall’amministratore di quel servizio di posta e si prepara con Klytic al momento dell’attivazione.
- Implementazione: cloud Klytic, istanza dedicata o server del cliente. Per esigenze particolari, altre architetture si progettano con Klytic, per esempio un filtraggio nel cloud e un relay installato presso di lei, oppure più regioni.
- Offerte: Essential e Advanced. Essential copre l’autenticazione, l’antispam, l’antivirus, il phishing, i domini sosia, la quarantena, la firma DKIM degli invii e il richiamo prima dell’invio. Advanced aggiunge la frode finanziaria, la protezione al clic, la console DMARC e l’esportazione dei log verso un SIEM.
- Prova: 30 giorni gratuiti, senza cambiare servizio di posta.
Klytic MTA non gestisce i diritti né gli account del suo attuale servizio di posta e non promette equivalenza con gli strumenti di sicurezza integrati in Microsoft 365 o in Google Workspace: si aggiunge davanti a essi.
Questa pagina descrive un principio. Le console di Microsoft e Google evolvono: per la procedura fa fede la loro documentazione ufficiale.
Fonti
Consultate a ottobre 2026.
- Microsoft Learn, «Manage mail flow using a third-party cloud service with Exchange Online» (Gestire il flusso di posta con un servizio cloud di terze parti in Exchange Online): il record MX deve indicare il servizio di terze parti; connettore in ingresso di tipo partner; filtro avanzato per i connettori anziché un’esclusione dal filtraggio. learn.microsoft.com
- Guida di Google Workspace, «Set up an inbound mail gateway» (Configurare un gateway della posta in arrivo): record MX verso il gateway, dichiarazione dei suoi indirizzi IP, possibile rifiuto della posta che non passa dal gateway; la policy DMARC del mittente non viene applicata da Gmail alla posta ricevuta tramite il gateway. knowledge.workspace.google.com
- RFC 5321, SMTP: gli host intermedi sono in genere indicati dal record MX del DNS. rfc-editor.org
- Klytic, pagina Klytic MTA: moduli delle offerte Essential e Advanced, opzioni, modalità di implementazione, attivazione tramite il record MX. klytic.com
