SPF, DKIM e DMARC per Bluehost.
Bluehost è un brand di hosting di Newfold Digital, quindi qui “autenticare il dominio” significa quasi sempre occuparsi dell'email inclusa nel piano di hosting (le caselle cPanel/webmail e tutta la posta inviata dagli script PHP e dai cron job del tuo sito) e non di un prodotto email separato. Bluehost fa passare questa posta da un pool condiviso in uscita, instradato via proxy verso websitewelcome.com (la stessa infrastruttura Newfold/HostGator che alimenta diversi brand dello stesso gruppo): ecco perché l'include SPF da pubblicare è include:websitewelcome.com. Bluehost può generare automaticamente un record SPF e una chiave DKIM tramite lo strumento Email Deliverability di cPanel, ma DMARC resta sempre a tuo carico e va aggiunto a mano. Questa guida copre sia il percorso classico con cPanel sia il più recente portale Bluehost, i record TXT esatti e l'unica cosa che mette in difficoltà quasi tutti: quante ricerche DNS consuma, senza farsi notare, quell'include websitewelcome.com.
Perché autenticare Bluehost?
Su un account di hosting si è tentati di considerare SPF e DKIM una manutenzione facoltativa, ma da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di pubblicare anche una policy DMARC con allineamento; nel 2025 Microsoft ha iniziato ad applicare le stesse regole ai mittenti di grandi volumi. Bluehost ti aiuta solo in parte: il suo strumento Email Deliverability può pubblicare un record SPF e generare una chiave DKIM, ma non crea mai un record DMARC, quindi a un dominio Bluehost “autenticato” spesso manca ancora il pezzo che oggi i server riceventi cercano. C'è poi un secondo motivo, specifico di Bluehost, per fare le cose bene: molto spesso i clienti dell'hosting puntano l'MX su Google Workspace o Microsoft 365 per le vere caselle, mentre nel loro SPF resta un vecchio include:websitewelcome.com. Questa discrepanza fa sì che il tuo SPF autorizzi server da cui non invii più, sprechi una bella fetta del tuo budget di ricerche e non faccia nulla per la posta che esce davvero dal tuo dominio. Configurare SPF + DKIM + DMARC in modo consapevole, in base a come invii davvero, è ciò che tiene fuori dallo spam reset della password, email dei moduli di contatto e newsletter, e che impedisce lo spoofing del tuo dominio.
Come funziona davvero SPF con Bluehost
websitewelcome.com è un vero include SPF condiviso: è l'host proxy in uscita di Newfold/HostGator attraverso cui passano i piani di hosting condiviso e Cloud di Bluehost, e la documentazione di Bluehost indica v=spf1 a mx include:websitewelcome.com ~all come record standard sia per gli account Portal sia per quelli Bluerock. Quindi sì, se invii tramite i server di posta di Bluehost, questo è un vero include da aggiungere all'unico record TXT SPF sul tuo dominio radice. Tre cose, però, lo rendono più complicato di un include qualsiasi. Primo, è pesante: include:websitewelcome.com è annidato in profondità e si risolve (verificato in tempo reale) in circa otto ricerche DNS: concatena eig.spf.a.cloudfilter.net e spf.websitewelcome.com, che a sua volta richiama _spf.nfco-mailout.com e i suoi due netblock, oltre a _spf.google.com e spf.protection.outlook.com. Aggiungi i meccanismi a e mx che Bluehost inserisce nel record predefinito e sei già al limite di dieci ricerche dell'RFC 7208, senza spazio per nessun altro mittente. Il più leggero include:spf.websitewelcome.com si risolve solo in circa quattro ricerche, ma copre solo i netblock condivisi principali di HostGator/Newfold ed elimina gli intervalli Google e Microsoft inclusi nell'include completo: passaci quindi solo se la tua posta Bluehost parte esclusivamente dal pool cPanel condiviso e, se non invii affatto tramite i server di Bluehost, togli del tutto l'include. Secondo, Bluehost inserisce automaticamente nella tua zona un record v=spf1 predefinito per ogni dominio, quindi devi modificare quel record invece di pubblicarne un secondo: due record SPF generano automaticamente un PermError. Terzo, l'include descrive solo il pool condiviso: i piani VPS e Dedicated inviano dal tuo IP dedicato, quindi aggiungi ip4:<your dedicated IP>, mentre la più recente email professionale Bluehost Cloud / basata su OX usa un include completamente diverso, include:spf.cloudus.oxcs.net. In sintesi: pubblica include:websitewelcome.com solo per la posta che esce davvero dai server condivisi di Bluehost, tieni una sola riga SPF e controlla il conteggio delle ricerche.
Due modi per configurarlo
Caselle sul tuo hosting Bluehost: aggiungi l'include
- Vale quando MX e caselle sono su Bluehost (cPanel/webmail) o quando il mail()/cron PHP del tuo sito invia posta
- La posta in uscita passa via proxy dal pool condiviso, quindi include:websitewelcome.com la autorizza: è il record standard di Bluehost per gli account Portal e Bluerock
- Attiva la chiave DKIM con selettore default tramite Email Deliverability di cPanel, così DMARC può allinearsi sul DKIM
- VPS/Dedicated: aggiungi ip4:<your dedicated IP>, perché questi piani non usano il pool condiviso
MX puntato su Google Workspace / Microsoft 365
- Non è Bluehost a inviare quella posta, quindi include:websitewelcome.com autorizza server che non usi
- Non aggiunge nulla per la tua posta reale e brucia circa otto delle tue dieci ricerche SPF
- Usa invece include:_spf.google.com o include:spf.protection.outlook.com, in base al tuo provider
- Tieni un include Bluehost solo se script o cron sull'host inviano ancora posta direttamente
Passo dopo passo
- 1
Verifica come invia davvero il tuo dominio
Controlla dove si trovano le tue caselle e dove punta il tuo MX. Se la posta arriva in cPanel/webmail di Bluehost (o la inviano gli script del tuo sito), vale l'include websitewelcome.com. Se il tuo MX è Google Workspace o Microsoft 365, ti autentichi invece con i loro record e l'include Bluehost non serve.
- 2
Apri Email Deliverability (account cPanel)
Sui piani basati su cPanel, vai in cPanel > Email > Email Deliverability, trova il dominio e fai clic su Manage (o Repair). cPanel genera un record SPF suggerito e una chiave DKIM; quando Bluehost è autoritativo per il dominio li pubblica automaticamente nella tua zona, altrimenti mostra le coppie Name/Value TXT esatte da incollare presso il tuo provider DNS.
- 3
Oppure apri l'editor DNS (nuovo portale Bluehost)
Sui più recenti account del portale non c'è cPanel: vai in Domains, seleziona il dominio, apri la scheda DNS e scorri fino a Manage Advanced DNS Records (raggiungibile anche da Advanced Tools > Advanced DNS Records). È qui che aggiungi a mano i record TXT di SPF, DKIM e DMARC.
- 4
Modifica l'SPF aggiunto in automatico, non duplicarlo
Bluehost inserisce nella tua zona un record v=spf1 predefinito per ogni dominio. Modifica quel record invece di aggiungerne un secondo: due record SPF sullo stesso nome generano automaticamente un PermError che fa fallire SPF del tutto.
- 5
Pubblica il record SPF
Imposta un record TXT sull'host @ con v=spf1 a mx include:websitewelcome.com ~all. Se la tua posta Bluehost parte esclusivamente dal pool condiviso, il più leggero v=spf1 a mx include:spf.websitewelcome.com ~all consuma molte meno ricerche (ma omette gli intervalli Google/Microsoft inclusi). Su VPS/Dedicated aggiungi ip4:<dedicated IP> del tuo server. Nel portale usa + ADD RECORD > Single record, Type TXT, Refers to @ e un TTL basso (1-4 ore).
- 6
Aggiungi il record DKIM
Email Deliverability di cPanel genera una chiave a 2048 bit con il selettore default, pubblicata come record TXT su default._domainkey con valore v=DKIM1; k=rsa; p=<public key>. Se il tuo DNS è su Bluehost viene aggiunto per te; con un DNS esterno, copialo esattamente. Se in realtà invii tramite terzi (Google, M365, SendGrid, uno strumento di newsletter), pubblica il DKIM di QUEL provider invece di quello di Bluehost.
- 7
Pubblica una policy DMARC
Aggiungi un record TXT su _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Bluehost non lo crea mai per te. Parti da p=none (solo monitoraggio), così nulla cambia mentre confermi l'allineamento, poi passa a quarantine e reject.
- 8
Ricontrolla Email Deliverability e invia un'email di prova
In cPanel, lo strumento Email Deliverability dovrebbe mostrare spunte verdi per SPF e DKIM (la vista Repair elenca ciò che è ancora sbagliato). Poi invia un messaggio reale, aprilo in Gmail e usa Show original per confermare SPF: PASS, DKIM: PASS e DMARC: PASS, tutti allineati al tuo dominio. Concludi con il check-up del dominio di Qualisend per confermare che l'SPF resti sotto le dieci ricerche.
Record da aggiungere
Bluehost genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 a mx include:websitewelcome.com ~allSPF radice per la posta ospitata su Bluehost: tieni esattamente un record SPF e unisci gli altri mittenti a questa riga. Questo include si risolve in circa 8 ricerche DNS; il più leggero include:spf.websitewelcome.com (~4 ricerche) funziona solo se la tua posta parte esclusivamente dal pool cPanel condiviso, perché elimina gli intervalli Google/Microsoft inclusi. Su VPS/Dedicated aggiungi ip4:<your dedicated IP>. |
| TXT | default._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...(2048-bit public key from cPanel Email Deliverability)Valore di esempio: la chiave reale viene generata per ogni dominio in cPanel > Email > Email Deliverability (selettore default). Per i mittenti di terze parti, pubblica invece il loro record DKIM. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUn solo record DMARC per dominio. Bluehost non lo aggiunge: parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Bluehost.
Bluehost occupa 8 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Bluehost dipende dall'interfaccia usata dal tuo account, ma il percorso standard è lo strumento Email Deliverability di cPanel: genera una chiave a 2048 bit con il selettore default e la pubblica come record TXT su default._domainkey.yourdomain.com, con valore v=DKIM1; k=rsa; p=<public key>. Bluehost conserva la chiave privata corrispondente e la usa per firmare la tua posta in uscita. Quando il dominio usa i nameserver di Bluehost (Bluehost è autoritativo), lo strumento scrive e ripara questo record automaticamente; se il tuo DNS è su Cloudflare, presso un registrar o altrove, Email Deliverability mostra invece i valori esatti di Name/Value da incollare e li aggiungi a mano. Sui più recenti account del portale Bluehost senza cPanel, aggiungi lo stesso TXT in Domains > DNS > Manage Advanced DNS Records (Advanced Tools > Advanced DNS Records). Due cautele specifiche per Bluehost. Primo, il DKIM vale solo per la posta che i server di Bluehost inviano davvero: se invii tramite Google Workspace, Microsoft 365, SendGrid o una piattaforma di newsletter, quella posta deve portare il selettore DKIM di QUEL provider (google._domainkey, selector1/2._domainkey, s1/s2._domainkey, ecc.), non il selettore default di Bluehost. Secondo, l'email professionale Bluehost Cloud / basata su OX è un prodotto di posta diverso, con chiavi DKIM proprie e l'SPF include:spf.cloudus.oxcs.net: non mescolare i suoi record con quelli dell'hosting condiviso classico.
DMARC
DMARC è l'unico record che Bluehost non crea mai per te: anche dopo che Email Deliverability ha pubblicato SPF e DKIM, non esiste alcuna policy DMARC finché non la aggiungi. Pubblica un record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati, così puoi confermare che la tua posta Bluehost (e qualsiasi altra cosa invii a nome del tuo dominio) superi SPF e DKIM con allineamento al tuo dominio organizzativo. Osserva quei report per una o due settimane, assicurati che ogni sorgente legittima si autentichi, poi passa a p=quarantine e infine a p=reject, la policy che ferma davvero lo spoofing. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi, e aggiungilo nello stesso posto di SPF e DKIM (DMARC non si gestisce da cPanel: è un semplice record TXT nella tua zona, tramite Manage Advanced DNS Records sul portale o presso il tuo provider DNS esterno).
Verifica che funzioni davvero
Non fermarti alle spunte verdi di cPanel: controlla su un messaggio reale. In cPanel, Email Deliverability dovrebbe mostrare SPF e DKIM come validi per il dominio, e la sua vista Repair segnala tutto ciò che è ancora rotto. Poi invia un messaggio da una casella Bluehost a un account Gmail, aprilo e scegli Show original: devi vedere SPF: PASS, DKIM: PASS (signed-by il tuo dominio, selettore default) e DMARC: PASS, tutti allineati a yourdomain.com e non a websitewelcome.com. Puoi controllare a campione i record grezzi con dig TXT yourdomain.com, dig TXT default._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Soprattutto, poiché l'include websitewelcome.com è annidato così in profondità, verifica che il totale delle ricerche SPF resti a dieci o meno: analizza il dominio con il check-up del dominio di Qualisend e con il controllo autenticazione email, che risolvono l'intera catena di include e segnalano un PermError prima che lo facciano i provider di posta. Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che Bluehost compaia come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
L'include websitewelcome.com divora ricerche. include:websitewelcome.com si risolve (verificato in tempo reale) in circa otto ricerche DNS annidate: concatena eig.spf.a.cloudfilter.net e spf.websitewelcome.com, che richiamano _spf.nfco-mailout.com e i suoi due netblock, oltre a _spf.google.com e spf.protection.outlook.com. Aggiungi i meccanismi a e mx inseriti nel record standard di Bluehost e arrivi al limite di dieci dell'RFC 7208, senza spazio per nessun altro mittente. Usa il più leggero include:spf.websitewelcome.com (~4 ricerche, ma omette gli intervalli Google/Microsoft inclusi) o togli l'include se non invii tramite Bluehost.
- Fa fallire l'autenticazione
Due record SPF = PermError. Bluehost aggiunge automaticamente un record v=spf1 predefinito per ogni dominio, quindi se incolli il tuo ne hai due, e SPF fallisce del tutto. Modifica il record esistente; non pubblicare mai un secondo TXT SPF. La stessa regola vale per DMARC: esattamente un record _dmarc.
- Fa fallire l'autenticazione
Se il tuo MX è Google Workspace o Microsoft 365, l'include Bluehost autorizza posta che non invii. Non fa nulla per la tua posta reale e spreca solo ricerche: sostituiscilo con include:_spf.google.com o include:spf.protection.outlook.com.
- Copertura
I piani VPS e Dedicated inviano dal tuo IP dedicato, non dal pool condiviso. include:websitewelcome.com non copre quella posta: aggiungi ip4:<your dedicated IP> al record SPF.
- Copertura
L'email professionale Bluehost Cloud / basata su OX è un prodotto diverso. Usa include:spf.cloudus.oxcs.net e chiavi DKIM proprie, non websitewelcome.com: prima di copiare i record, verifica quale prodotto di posta usa davvero l'account.
- Configurazione DNS
cPanel pubblica in automatico solo quando Bluehost è autoritativo. Se il tuo DNS è su Cloudflare o presso il registrar, Email Deliverability si limita a mostrare i valori SPF/DKIM: devi incollarli tu presso quel provider DNS, altrimenti lo strumento continuerà a segnalarli come mancanti.
- Configurazione DNS
Dominio duplicato nel campo host: il campo Refers to del portale aggiunge il tuo dominio, quindi inserisci @ per l'SPF radice e solo default._domainkey (l'etichetta) per il DKIM, non l'FQDN completo, altrimenti creerai default._domainkey.yourdomain.com.yourdomain.com.
- Copertura
Bluehost configura SPF e DKIM, ma mai DMARC. Un account che ha “superato” il controllo di Email Deliverability può non avere alcuna policy DMARC, ed è proprio quella che oggi richiedono le regole di Gmail/Yahoo per i mittenti di grandi volumi: il record _dmarc devi aggiungerlo tu.
Crea il tuo record SPF
Bluehost è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Bluehost: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.