Come configurare SPF, DKIM e DMARC su IONOS

Se il tuo dominio è registrato presso IONOS (in passato 1&1 IONOS), tutti e tre i record di autenticazione email (SPF, DKIM e DMARC) si trovano nello stesso posto: la sezione DNS del pannello di controllo di IONOS. Ognuno è un normale record TXT; tra l'uno e l'altro cambiano il nome host sotto cui lo inserisci e la provenienza del valore. Questa guida mostra esattamente dove IONOS tiene quell'editor, cosa scrivere nel campo host per il dominio principale, per _dmarc e per il selettore DKIM, e come verificare i record una volta attivi. Per capire come i tre record funzionano insieme a livello concettuale, leggi la guida a SPF, DKIM e DMARC; questo articolo è la guida pratica specifica per IONOS.

In breve#

Aggiungerai tre record TXT nello stesso editor DNS di IONOS:

• SPF: un record TXT sulla radice del dominio (host @ o lasciato vuoto), con un valore che inizia con v=spf1 ed elenca ogni servizio autorizzato a inviare a tuo nome.
• DKIM: un record TXT su selector._domainkey, dove sia il nome del selettore sia il lungo valore della chiave pubblica vengono dal tuo provider di posta (Google Workspace, Microsoft 365, SendGrid e così via). Questo valore non lo inventi mai tu.
• DMARC: un record TXT su _dmarc, con un valore che inizia con v=DMARC1, partendo da p=none così puoi monitorare prima di applicare la policy.

I record in sé sono identici a prescindere da chi gestisce il tuo DNS: l'unica parte specifica di IONOS è dove si trova l'editor e cosa va nel campo host. È quello che spiega il resto di questa guida.

Dove IONOS tiene i tuoi record DNS#

IONOS colloca la gestione DNS sotto il dominio invece che in una dashboard DNS a sé stante, quindi il percorso passa dall'elenco dei domini. Dopo aver effettuato l'accesso al tuo account IONOS:

1. Apri il menu principale e vai su Domains & SSL (negli account meno recenti la voce può chiamarsi semplicemente Domains).
2. Nell'elenco dei domini, fai clic su quello che vuoi configurare, oppure sull'icona a ingranaggio / settings accanto.
3. Scegli la scheda o la sezione DNS di quel dominio. Si apre la tabella dei record con le voci A, MX, CNAME e TXT esistenti.
4. Fai clic su Add Record (a volte indicato come Add o con un +) e scegli TXT come tipo di record.

Le etichette e il layout del pannello di controllo di IONOS cambiano di tanto in tanto, quindi la dicitura esatta o la posizione di un pulsante potrebbero essere cambiate da quando è stata scritta questa guida, ma la sequenza è sempre la stessa: trova il dominio, apri i suoi record DNS, aggiungi un nuovo record TXT. Se nel menu a tendina vedi un tipo di record SPF dedicato, puoi ignorarlo: un semplice record TXT è la scelta supportata ovunque e mantiene coerenti tutti e tre i record.

Ogni nuovo record TXT richiede tre informazioni: un Host name (a volte solo Host o Name), un Value (il testo del record) e un TTL. Il TTL indica per quanto tempo i resolver tengono il record in cache; IONOS lo imposta di default a 1 ora, e va bene così. Puoi abbassarlo a 10 minuti mentre stai facendo dei test, così le modifiche compaiono prima, per poi riportarlo al valore predefinito.

Configurare SPF su IONOS#

SPF (Sender Policy Framework) è un unico record TXT che elenca quali server possono inviare posta usando il tuo dominio. Nell'editor dei record di IONOS, aggiungi un record TXT con questi campi:

• Host name: @, il modo in cui IONOS indica il dominio principale (senza sottodominio). Se IONOS rifiuta @ o la descrizione del campo dice di lasciarlo vuoto per la radice, funziona anche un host name vuoto. Non inserire qui il dominio completo.
• Value: la tua stringa SPF, che inizia sempre con v=spf1 e termina con un meccanismo all.
• TTL: lascia 1 ora.

Un valore tipico ha questo aspetto, ma il tuo dipende interamente dai servizi con cui invii:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Il ~all finale è un softfail (accetta i mittenti non autorizzati ma li segnala); -all è un hardfail (li rifiuta del tutto). Ogni servizio di invio che usi (il tuo provider di posta, la piattaforma di marketing, il CRM, lo strumento di fatturazione) deve avere il suo include: in quest'unica stringa. Poiché il valore va composto correttamente, crealo con il generatore di record SPF invece che a mano.

Configurare DKIM su IONOS#

DKIM (DomainKeys Identified Mail) pubblica una chiave pubblica che permette ai destinatari di verificare che ogni messaggio sia stato firmato da te e non sia stato alterato durante il transito. Sia il selettore sia il valore della chiave vengono generati dal tuo provider di posta, quindi il primo passaggio avviene fuori da IONOS: attiva DKIM nella console di amministrazione del tuo provider (Google Workspace, Microsoft 365, le impostazioni di autenticazione del tuo ESP) e copia l'host e il valore che ti fornisce.

Il provider ti darà un host simile a selector1._domainkey.yourdomain.com e un lungo valore che inizia con v=DKIM1. Su IONOS, aggiungi un record TXT:

• Host name: solo la parte del selettore, senza il dominio, ad esempio selector1._domainkey o google._domainkey. IONOS aggiunge il dominio in automatico, quindi inserire il valore completo selector1._domainkey.yourdomain.com lo raddoppierebbe. Togli il .yourdomain.com finale da quanto ti ha mostrato il provider e incolla il resto.
• Value: l'intera stringa della chiave pubblica fornita dal provider, esattamente com'è, qualcosa come v=DKIM1; k=rsa; p=MIGfMA0GCSq... (di solito molto più lunga).
• TTL: lascia 1 ora.

Qui ci sono due cose che mettono spesso in difficoltà. In primo luogo, il nome del selettore è quello scelto dal tuo provider (google, selector1, s1, k1, una stringa casuale), quindi usa esattamente quello indicato nelle sue istruzioni invece di tirare a indovinare. In secondo luogo, i valori DKIM sono lunghi: incolla tutto in una volta e controlla di non aver tagliato l'inizio o la fine. Alcuni provider forniscono per DKIM un CNAME invece di un record TXT; in quel caso aggiungilo come CNAME nello stesso editor di IONOS con l'host e la destinazione che indicano, e salta del tutto il TXT per DKIM.

Configurare DMARC su IONOS#

DMARC (Domain-based Message Authentication, Reporting and Conformance) è il record di policy che collega SPF e DKIM all'indirizzo "From" visibile e dice ai destinatari cosa fare quando un messaggio non supera i controlli. Si trova sempre sull'host fisso _dmarc. Nell'editor di IONOS, aggiungi un record TXT:

• Host name: _dmarc, nient'altro. IONOS aggiunge il dominio, ottenendo _dmarc.yourdomain.com.
• Value: una stringa DMARC che inizia con v=DMARC1, partendo in modalità di monitoraggio.
• TTL: lascia 1 ora.

Un valore iniziale sicuro ha questo aspetto:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

p=none significa "non intervenire ancora, limitati a inviare report". L'indirizzo in rua= è quello a cui vengono inviati i report aggregati giornalieri: indica una casella che leggi davvero. Crea il valore con il generatore di record DMARC in modo che i tag siano corretti, poi segui l'intero processo di implementazione nella guida passo passo a DMARC: resta su p=none per un paio di settimane, leggi i report aggregati finché tutti i flussi legittimi non risultano autenticati e allineati, poi passa a p=quarantine e infine a p=reject. Non pubblicare mai p=reject il primo giorno: manderesti la tua stessa posta nello spam prima di scoprire quali flussi non superavano i controlli.

Verifica i record dopo la propagazione#

Su IONOS le modifiche DNS sono di solito visibili nel giro di pochi minuti, ma possono servire fino a un'ora per la propagazione completa, in linea con il TTL. Dopo aver aggiunto tutti e tre i record, verifica che si risolvano correttamente con il controllo di SPF, DKIM e DMARC: li cerca tutti e tre in una volta e segnala un record mancante, un errore di sintassi o un record SPF duplicato. Se un record non compare ancora, aspetta che scada il TTL e ricontrolla prima di dare per scontato che sia sbagliato.

Avere tutti e tre i record in verde è ciò che soddisfa i requisiti per i mittenti di Google e Yahoo e protegge dallo spoofing la tua reputazione di mittente. Ma l'autenticazione dimostra solo chi sei, non fa di te un buon mittente. Un messaggio autenticato alla perfezione inviato a una lista piena di indirizzi non più attivi finisce comunque nello spam, quindi abbina record puliti a una lista pulita.

Errori comuni su IONOS#

• Inserire il dominio completo nel campo host. IONOS aggiunge il dominio in automatico. Inserisci @ per l'SPF sulla radice, _dmarc per DMARC e selector._domainkey per DKIM, non il something.yourdomain.com completo.
• Due record SPF. Sulla radice può esistere un solo record v=spf1. Se IONOS mostra già un record SPF o TXT di una configurazione precedente, modifica quello invece di aggiungerne un secondo.
• Tirare a indovinare il valore DKIM. Il selettore e la chiave vengono dal tuo provider di posta. Non esiste un valore DKIM generico da incollare: se non hai ancora attivato DKIM nella console del provider, fallo prima.
• Portare subito DMARC all'applicazione della policy. Parti da p=none, monitora e poi sali di livello. Applicare la policy senza la fase di monitoraggio è il modo più rapido per far sparire la posta legittima.
• Non aspettare il TTL. Un record può sembrare "mancante" solo perché la vecchia risposta in cache non è ancora scaduta. Concedi fino a un'ora prima di metterti a cercare il problema.

Domande frequenti#

Dove aggiungo i record SPF, DKIM e DMARC su IONOS?#

Accedi a IONOS, apri Domains & SSL, fai clic sul tuo dominio e apri la sua sezione DNS. Usa Add Record → TXT per ciascun record. Etichette e layout possono cambiare tra una versione e l'altra dell'interfaccia di IONOS, quindi un pulsante potrebbe essersi spostato, ma il percorso passa sempre dall'elenco dei record DNS del dominio. Imposta l'host su @ (o lascialo vuoto) per SPF, su _dmarc per DMARC e sul selector._domainkey del tuo provider per DKIM.

Cosa inserisco nel campo host o nome di IONOS per ogni record?#

Per SPF, inserisci @ per il dominio principale, oppure lascia vuoto l'host se IONOS preferisce così per la radice. Per DMARC, inserisci _dmarc. Per DKIM, inserisci solo la parte del selettore che ti ha dato il provider, come selector1._domainkey o google._domainkey. In ogni caso IONOS aggiunge il dominio in automatico, quindi non scrivere mai il something.yourdomain.com completo nel campo host.

Da dove viene il valore DKIM su IONOS?#

Non da IONOS. Attivi DKIM nella console di amministrazione del tuo provider di posta (Google Workspace, Microsoft 365, il tuo ESP), che genera per te il selettore e il valore della chiave pubblica. Poi incolli quel valore in un record TXT su IONOS. IONOS ospita solo il record: la chiave vera e propria viene emessa da chi invia la tua posta.

Quanto tempo ci vuole perché le modifiche DNS su IONOS funzionino?#

Di solito pochi minuti, ma calcola fino a un'ora per la propagazione completa, in linea con il TTL. IONOS imposta di default il TTL a 1 ora; puoi abbassarlo a circa 10 minuti durante i test, così le modifiche compaiono prima, per poi riportarlo al valore predefinito. Se un record non compare subito, aspetta che scada il TTL prima di pensare che ci sia qualcosa che non va, poi esegui di nuovo il controllo.

Configura correttamente i tre record su IONOS e i provider si fideranno della tua identità, ma un'identità affidabile raggiunge la posta in arrivo solo se la lista che c'è dietro è pulita. Controlla i tuoi indirizzi con la verifica email gratuita per eliminare caselle inattive ed errori di battitura prima che rimbalzino, e usa gli strumenti gratuiti per la deliverability ogni volta che devi generare o ricontrollare un record.