Come configurare SPF, DKIM e DMARC in Squarespace

Se il tuo dominio è su Squarespace, configurare SPF, DKIM e DMARC è interamente un lavoro sul DNS: tre record TXT da aggiungere nello stesso pannello, uno per ogni componente dell'autenticazione email. I record sono identici a quelli che pubblicheresti con qualsiasi altro provider DNS; a essere specifici di Squarespace sono dove si trova l'editor DNS e cosa scrivi nel campo Host per ciascuno. Questa guida spiega esattamente questi due punti, con una nota per chi ha registrato il dominio su Google Domains, dato che Squarespace ha assorbito quel servizio nel 2023 e oggi gestisce quei domini in Squarespace Domains.

Se è Squarespace stesso a inviare email a nome del tuo dominio (Email Campaigns o notifiche del negozio), la guida alla configurazione di SPF, DKIM e DMARC per Squarespace spiega quali record DKIM servono.

In breve#

L'autenticazione email si basa su tre record DNS separati e su Squarespace si aggiungono tutti allo stesso modo, come Custom Records di tipo TXT sul dominio che gestisci lì:

• SPF: un record TXT sulla radice del dominio. Nel campo Host di Squarespace corrisponde a @. Il valore inizia con v=spf1 ed elenca i servizi autorizzati a inviare a tuo nome.
• DKIM: un record TXT su un selettore indicato dal tuo provider di posta. Il campo Host è <selector>._domainkey (per esempio s1._domainkey) e il valore è una lunga chiave pubblica che arriva dal tuo provider, non da te.
• DMARC: un record TXT su _dmarc. Il valore inizia con v=DMARC1 e all'inizio dovrebbe avere p=none, così monitori prima di applicare la policy.

Per il quadro teorico di come i tre record lavorano insieme, leggi SPF, DKIM e DMARC spiegati. Questo articolo è la versione pratica per Squarespace.

Dove Squarespace tiene i tuoi record DNS#

L'editor DNS di Squarespace non si trova nel sito, ma nelle impostazioni dell'account, collegato al dominio stesso. Il percorso è più o meno questo:

Settings → Domains → seleziona il dominio → DNS Settings → Custom Records.

Da lì aggiungi un record scegliendo un Type (seleziona TXT), compilando il campo Host e incollando il record nel campo Data (il valore). Tutto qui, e il modulo a tre campi è lo stesso per SPF, DKIM e DMARC: cambiano solo Host e Data.

Alcune cose da sapere prima di iniziare:

• La migrazione da Google Domains. Squarespace ha acquisito Google Domains nel 2023 e le registrazioni sono state trasferite tra il 2023 e il 2024. Se hai acquistato il dominio su Google Domains, ora accedi a Squarespace per modificare il DNS. I tipi di record non cambiano (sia Google Domains sia Squarespace espongono semplici record TXT), quindi per SPF, DKIM e DMARC non cambia nulla: si sono spostati solo l'accesso e le etichette dei menu.
• Le etichette cambiano. Squarespace ha riorganizzato quest'area più di una volta, quindi le diciture esatte ("DNS Settings", "Custom Records", "Add Record") potrebbero nel frattempo essere state spostate o rinominate. La struttura invece è affidabile anche quando le etichette non lo sono: devi trovare il punto in cui aggiungere un record TXT personalizzato al dominio.
• Il campo Host è relativo. Inserisci solo la parte del sottodominio (@, _dmarc o <selector>._domainkey) e Squarespace aggiunge automaticamente il dominio. Non scrivere il dominio completo nel campo Host.

Aggiungere il record SPF in Squarespace#

SPF (Sender Policy Framework) è un singolo record TXT sulla radice del dominio che elenca tutti i server e i servizi autorizzati a inviare email a tuo nome. Quando un server riceve un messaggio che dichiara di arrivare da te, confronta il server di invio con questo elenco.

Nel modulo Custom Records, aggiungi un record con Type TXT e Host @. La @ è l'abbreviazione di Squarespace per la radice del dominio, lo stesso punto in cui si trova il record principale del tuo sito. Incolla la stringa SPF nel campo Data. Un valore tipico ha questo aspetto:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Le voci include: indicano i servizi di posta che usi davvero (il provider della tua casella, la piattaforma di marketing, il servizio per le email transazionali) e ~all alla fine applica un soft fail a tutto ciò che non è in elenco. Gli include esatti dipendono dai tuoi strumenti, quindi non copiare alla lettera l'esempio qui sopra. Costruisci invece la stringa a partire dai tuoi mittenti reali con il generatore di record SPF, che crea un record valido e segnala gli errori che rompono SPF senza dare nell'occhio.

L'altro vincolo da rispettare è il limite di 10 ricerche DNS: SPF consente al massimo 10 ricerche DNS quando valuta tutti i meccanismi include:, e accumulare troppi servizi lo fa superare. Il generatore le conta per te, un aiuto più prezioso di quanto sembri: un record SPF oltre il limite fallisce in silenzio e non te ne accorgi finché le email non iniziano a finire nello spam.

Aggiungere il record DKIM in Squarespace#

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni messaggio che invii, e la chiave pubblica corrispondente si trova nel DNS, così i server riceventi possono verificare la firma. A differenza di SPF, questo valore non lo scrivi tu: il tuo provider di posta genera la coppia di chiavi, conserva la parte privata e ti fornisce una chiave pubblica e un selettore da pubblicare.

Per prima cosa attiva DKIM nella tua piattaforma di invio (Google Workspace, Microsoft 365, il tuo ESP, il tuo provider di email transazionali). Ti mostrerà due cose: un selettore, che diventa parte dell'Host, e un lungo valore che inizia con v=DKIM1. In Custom Records di Squarespace, aggiungi un record TXT in cui l'Host è il selettore seguito da ._domainkey. Quindi, se il selettore del tuo provider è s1, l'Host è:

s1._domainkey

Incolla la chiave pubblica del provider, esattamente come ti è stata fornita, nel campo Data:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Un paio di precauzioni specifiche per Squarespace:

• Copia il selettore con precisione. Ogni provider usa nomi di selettore diversi (google, selector1, s1, k1, dkim) e il record funziona solo sul selettore esatto che il tuo provider si aspetta. Scrivilo nel campo Host seguito da ._domainkey, senza aggiungere altro.
• Alcuni provider ti danno invece un CNAME. Alcune piattaforme ti fanno pubblicare DKIM come CNAME che punta a una chiave ospitata da loro, così ruota automaticamente. Se è il tuo caso, scegli Type CNAME invece di TXT e incolla la destinazione che ti forniscono. Segui il tipo di record indicato dal tuo provider.

DKIM è il più robusto dei due controlli di autenticazione, perché la firma viaggia con il messaggio e sopravvive all'inoltro, che invece rompe SPF. Vale la pena configurarlo bene.

Aggiungere il record DMARC in Squarespace#

DMARC è il livello di policy che collega SPF e DKIM all'indirizzo "From" visibile, indica ai server riceventi cosa fare con le email che non superano i controlli e, soprattutto, ti invia i report. È un record TXT sul nome host _dmarc.

In Custom Records, aggiungi un record TXT con Host _dmarc. Squarespace aggiunge il dominio, ottenendo _dmarc.yourdomain.com. Incolla un valore iniziale nel campo Data:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Il dettaglio più importante è il tag della policy. Parti da p=none. Non applica nulla: chiede ai server riceventi di non intervenire e di inviarti semplicemente i report aggregati giornalieri all'indirizzo rua. Grazie a questi report scopri quali flussi di posta si autenticano e quali no prima di attivare l'applicazione della policy. Se pubblichi p=reject il primo giorno, rischi di mandare nello spam le tue stesse email legittime. I report DMARC di Qualisend mostrano ogni sorgente con i suoi conteggi di superamento e fallimento, che è la prova che ti serve prima di lasciare p=none; vedi quanto restare su p=none.

Crea il record con il generatore di record DMARC, poi segui l'introduzione graduale nella guida Come configurare DMARC: resta su p=none, leggi i report aggregati finché ogni sorgente legittima non supera DMARC con SPF o DKIM allineati e solo allora passa a p=quarantine e infine a p=reject. Come per SPF, pubblica un solo record DMARC: un secondo su _dmarc li invalida entrambi.

Verifica che i record si risolvano#

Squarespace salva rapidamente le modifiche DNS, ma il resto di internet le tiene in cache, quindi calcola da pochi minuti ad alcune ore per la propagazione prima di giudicare se i record sono attivi. Un record esistente modificato può metterci più tempo ad aggiornarsi di uno appena aggiunto.

Dopo aver aggiunto tutti e tre, verifica che si risolvano e vengano interpretati correttamente con lo strumento di controllo SPF, DKIM e DMARC. Lo strumento cerca ogni record sul tuo dominio e ti dice se la sintassi è valida, se hai pubblicato per errore due record SPF e se DMARC è presente. Se un record non compare, le cause tipiche su Squarespace sono un dominio completo scritto nel campo Host al posto della parte relativa, un record SPF duplicato su @ o semplicemente una propagazione non ancora conclusa.

Configurare bene questi tre record è anche ciò che ti permette di soddisfare i requisiti per i mittenti di Google e Yahoo, che dal 2024 rendono SPF, DKIM e DMARC obbligatori per i mittenti di grandi volumi. Ma ricorda il limite: l'autenticazione dimostra chi sei, è il biglietto d'ingresso per la posta in arrivo, non una garanzia di posizionamento. Quello dipende ancora dalla reputazione del mittente e dall'igiene della lista, trattate per intero nella guida alla deliverability delle email.

L'autenticazione dice ai provider di posta che le email del tuo dominio su Squarespace sono davvero tue, ma un'identità affidabile raggiunge la posta in arrivo solo se la lista che c'è dietro è pulita. Passa i tuoi indirizzi nella verifica email gratuita, oppure usa i generatori SPF e DMARC e lo strumento di controllo dei record per creare e verificare i tuoi record in pochi minuti.