Come configurare SPF, DKIM e DMARC su Namecheap

Namecheap è uno dei servizi più usati per registrare un dominio, quindi per molti mittenti è anche il posto in cui configurano per la prima volta SPF, DKIM e DMARC. La parte rassicurante è che tutti e tre sono normali record TXT del DNS, e Namecheap ti offre un semplice modulo per aggiungerli nella scheda Advanced DNS. L'unica cosa che manda regolarmente in confusione è il campo Host: cosa scrivere per un record SPF a livello di dominio radice, per una policy _dmarc o per un selettore DKIM. Questa guida ti mostra dove va ogni record nell'editor DNS di Namecheap e cosa inserire esattamente in ogni campo, senza toccare i valori dei record, che arrivano dal tuo provider di posta.

In breve#

Su Namecheap aggiungi tutti e tre i record allo stesso modo: Domain List → Manage → Advanced DNS → Add New Record → TXT Record, poi compili Host e Value. A cambiare tra i tre è solo il campo Host:

• SPF: Host @ (il dominio radice); il valore inizia con v=spf1.
• DKIM: Host <selector>._domainkey (il selettore te lo fornisce il tuo provider di posta); il valore inizia con v=DKIM1.
• DMARC: Host _dmarc; il valore inizia con v=DMARC1.

Namecheap aggiunge il tuo dominio a qualsiasi cosa tu inserisca nel campo Host, quindi scrivi solo il prefisso, mai l'hostname completo. Salva ogni record, attendi la propagazione, poi verifica. Il resto della guida approfondisce ogni passaggio, compreso come trovare i valori dei record senza andare a tentativi.

Prima di iniziare: è davvero Namecheap a gestire il tuo DNS?#

Questo è il controllo che fa risparmiare più tempo. La scheda Advanced DNS controlla i tuoi record solo se il dominio usa Namecheap BasicDNS, i nameserver predefiniti inclusi nella registrazione con Namecheap. Se hai puntato i nameserver del dominio verso un altro provider (Cloudflare, il tuo hosting web, un servizio DNS gestito), Namecheap non risponde più alle query DNS per quel dominio e tutti i record TXT che aggiungi nella scheda Advanced DNS vengono semplicemente ignorati. In questo caso devi aggiungere i record là dove si trovano davvero i tuoi nameserver.

Per controllare, apri la pagina di gestione del dominio e guarda l'impostazione Nameservers. Se indica "Namecheap BasicDNS" (o Namecheap Web Hosting DNS), sei nel posto giusto e la scheda Advanced DNS è attiva. Se mostra "Custom DNS" con i nameserver di qualcun altro, aggiungi i record SPF, DKIM e DMARC presso quel provider.

Dove Namecheap conserva i tuoi record DNS#

Una volta confermato che è Namecheap a gestire il tuo DNS, i record si trovano tutti in un unico posto. Accedi, apri la tua Domain List dalla dashboard dell'account, trova il dominio e fai clic su Manage. Nella schermata di gestione, passa alla scheda Advanced DNS. Nella sezione Host Records trovi il pulsante Add New Record. Fai clic e imposta Type su TXT Record.

Ogni record TXT che aggiungi su Namecheap ha gli stessi pochi campi:

• Type: impostalo su TXT Record per tutti e tre, SPF, DKIM e DMARC. (DKIM è l'unica eccezione, perché alcuni provider ti danno invece un CNAME; ne parliamo più avanti.)
• Host: il prefisso che precede il tuo dominio. È il campo che cambia da un record all'altro: @ per la radice, _dmarc per DMARC, <selector>._domainkey per DKIM. Namecheap aggiunge .yourdomain.com per te, quindi non scrivere mai qui l'hostname completo.
• Value: la stringa del record, incollata esattamente come te la fornisce il generatore o il provider di posta.
• TTL: per quanto tempo i resolver tengono in cache il record. Automatic va bene, non serve cambiarlo.

Non devi racchiudere Value tra virgolette: Namecheap memorizza i dati TXT e gestisce le virgolette per te. Aggiungerle tu è una causa frequente di record che sembrano corretti ma non superano la validazione.

Aggiungere il record SPF su Namecheap#

SPF è il record che elenca quali server possono inviare posta per il tuo dominio e, su Namecheap, si trova sempre sulla radice. Aggiungi un nuovo record TXT, imposta Host su @ e incolla la stringa SPF in Value. Un record tipico ha questo aspetto:

v=spf1 include:spf.your-esp.com ~all

Il meccanismo include: autorizza i server di invio del tuo provider di posta, mentre il ~all finale applica un soft fail a tutto il resto (-all applica un hard fail). Non copiare alla lettera l'esempio qui sopra: gli include dipendono interamente dai servizi che inviano la tua posta. Crea la stringa esatta con il generatore di record SPF, che riunisce gli include dei tuoi provider in un unico record valido.

La parola unico è importante. Un dominio può pubblicare un solo record SPF. Se un secondo record TXT sul dominio radice inizia anch'esso con v=spf1, i server riceventi considerano SPF non valido e di fatto entrambi i record perdono effetto. Questo colpisce in particolare gli utenti di Namecheap: attivare Namecheap Private Email può aggiungere automaticamente un suo record SPF, quindi se in seguito invii tramite un ESP separato devi unire i due, riportando l'include: di ogni provider in un solo record, anziché aggiungerne un secondo. Nel dubbio, tieni esattamente una riga che inizia con v=spf1 su Host @.

Aggiungere il record DKIM su Namecheap#

Con DKIM il campo Host ha un aspetto poco familiare, ma la regola è semplice. Il tuo provider di posta ti dà un selettore (un'etichetta breve come s1, k1, google o una stringa casuale) e il valore della chiave pubblica. Su Namecheap inserisci il selettore più ._domainkey nel campo Host e la chiave in Value:

Host:   s1._domainkey
Value:  v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Poiché Namecheap aggiunge il tuo dominio, un Host s1._domainkey diventa il nome completo del record s1._domainkey.yourdomain.com, che è esattamente dove i server riceventi lo cercano. Il selettore e la lunga chiave p= non sono qualcosa che ti inventi: li genera il tuo provider di posta (Google Workspace, Microsoft 365, il tuo ESP) quando attivi la firma DKIM. Copiali dalla console di amministrazione del provider e incollali senza modifiche.

Una particolarità di Namecheap: alcuni provider pubblicano DKIM come CNAME anziché come record TXT, così possono ruotare le chiavi per te. Se il tuo provider ti dà un hostname "points to" o "target" invece di una stringa v=DKIM1, imposta Type su CNAME Record su Namecheap, metti l'host del selettore a sinistra e la destinazione del provider a destra, e lascia perdere il formato TXT. Segui il tipo di record indicato dal tuo provider.

Aggiungere il record DMARC su Namecheap#

DMARC è il livello di policy che collega SPF e DKIM all'indirizzo "From" visibile e indica ai server riceventi cosa fare con la posta che non supera i controlli. Si trova sull'host fisso _dmarc. Aggiungi un record TXT, imposta Host su _dmarc e incolla la tua policy in Value:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Namecheap trasforma quell'Host in _dmarc.yourdomain.com, l'unico posto da cui viene letto un record DMARC. Come per SPF, esiste esattamente un record DMARC per dominio: un secondo TXT _dmarc li invalida entrambi.

Nota il p=none. È voluto, ed è la parte più importante di un'attivazione sicura. p=none significa "solo monitoraggio": i server riceventi non intervengono sulla posta che non supera i controlli e si limitano a inviarti i report. Quindi pubblicarlo non cambia nulla nel recapito della tua posta, ma attiva i report aggregati che ti permettono di vedere ogni sorgente che invia a nome del tuo dominio. Crea il record con il generatore di record DMARC, parti da p=none e passa a quarantine e poi a reject solo quando i report sono puliti. La sequenza completa, compreso come leggere ciò che ricevi, è trattata nella guida passo dopo passo alla configurazione di DMARC e nell'articolo complementare su come leggere i report DMARC. I report DMARC di Qualisend possono ricevere al posto tuo quei report aggregati ed elencano ogni sorgente di invio con i relativi conteggi di superamento e fallimento.

Dopo il salvataggio: propagazione e verifica#

Di solito Namecheap applica le modifiche in Advanced DNS entro circa mezz'ora, ma la propagazione DNS sul resto di internet può richiedere più tempo: attendi fino a 48 ore prima di concludere che qualcosa non va, soprattutto se hai modificato un record esistente il cui vecchio valore era in cache con un TTL lungo. Se hai impostato TTL su Automatic, per i nuovi record è raramente un problema.

Quando i record sono attivi, conferma che si risolvano e vengano interpretati correttamente, senza darlo per scontato. Lo strumento di controllo SPF, DKIM e DMARC rilegge tutti e tre per il tuo dominio e segnala i problemi più comuni: un record mancante, un SPF duplicato, un selettore DKIM che non restituisce nulla, un tag DMARC malformato. È anche il modo più rapido per dimostrare che le modifiche hanno avuto effetto prima di farci affidamento.

Errori comuni su Namecheap#

Pochi errori spiegano la maggior parte dei ticket di autenticazione su Namecheap:

• Scrivere l'hostname completo in Host. Inserire yourdomain.com o _dmarc.yourdomain.com produce un nome raddoppiato come _dmarc.yourdomain.com.yourdomain.com. Usa solo il prefisso: @, _dmarc o <selector>._domainkey.
• Due record SPF. Che derivino da Private Email più un ESP o da due inserimenti manuali, un secondo TXT sul dominio radice che inizia con v=spf1 rompe SPF. Uniscili in uno solo.
• Nameserver sbagliati. Se il dominio è su Custom DNS, i record in Advanced DNS non hanno alcun effetto: aggiungili presso il tuo vero provider DNS.
• Aggiungere le virgolette a mano. Namecheap mette le virgolette ai valori TXT per te; quelle in più corrompono il record.
• Inventarsi i valori DKIM. Il selettore e la chiave devono arrivare dal tuo provider di posta. Non esiste un record DKIM generico da incollare.
• Passare di corsa a p=reject con DMARC. Saltare la fase di monitoraggio è il modo in cui finisci per mandare nello spam la tua stessa posta legittima. Parti da p=none.

Configurare bene tutti e tre è esattamente ciò che chiedono le regole introdotte nel 2024 dai provider di posta: leggi i requisiti per i mittenti di Google e Yahoo per sapere chi ha bisogno di quali record e a quali volumi, e ricorda che l'autenticazione è il biglietto d'ingresso, non l'intera partita: protegge la tua reputazione del mittente ma da sola non ti garantisce il posizionamento.

Quando SPF, DKIM e DMARC sono attivi su Namecheap, usa lo strumento gratuito di controllo SPF, DKIM e DMARC per confermare che tutti e tre si risolvano, poi pulisci la lista con la verifica email gratuita, perché anche un dominio perfettamente autenticato finisce nello spam se scrive a indirizzi inesistenti.