SPF, DKIM e DMARC per ActiveCampaign.
ActiveCampaign autentica il tuo dominio con record basati su CNAME, invece di farti incollare una riga SPF condivisa sul dominio radice. In Settings → Advanced aggiungi un Sending Domain e ActiveCampaign ti fornisce tre CNAME (due chiavi DKIM, acdkim1._domainkey e acdkim2._domainkey, più un CNAME Mailserver Domain che sposta il bounce/Return-Path su un sottodominio del tuo dominio) e un record DMARC iniziale. Quando questi record si risolvono, ActiveCampaign firma ogni campagna come d=yourdomain.com e la invia da un Return-Path sul tuo dominio: così sia DKIM sia SPF si allineano, DMARC viene superato e l'indicazione “via acems1.com” che Gmail aggiunge alla posta ActiveCampaign non autenticata sparisce. Non c'è alcun include: da unire al tuo SPF radice, perché ci pensa il CNAME Mailserver Domain.
Perché autenticare ActiveCampaign?
Autenticare il tuo dominio ActiveCampaign non è una formalità: decide se le tue campagne broadcast e le tue automazioni raggiungono davvero la posta in arrivo, e ormai ActiveCampaign lo considera di fatto obbligatorio. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail. Finché non autentichi il dominio, ActiveCampaign invia dal proprio dominio di bounce condiviso (un Return-Path acems1.com): i destinatari vedono che la posta non proviene crittograficamente da te, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione di invio finisce in comune con quella di tutti gli altri account ActiveCampaign non autenticati su quell'infrastruttura. C'è poi un vantaggio specifico di ActiveCampaign per cui vale la pena completare la configurazione: poiché il CNAME Mailserver Domain delega il Return-Path a un sottodominio del tuo dominio, ActiveCampaign è uno degli ESP che possono allineare a te SIA SPF SIA DKIM, non solo DKIM. Questo ti dà due modi indipendenti per superare DMARC, ed è ciò che mantiene la posta autenticata anche quando un messaggio viene inoltrato (mailing list, regole .forward) e il solo SPF non reggerebbe.
Come funziona davvero SPF con ActiveCampaign
ActiveCampaign è un provider di autenticazione del dominio basato su CNAME, quindi NON esiste alcun meccanismo “include:” da aggiungere all'unico record TXT SPF del tuo dominio radice, e non dovresti provare a inventarne uno. SPF è gestito invece dal CNAME Mailserver Domain. Per impostazione predefinita, ActiveCampaign invia ogni campagna con un mittente della busta / Return-Path sul proprio dominio di bounce condiviso (qualcosa come bounce-…@acems1.com), perché è ActiveCampaign, non tu, a gestire i bounce. SPF viene sempre controllato su quel dominio della busta, quindi con la configurazione predefinita SPF viene superato per acems1.com ma NON si allinea al tuo dominio From, e DMARC non riceve alcun aiuto da SPF. Configurare il Mailserver Domain risolve il problema: pubblichi un CNAME su un sottodominio del tuo dominio (ActiveCampaign genera automaticamente un'etichetta come em-3501330.yourdomain.com oppure, nella procedura manuale classica, fai puntare un sottodominio a youraccount.activehosted.com) che delega di nuovo il Return-Path ad ActiveCampaign. Ora il mittente della busta si trova sul TUO sottodominio, ActiveCampaign fornisce il proprio record SPF tramite quel CNAME, così il controllo SPF in sé continua a essere superato e, poiché il sottodominio del Return-Path sta sotto il tuo dominio organizzativo, SPF si ALLINEA con la corrispondenza relaxed predefinita di DMARC. È questa la differenza importante rispetto a Mailchimp, che mantiene il proprio Return-Path e non può mai allineare SPF. In sintesi: al tuo record SPF radice non si aggiunge nulla, ActiveCampaign non consuma nessuna delle tue 10 ricerche DNS SPF e, una volta attivi tutti e tre i CNAME, sia SPF sia DKIM si allineano al tuo dominio.
Due modi per configurarlo
Configure Domain: integrazione DNS nativa (consigliato)
- ActiveCampaign si collega al tuo provider DNS e aggiunge per te i tre CNAME e il record DMARC
- Meno occasioni di sbagliare un'etichetta host, un tipo di record o l'interruttore del proxy di Cloudflare
- Ideale quando il tuo DNS è su un provider compatibile: Cloudflare, GoDaddy, Route 53, Namecheap, Squarespace, IONOS, Hostinger, Bluehost e circa altri 20
- Produce gli stessi CNAME acdkim + Mailserver, solo che vengono pubblicati per te
Set up manually: inserimento manuale dei record
- Usa “View DNS records” per copiare a mano i due CNAME DKIM, il CNAME Mailserver e DMARC
- Funziona con qualsiasi registrar, compresi i provider non coperti dall'integrazione nativa
- Controlli esattamente cosa viene pubblicato e puoi unire il record DMARC a uno esistente
- Ricordati di impostare i CNAME su nuvola grigia in Cloudflare e di evitare il dominio duplicato nel campo host
Passo dopo passo
- 1
Apri le impostazioni Advanced
Accedi e vai su Settings → Advanced. Ecco subito la trappola tipica di ActiveCampaign: l'autenticazione del dominio NON si trova in un menu ovvio come “Email” o “Domains”, ma nelle impostazioni Advanced, nella sezione Sending Domain, ed è per questo che in tanti non riescono a trovarla.
- 2
Aggiungi il dominio di invio
Nella sezione Sending Domain, aggiungi il dominio da cui invii (es. yourdomain.com). ActiveCampaign ti offre quindi due strade: “Configure Domain” (la sua integrazione DNS nativa in un clic con i provider compatibili) oppure “Set up manually”. Entrambe producono record identici.
- 3
Verifica la proprietà, poi mostra i record
Completa il passaggio di verifica della proprietà/dell'email, poi, nella procedura manuale, fai clic sulla freccia del menu a discesa accanto al dominio e scegli “View DNS records”. ActiveCampaign mostra tre record CNAME (due DKIM, uno Mailserver Domain) più un record TXT DMARC, ciascuno con un Name/Host e un Value da copiare esattamente.
- 4
Aggiungi i due CNAME DKIM
Crea acdkim1._domainkey e acdkim2._domainkey come record CNAME che puntano alle destinazioni esatte mostrate da ActiveCampaign (del tipo dkim.acdkim1.acems1.com e dkim.acdkim2.acems1.com; il numero del cluster acems è specifico dell'account). Mantieni il tipo CNAME; non passare ad A o TXT. Alcuni account meno recenti mostrano un unico selettore acdkim1._domainkey: aggiungi quello che compare sul tuo schermo.
- 5
Aggiungi il CNAME Mailserver Domain
Crea il record Mailserver Domain come CNAME sul sottodominio generato da ActiveCampaign (un'etichetta come em-3501330) che punta alla destinazione mostrata (nella procedura classica è youraccount.activehosted.com). È il record che sposta il Return-Path sul tuo dominio così che SPF si allinei: se lo salti, SPF resta sul dominio di bounce condiviso acems1.com di ActiveCampaign e non si allinea.
- 6
Aggiungi il record DMARC (o mantieni quello esistente)
ActiveCampaign crea un TXT DMARC iniziale sull'host _dmarc, di solito v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi il recapito non cambia. Se esiste già un record _dmarc, NON aggiungerne un secondo: un dominio deve averne esattamente uno; ActiveCampaign lo salta automaticamente quando rileva un record esistente.
- 7
Correggi il dominio duplicato e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (acdkim1._domainkey, non acdkim1._domainkey.yourdomain.com) per evitare la duplicazione. Se il tuo DNS è su Cloudflare, imposta ogni CNAME di ActiveCampaign su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) si risolve negli IP di Cloudflare invece che nell'host acems/emsend, e il controllo di ActiveCampaign fallisce. È in assoluto l'errore di verifica più comune su ActiveCampaign.
- 8
Fai clic su Check DNS in ActiveCampaign
Torna alla pagina Sending Domain e fai clic su Check DNS (o Verify). Di solito la propagazione richiede 5-10 minuti, ma può arrivare a 24-48 ore; lo stato diventa verde/autenticato quando tutti e tre i CNAME si risolvono. Se resta bloccato, ricontrolla le destinazioni dei CNAME e l'interruttore del proxy di Cloudflare, poi ripeti il controllo.
- 9
Invia una campagna dal dominio autenticato e leggi le intestazioni
Assicurati che l'indirizzo From della campagna sia sul dominio autenticato (verificare il DNS non modifica una campagna già impostata con un From diverso). Invia un'email di prova, aprila in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com, SPF: PASS con il tuo sottodominio em- (allineato, non acems1.com) e DMARC: PASS.
Record da aggiungere
ActiveCampaign genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | acdkim1._domainkey | dkim.acdkim1.acems1.comChiave DKIM 1 (2048 bit, gestita da ActiveCampaign). Valore di esempio: il numero del cluster acems è specifico dell'account; copia la destinazione esatta da View DNS records. |
| CNAME | acdkim2._domainkey | dkim.acdkim2.acems1.comChiave DKIM 2: il secondo selettore permette ad ActiveCampaign di ruotare le chiavi. Alcuni account meno recenti mostrano un solo selettore acdkim1. |
| CNAME | em-3501330 | youraccount.activehosted.comCNAME Mailserver Domain: sposta il Return-Path su questo sottodominio così che SPF si allinei. Valori di esempio: l'etichetta em- è generata automaticamente per ogni account e la destinazione è l'host del tuo account; copia Name e Value esatti da View DNS records. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comPolicy DMARC: ActiveCampaign crea un record iniziale, ma non sovrascrive quello che hai già. Tieni esattamente un _dmarc per dominio; parti da p=none. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di ActiveCampaign.
La configurazione consigliata di ActiveCampaign aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Per ActiveCampaign DKIM si basa su CNAME, quindi non richiede manutenzione. Il 23 febbraio 2023 ActiveCampaign è passato da un record TXT ai CNAME per DKIM e usa una chiave da 2048 bit per le configurazioni CNAME: quello che pubblichi sono quindi due brevi CNAME, acdkim1._domainkey.yourdomain.com e acdkim2._domainkey.yourdomain.com, che puntano a destinazioni del tipo dkim.acdkim1.acems1.com e dkim.acdkim2.acems1.com (il numero del cluster acems è specifico del tuo account). Poiché sono CNAME delegati ad ActiveCampaign e non chiavi TXT da incollare, è ActiveCampaign a conservare le chiavi private e può ruotare ciò che è pubblicato dietro quei due selettori senza che tu debba più modificare il DNS; non crei mai un record TXT DKIM e non devi copiare a mano alcuna chiave pubblica. Un vantaggio pratico dell'approccio CNAME: la chiave da 2048 bit risiede dal lato ActiveCampaign del CNAME, quindi eviti i grattacapi della suddivisione delle stringhe TXT da 255 caratteri che mettono in difficoltà il DKIM basato su TXT con chiavi più lunghe. La firma applicata da ActiveCampaign è d=yourdomain.com, quindi si allinea al tuo dominio From, ed è questo che permette di superare DMARC. Due avvertenze: su Cloudflare i CNAME devono essere impostati su “DNS only” (nuvola grigia), altrimenti non si risolvono nell'host acems, e alcuni account legacy mostrano ancora un unico selettore acdkim1._domainkey: aggiungi quello che mostra la schermata View DNS records invece di mescolare i valori di un tutorial con i tuoi.
DMARC
DMARC è un record TXT di policy separato sul dominio radice. Ora ActiveCampaign ne crea uno iniziale quando aggiungi un Sending Domain (di solito v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com sull'host _dmarc), ma NON crea un secondo record se ne esiste già uno, perché un dominio deve avere esattamente un record _dmarc. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) e verifichi che la posta ActiveCampaign superi i controlli con allineamento. Una volta configurato del tutto, ActiveCampaign ha il vantaggio di allineare entrambi i meccanismi (DKIM tramite i selettori acdkim e SPF tramite il Return-Path del CNAME Mailserver Domain sul tuo sottodominio), quindi un dominio configurato correttamente supera DMARC con entrambi: la configurazione robusta che resiste all'inoltro. Tieni d'occhio i report per una o due settimane, assicurati che ogni mittente legittimo (ActiveCampaign più Google Workspace, Microsoft 365 o qualsiasi relay transazionale) si autentichi, poi passa da p=none a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi: non aggiungerne mai un secondo solo per ActiveCampaign.
Verifica che funzioni davvero
Non fidarti solo dello stato verde “authenticated” di ActiveCampaign: confermalo su un messaggio reale. Inviati una campagna di prova da un indirizzo del dominio autenticato, aprila in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con signed-by: yourdomain.com (selettore acdkim1 o acdkim2), SPF: PASS con il tuo sottodominio Mailserver em- invece di acems1.com (è il segnale che il CNAME Mailserver Domain funziona e che SPF è allineato) e DMARC: PASS. Se SPF mostra ancora acems1.com, il tuo CNAME Mailserver Domain non si risolve: DKIM basterà comunque a superare DMARC, ma aggiungi o correggi quel CNAME per allineare anche SPF. Puoi controllare a campione i record grezzi con dig CNAME acdkim1._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che tutti e tre i CNAME e il record DMARC si risolvano correttamente e che il tuo SPF radice resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: ActiveCampaign dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Copertura
L'impostazione è nascosta: l'autenticazione del dominio si trova in Settings → Advanced → Sending Domain, non in un menu ovvio come “Email” o “Domains”. Se non la trovi, è lì.
- Configurazione DNS
ActiveCampaign ha DUE concetti diversi di “dominio personalizzato” e spesso vengono confusi. Il Custom Domain Name (un CNAME verso youraccount.activehosted.com) applica il tuo brand a link, immagini e landing page: non ha nulla a che fare con l'autenticazione email. Solo il CNAME Mailserver Domain più i CNAME DKIM acdkim autenticano la tua posta.
- Configurazione DNS
Se salti il CNAME Mailserver Domain, SPF non si allinea: il Return-Path resta sul dominio di bounce condiviso acems1.com di ActiveCampaign, quindi SPF viene superato per acems1.com ma non per te. DKIM da solo basta comunque a superare DMARC, ma è aggiungendo il CNAME Mailserver Domain che allinei anche SPF e rendi la configurazione resistente all'inoltro.
- Configurazione DNS
Il proxy di Cloudflare (nuvola arancione) rompe tutto: è l'errore di verifica n. 1 su ActiveCampaign. Imposta ogni CNAME acdkim e Mailserver su “DNS only” (nuvola grigia); un CNAME con proxy si risolve negli IP di Cloudflare invece che nell'host acems/emsend, e Check DNS fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire acdkim1._domainkey.yourdomain.com produce acdkim1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (acdkim1._domainkey, acdkim2._domainkey, em-XXXXXXX) quando il pannello aggiunge il dominio per te.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF e un record DMARC. ActiveCampaign non crea un secondo DMARC se ne hai già uno e, se invii anche tramite Google Workspace o Microsoft 365, non pubblicare nemmeno un secondo TXT SPF. Averne due, dell'uno o dell'altro, è di per sé un errore (SPF PermError / DMARC non valido).
- Configurazione DNS
Sono CNAME, non record TXT. Non convertire “per scrupolo” i record DKIM in TXT e non incollare un valore di chiave: ActiveCampaign ha bisogno dei CNAME per conservare e ruotare le chiavi da 2048 bit dietro i selettori acdkim. Gli account legacy possono mostrare un unico selettore acdkim1; usa esattamente ciò che mostra il tuo account.
- Configurazione DNS
Non inviare da un indirizzo From pubblico e gratuito (gmail.com, yahoo.com, outlook.com). Quei domini pubblicano una policy DMARC rigorosa e vietano a terzi di inviare a nome dei loro utenti, quindi la posta non può allinearsi con DKIM e non supera DMARC: invia invece dal tuo dominio autenticato.
Crea il tuo record SPF
ActiveCampaign non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per ActiveCampaign: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.