SPF, DKIM e DMARC per Beehiiv.
Beehiiv autentica il dominio di invio della tua newsletter con una delega basata su CNAME, non chiedendoti di incollare una riga SPF condivisa. In Settings → Domains configuri un dominio email (di invio) personalizzato e Beehiiv ti fornisce tre record CNAME (uno che attiva SPF su un sottodominio di invio gestito da Beehiiv e due che delegano a Beehiiv le chiavi DKIM a rotazione) più un record TXT DMARC che crea per te con una procedura guidata. Una volta verificati i record, le tue newsletter partono come you@yourdomain.com, DKIM firma e si allinea al tuo dominio, DMARC viene superato e la reputazione di invio che costruisci resta al tuo brand, non al dominio condiviso di beehiiv. Non c'è alcun include:...beehiiv da aggiungere al tuo SPF radice, e aggiungerlo non servirebbe.
Perché autenticare Beehiiv?
Autenticare il tuo dominio di invio su Beehiiv fa la differenza tra la posta in arrivo e la cartella spam e, per una newsletter, conta più che per la maggior parte dei mittenti, perché sei per definizione un mittente di grandi volumi. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso le stesse regole a Outlook/Hotmail/Live: una newsletter in crescita supera in fretta i 5.000 invii al giorno. Finché non configuri un dominio di invio personalizzato, Beehiiv invia dal proprio dominio condiviso: il tuo indirizzo From non si allinea al tuo dominio, DMARC non può essere superato a nome del tuo brand e la tua reputazione finisce insieme a quella di tutti gli altri editori su quell'infrastruttura condivisa. Beehiiv ha preso la cosa talmente sul serio che, da febbraio 2024, ha reso obbligatorio un record DMARC valido per ogni account con dominio personalizzato. Configurare i CNAME e DMARC allinea DKIM al tuo dominio, permette di superare DMARC, elimina la dipendenza dal dominio condiviso e, grazie allo Smart Warming di Beehiiv, ti fa costruire una reputazione di invio davvero tua.
Come funziona davvero SPF con Beehiiv
Beehiiv è un provider di autenticazione del dominio basato su CNAME, quindi per il tuo dominio radice NON c'è alcun “include:...beehiiv” da aggiungere, e questo spiazza chi si aspetta un include SPF condiviso. Uno dei tre CNAME che ti fornisce Beehiiv crea invece un sottodominio di invio dedicato sul tuo dominio e lo fa puntare a un host gestito da Beehiiv, il cui record SPF autorizza già gli IP di invio. Poiché SPF per quel sottodominio di invio è delegato tramite il CNAME, è soddisfatto automaticamente e non devi mai toccare il tuo record SPF radice. Il meccanismo che fa superare DMARC in modo affidabile è DKIM: i due CNAME dei selettori DKIM permettono a Beehiiv di firmare la tua posta come d=yourdomain.com, che si allinea al tuo dominio organizzativo. Ecco perché la procedura di Beehiiv chiede CNAME e un record DMARC ma non ti chiede mai di modificare il tuo SPF radice. In pratica, la configurazione di Beehiiv aggiunge ZERO ricerche DNS al budget di 10 previsto dalla RFC 7208 per il tuo SPF radice: un vantaggio reale se sul tuo SPF radice hai già Google Workspace, Microsoft 365 o un relay transazionale. Riserva quel record SPF radice ai mittenti che usano davvero il tuo dominio radice come mittente della busta e lascia che per Beehiiv lavori il DKIM delegato via CNAME. Non incollare sul dominio radice un include:beehiiv.com o include:sendgrid.net inventato: non serve a nulla per l'allineamento e consuma inutilmente una ricerca.
Due modi per configurarlo
Dominio di invio personalizzato: CNAME (consigliato)
- Le newsletter partono da you@yourdomain.com; DKIM firma come il tuo dominio e si allinea a esso
- La reputazione di invio è tua: non condividi il dominio di invio comune di beehiiv
- Aggiunge zero ricerche al tuo SPF radice; Beehiiv ruota automaticamente le chiavi DKIM tramite i CNAME
- Necessario per superare DMARC con allineamento al tuo brand e rispettare le regole di Gmail e Yahoo per i mittenti di grandi volumi sul tuo dominio
Dominio di invio condiviso predefinito di beehiiv
- Funziona subito con ogni piano, senza modifiche DNS
- La posta parte da un dominio di proprietà di beehiiv, quindi la reputazione è condivisa con gli altri editori
- Il tuo indirizzo From visibile non si allinea al tuo dominio e non puoi costruire una reputazione del dominio tutta tua
- Va bene per iniziare, ma passa a un dominio personalizzato prima di crescere, o porrai un tetto alla tua deliverability
Passo dopo passo
- 1
Nessun upgrade necessario: i domini personalizzati sono inclusi in ogni piano
I domini personalizzati, compreso il dominio email (di invio) personalizzato che autentica le tue newsletter, sono inclusi in tutti i piani beehiiv, anche nel livello gratuito Launch, quindi non devi acquistare nulla prima. (È cambiato con i prezzi 2025 di beehiiv; in precedenza i domini personalizzati erano una funzione a pagamento, quindi le guide più vecchie potrebbero dirti di fare l'upgrade.) Ogni account invia per impostazione predefinita dal sottodominio condiviso di beehiiv; autentichi il tuo dominio con la configurazione del dominio email descritta qui sotto.
- 2
Apri Settings → Domains
Fai clic su Settings in basso a sinistra nella dashboard della tua pubblicazione, poi apri la pagina Domains. Questa sola pagina gestisce sia il dominio web (del sito) sia il dominio email (di invio): sono due configurazioni separate.
- 3
Avvia la configurazione del dominio email
Fai clic su Set Up Custom Domain e scegli “Set up email custom domain” (oppure “Set up web and email custom domain” se li vuoi entrambi). Inserisci il dominio o il sottodominio di invio da cui invierai le newsletter: è questo che autentica la tua posta ed è distinto dal dominio web che ospita il sito della tua pubblicazione.
- 4
Scegli Entri (automatico) o manuale
Beehiiv offre “Verify with Entri”, che accede a un provider DNS supportato (Cloudflare, GoDaddy, Namecheap e oltre 40 altri) e scrive i record per te. Scegli Entri per una configurazione senza interventi, oppure scegli manuale per copiare i record e incollarli tu presso il tuo registrar. In entrambi i casi vengono creati gli stessi identici record DNS.
- 5
Copia i tre record CNAME
Nella schermata manuale Beehiiv mostra tre record CNAME (uno per SPF e due per DKIM), ciascuno con Name e Value. Copia esattamente ogni coppia Name/Value: selettori e target sono generati per il tuo account.
- 6
Aggiungi i tre CNAME
Presso il tuo provider DNS, crea ogni record di tipo CNAME: incolla il Name di Beehiiv nel campo Name/Host e il suo Value nel campo Value/Target. Aggiungili tutti e tre. Non cambiare il tipo in A o TXT e non modificare i valori.
- 7
Disattiva il proxy di Cloudflare ed evita il dominio duplicato
Se il tuo DNS è su Cloudflare, imposta ogni CNAME su “DNS only” (nuvola grigia): un record con proxy attivo (nuvola arancione) non si risolve nell'host di Beehiiv e la verifica fallisce. Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta del record (non il name.yourdomain.com completo) per evitare il duplicato.
- 8
Crea e pubblica il record DMARC
Da febbraio 2024 DMARC è obbligatorio per ogni dominio personalizzato su Beehiiv. Usa la procedura guidata DMARC integrata di Beehiiv per generare il record, poi aggiungilo come record TXT sull'host _dmarc, ad esempio v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio). Non crearne un secondo se esiste già un record _dmarc.
- 9
Fai clic su Verify Setup
Torna in Beehiiv e fai clic su Verify Setup. Quando i record si risolvono, in cima al dominio compare il segno di spunta “Email”. Di solito la propagazione richiede pochi minuti, ma può arrivare a 72 ore; se si blocca, aspetta qualche ora e ricontrolla, invece di fare clic su Verify di continuo.
- 10
Imposta l'indirizzo From e invia una prova
Vai in Settings → Emails → Sending Details e imposta come indirizzo From uno del dominio autenticato (es. hello@yourdomain.com). Invia una prova a un account Gmail, apri ⋮ → Show original e controlla che ci siano DKIM: PASS con d=yourdomain.com e DMARC: PASS. DKIM risulta “Found” solo dopo che la posta reale ha circolato e un server ricevente ha osservato la firma.
Record da aggiungere
Beehiiv genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | em | sending.beehiiv.comSottodominio di invio: questo CNAME delega SPF all'host di posta di Beehiiv, quindi il tuo SPF radice resta intatto. Valore di esempio: copia il Name e il Value esatti dalla configurazione email in Settings → Domains di Beehiiv. |
| CNAME | bh1._domainkey | bh1.dkim.beehiiv.comChiave DKIM 1 (gestita da Beehiiv, ruotata automaticamente). Valore di esempio: il selettore e il target reali sono generati per account; usa i valori esatti che ti mostra Beehiiv. |
| CNAME | bh2._domainkey | bh2.dkim.beehiiv.comChiave DKIM 2: il secondo selettore permette a Beehiiv di ruotare le chiavi senza che tu debba rimettere mano al DNS. Valore di esempio: i valori sono specifici per account. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comObbligatorio per tutti i domini personalizzati su Beehiiv da febbraio 2024. Crealo con la procedura guidata DMARC di Beehiiv; tieni esattamente un record _dmarc per dominio e parti da p=none. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Beehiiv.
La configurazione consigliata di Beehiiv aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Su Beehiiv è DKIM il meccanismo che fa davvero superare DMARC, ed è gestito da due dei tre record CNAME: due record di selettore DKIM (mostrati per il tuo account) che delegano le chiavi pubbliche a Beehiiv. Poiché sono CNAME e non record TXT da incollare, Beehiiv conserva le chiavi private corrispondenti e usa i due selettori per ruotare automaticamente le chiavi pubblicate, senza che tu debba mai più modificare il DNS. Una volta verificati i record, Beehiiv firma le tue newsletter con d=yourdomain.com, quindi DKIM si allinea al tuo dominio organizzativo e soddisfa DMARC anche quando un messaggio viene inoltrato (cosa che rompe SPF). Due cose da sapere, specifiche di Beehiiv. La prima: se il tuo DNS è dietro Cloudflare, imposta entrambi i CNAME dei selettori su “DNS only” (nuvola grigia): un CNAME con proxy attivo non si risolve nell'host di Beehiiv e DKIM non viene mai convalidato. La seconda: un record DKIM appena aggiunto può risultare pending o “not found” finché non hai effettivamente inviato posta, perché i server riceventi (e gli strumenti di verifica) confermano DKIM osservando una firma reale; quindi invia qualche messaggio dopo che i record si sono risolti, prima di aspettarti uno stato “Found” pulito. Non devi creare tu un record TXT DKIM e non c'è alcuna chiave pubblica da copiare: aggiungi solo i due CNAME dei selettori esattamente come li mostra Beehiiv.
DMARC
Su Beehiiv DMARC non è facoltativo: da febbraio 2024 ogni account con dominio personalizzato deve avere un record DMARC valido, e senza di esso Beehiiv non considera il tuo dominio di invio pienamente autenticato. Beehiiv lo rende facile con una procedura guidata DMARC integrata: prende il tuo dominio e una scelta di policy e genera il record TXT esatto da pubblicare su _dmarc.yourdomain.com, che inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che Beehiiv superi DKIM con allineamento al tuo dominio prima di irrigidire la policy. Osserva quei report per una o due settimane, assicurati che ogni mittente legittimo (Beehiiv più eventuali altri strumenti sul dominio) sia autenticato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi: non pubblicare mai un secondo record DMARC apposta per Beehiiv. Nota che la procedura guidata imposta p=none come predefinito, che soddisfa il requisito del record obbligatorio, ma è p=reject a proteggere davvero il tuo dominio dallo spoofing.
Verifica che funzioni davvero
Non fidarti solo del segno di spunta “Email”: controlla l'autenticazione su un messaggio reale. Invia una newsletter di prova (o un'anteprima) da un indirizzo del tuo dominio autenticato, aprila in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com (non un dominio beehiiv), SPF: PASS e DMARC: PASS. Ricorda che DKIM risulta “Found”/verificato solo dopo che la posta ha effettivamente circolato, quindi invia prima un paio di messaggi se lo stato sembra pending. Puoi controllare a campione i record grezzi con dig CNAME sui due host dei selettori e con dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che tutti e tre i CNAME e il record DMARC si risolvano correttamente e che il tuo SPF radice resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Beehiiv dovrebbe comparire come sorgente allineata che supera i controlli. Se DMARC mostra ancora nelle intestazioni un dominio di invio beehiiv, potresti semplicemente essere a metà del warm-up (vedi Smart Warming più avanti), non avere una configurazione errata.
Insidie comuni
- Copertura
I domini personalizzati sono gratuiti in ogni piano beehiiv, compreso il livello gratuito Launch, quindi non c'è alcun upgrade da acquistare (è cambiato con i prezzi 2025 di beehiiv). Ma ogni account invia per impostazione predefinita dal dominio condiviso di beehiiv, quindi nulla viene autenticato a nome del tuo brand finché non esegui davvero la configurazione del dominio email.
- Fa fallire l'autenticazione
Dominio web e dominio email sono due configurazioni diverse. Autenticare il dominio web della tua pubblicazione NON autentica i tuoi invii: devi eseguire specificamente “Set up email custom domain”, altrimenti le tue newsletter continuano a partire dal dominio condiviso di beehiiv.
- Configurazione DNS
DMARC è obbligatorio da febbraio 2024. Senza un record TXT _dmarc valido Beehiiv non considera un dominio personalizzato pienamente autenticato: usa la sua procedura guidata DMARC integrata e pubblica il risultato prima di aspettarti invii puliti.
- Configurazione DNS
Il proxy di Cloudflare rompe tutto: imposta ogni CNAME di Beehiiv su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve nell'host di Beehiiv e falliscono sia la delega SPF sia la verifica DKIM.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire il nome completo del record produce name.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta mostrata da Beehiiv se il pannello aggiunge il dominio per te.
- Copertura
Con Smart Warming gli invii dal dominio personalizzato aumentano gradualmente: per qualche settimana (in genere 6-8 per le pubblicazioni che inviano almeno una volta a settimana) solo una parte degli iscritti riceve la posta dal tuo dominio, mentre gli altri continuano a riceverla da beehiiv. Vedere un dominio beehiiv in alcune intestazioni durante il warm-up è previsto, non indica una configurazione rotta.
- Copertura
DKIM risulta “Found” solo dopo che hai effettivamente inviato posta, così un server ricevente può osservare la firma: un record aggiunto correttamente può sembrare pending finché non partono i primi invii. Non dare per scontato che abbia fallito.
- Fa fallire l'autenticazione
Non inventare un include SPF radice per Beehiiv. La configurazione via CNAME aggiunge zero ricerche al tuo SPF radice, e un include:beehiiv o include:sendgrid fasullo non serve a nulla per l'allineamento DMARC e spreca una delle tue 10 ricerche SPF.
Crea il tuo record SPF
Beehiiv non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Beehiiv: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.