SPF, DKIM e DMARC per Braze.
Braze non ti fornisce una riga SPF condivisa da incollare sul dominio radice: il suo canale email gira sull'infrastruttura di invio di SparkPost, e Braze predispone i tuoi record di autenticazione per singolo account quando configura i tuoi IP e il dominio di invio durante l'onboarding. Comunichi a Braze un sottodominio di invio dedicato (ad esempio email.yourdomain.com), Braze genera per il tuo account un record univoco con la chiave pubblica DKIM e un record di bounce/Return-Path, e tu pubblichi esattamente quei valori presso il tuo provider DNS. È la firma DKIM con il tuo dominio a far superare DMARC; un sottodominio personalizzato di bounce/Return-Path (un CNAME verso sparkpostmail.com) aggiunge in più l'allineamento SPF. DMARC invece è un record che Braze non crea mai: lo aggiungi tu.
Perché autenticare Braze?
Braze è una piattaforma di lifecycle e marketing per grandi volumi, quindi la sua posta è proprio quella che i server riceventi esaminano con più severità, e l'autenticazione decide se una campagna arriva nella posta in arrivo o nella cartella spam. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com, Hotmail e Live. Le indicazioni di Braze lo dicono senza giri di parole: il motivo più comune per cui la posta di Braze viene bloccata è il mancato superamento di DMARC dovuto a SPF e DKIM configurati male. La trappola tipica di qualsiasi ESP è la firma DKIM con il dominio del provider invece che con il tuo: se la chiave DKIM di Braze non è pubblicata e non firma con il tuo dominio, nulla si allinea e DMARC non può essere superato. Se configuri tutto correttamente, entrambi i meccanismi si allineano al tuo dominio, DMARC viene superato, la reputazione che costruisci sull'IP di invio di Braze si accumula sul tuo dominio e la posta inoltrata continua ad autenticarsi.
Come funziona davvero SPF con Braze
Braze è un mittente per singolo account, non un provider con include condiviso: quindi NON c'è alcun include:sparkpostmail.com da aggiungere al tuo record SPF RADICE, e non dovresti aggiungerlo lì. Poiché Braze gira sull'infrastruttura di SparkPost, il meccanismo SPF si trova sul tuo sottodominio di bounce/Return-Path, non sull'apex. Per impostazione predefinita Braze invia con un MAIL FROM della busta (Return-Path) su sparkpostmail.com, quindi un semplice controllo SPF viene superato, ma per sparkpostmail.com e non per il tuo dominio: significa che non si ALLINEA e da solo non fa nulla per DMARC. Va bene così, perché è DKIM (firmato con il tuo dominio tramite il tuo selettore scph) a far superare DMARC grazie all'allineamento. Se vuoi anche SPF allineato al tuo dominio (ne vale la pena, perché alcuni server riceventi gli danno peso e sopravvive ad alcuni percorsi di inoltro), configura un sottodominio personalizzato di bounce/Return-Path: un CNAME come bounces.yourdomain.com che punta a sparkpostmail.com (ed eredita in modo trasparente l'SPF di SparkPost, pubblicato come v=spf1 exists:%{i}._spf.sparkpostmail.com ~all) oppure, con il metodo alternativo basato su MX, un MX più un TXT v=spf1 include:sparkpostmail.com ~all sullo stesso sottodominio. In entrambi i casi l'include si trova sul SOTTODOMINIO di bounce, mai sulla radice: Braze aggiunge quindi zero ricerche DNS al tuo SPF radice, che resta riservato ai mittenti che usano davvero il tuo dominio nel Return-Path (Google Workspace, Microsoft 365, un relay transazionale). Una nota sulle regioni: le istanze Braze ospitate nell'UE usano un host specifico per l'UE (una destinazione eu.sparkpostmail.com) al posto di sparkpostmail.com; usa l'host che ti indica Braze.
Passo dopo passo
- 1
Scegli un sottodominio di invio dedicato
Decidi un sottodominio da usare solo per Braze (email.yourdomain.com, news.yourdomain.com, mktg.yourdomain.com) e comunicalo al team di onboarding o al tuo account team di Braze. Inviare le campagne da un sottodominio dedicato (la struttura consigliata da Braze) isola la reputazione del marketing da quella della posta aziendale e transazionale, così un invio andato male non può trascinare giù il dominio radice.
- 2
Ottieni da Braze i record DNS del tuo account
Braze configura i tuoi IP e il dominio di invio sulla sua infrastruttura basata su SparkPost, poi ti fornisce i record esatti da pubblicare: un record con la chiave pubblica DKIM, un record di bounce/Return-Path e le indicazioni SPF per il sottodominio di bounce. Non c'è alcun include self-service da incollare: selettore e chiave sono univoci per il tuo account, e l'host è diverso tra le istanze Braze USA e UE. Copia i valori esattamente come te li fornisce Braze.
- 3
Pubblica il record DKIM
Aggiungi sul tuo sottodominio di invio il record DKIM che ti fornisce Braze: di solito un record TXT su un selettore in stile SparkPost come scph0123._domainkey.email.yourdomain.com, con valore v=DKIM1; k=rsa; p=<la tua chiave pubblica> (alcuni account ricevono invece un CNAME). Braze conserva la chiave privata corrispondente e firma la tua posta con d=email.yourdomain.com (il tuo sottodominio di invio): è questo che si allinea al tuo indirizzo From per DMARC.
- 4
Aggiungi il record di bounce / Return-Path per l'allineamento SPF
Crea il sottodominio di bounce (es. bounces.yourdomain.com) come CNAME che punta a sparkpostmail.com, o alla destinazione specifica per l'UE se la tua istanza Braze è ospitata nell'UE. In questo modo il Return-Path della busta diventa un sottodominio del tuo dominio, e SPF si allinea. Il CNAME eredita in modo trasparente l'SPF di SparkPost, quindi non c'è altro da aggiungere. (Se Braze ti fornisce invece il metodo basato su MX, aggiungerai un MX verso sparkpostmail.com più un TXT v=spf1 include:sparkpostmail.com ~all sullo stesso sottodominio di bounce, mai sulla radice.)
- 5
Non toccare l'SPF RADICE
Non aggiungere include:sparkpostmail.com al record SPF del dominio apex: Braze non autentica SPF lì, usa il sottodominio di bounce. Aggiungerlo alla radice non serve a nulla e consuma inutilmente una delle tue 10 ricerche DNS SPF. Tieni esattamente un record SPF sulla radice, con i soli mittenti che inseriscono il tuo dominio radice nel Return-Path.
- 6
Pubblica il record DMARC
Braze non crea mai DMARC per te. Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Braze consiglia di impostare la policy sul dominio RADICE, così si applica per ereditarietà a tutti i sottodomini (compreso il sottodominio di invio di Braze). p=none è solo monitoraggio, quindi non influisce su nulla mentre confermi l'allineamento.
- 7
Disattiva il proxy di Cloudflare sui CNAME
Se il tuo DNS è su Cloudflare, imposta il CNAME di bounce (e un record DKIM di tipo CNAME, se Braze te ne ha fornito uno) su 'DNS only', la nuvola grigia. Un CNAME con proxy attivo (nuvola arancione) non si risolve in sparkpostmail.com e la verifica del dominio di Braze non andrà a buon fine.
- 8
Comunica a Braze che i record sono attivi, poi conferma su un messaggio reale
Fai sapere al team Braze che ti segue che il DNS è pubblicato, così Braze può verificare il dominio e abilitare l'invio. Poi invia una campagna di prova, aprila in Gmail e scegli More → Show original: devi vedere DKIM: PASS con d= il tuo dominio (es. email.yourdomain.com), SPF: PASS (con il tuo sottodominio di bounce se hai impostato un Return-Path personalizzato, oppure sparkpostmail.com se non l'hai fatto) e DMARC: PASS. Infine, se Braze ti ha assegnato un nuovo IP dedicato, fai il warm-up aumentando gradualmente il volume nelle prime settimane.
Record da aggiungere
Braze genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | scph0123._domainkey.email | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC…(per-account public key)Chiave pubblica DKIM. Il selettore scph (formato SparkPost con data codificata) e la chiave sono generati da Braze per ogni account: copia il record esatto che ti fornisce Braze. Braze conserva la chiave privata e la ruota. Alcuni account ricevono qui un CNAME invece di un TXT. Valore di esempio. |
| CNAME | bounces | sparkpostmail.comSottodominio di bounce / Return-Path: è ciò che ti dà l'allineamento SPF, ed eredita automaticamente l'SPF di SparkPost (sparkpostmail.com pubblica v=spf1 exists:%{i}._spf.sparkpostmail.com ~all). Le istanze Braze ospitate nell'UE usano una destinazione eu.sparkpostmail.com. Valore di esempio: usa l'host e la destinazione esatti forniti da Braze. Mettilo su un sottodominio di bounce dedicato, non sulla radice. |
| TXT | bounces | v=spf1 include:sparkpostmail.com ~allALTERNATIVA al CNAME qui sopra: usala solo se Braze ti fornisce il metodo di bounce basato su MX (un MX verso sparkpostmail.com più questo SPF). Si trova sul SOTTODOMINIO di bounce, mai sulla radice. UE: usa l'host eu.sparkpostmail.com fornito da Braze. Un sottodominio non può avere sia un CNAME sia questo TXT: scegli un solo metodo. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo pubblichi tu: Braze non lo crea mai. Mettilo sulla RADICE, così copre per ereditarietà il tuo sottodominio Braze. Un solo _dmarc per dominio; parti da p=none, poi rendilo più restrittivo. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Braze.
La configurazione consigliata di Braze aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è il record portante per Braze, perché è il meccanismo che si allinea al tuo dominio e fa superare DMARC. Quando Braze configura il tuo dominio sulla sua infrastruttura basata su SparkPost, genera una coppia di chiavi DKIM univoca per il tuo account, conserva la chiave privata e ti fornisce la chiave pubblica da pubblicare nel DNS. La maggior parte degli account riceve un record TXT su un selettore in stile SparkPost, qualcosa come scph0123._domainkey.email.yourdomain.com, con valore v=DKIM1; k=rsa; p=<la tua chiave pubblica>; alcuni account ricevono invece un CNAME. In ogni caso pubblichi esattamente ciò che fornisce Braze: il selettore scph contiene una data codificata ed è univoco per te, quindi non puoi indovinarlo, e Braze ruota la chiave sottostante dal suo lato. Una volta che il record si risolve, Braze firma ogni messaggio con d=email.yourdomain.com (il tuo sottodominio di invio) e, poiché questo condivide il dominio organizzativo del tuo indirizzo From visibile, la firma si allinea: è questo che permette di superare DMARC. L'errore DKIM più comune con Braze è la trappola del dominio dell'ESP: se la chiave non è pubblicata, la posta può essere firmata con il dominio del provider invece che con il tuo, quindi supera DKIM ma non si allinea, e DMARC non ne trae alcun beneficio. Verifica su un messaggio reale che il dominio di firma risulti il tuo (d=email.yourdomain.com o la radice), non un indirizzo sparkpostmail.com o braze.
DMARC
DMARC è un record di policy separato sul tuo dominio che Braze non crea: lo aggiungi tu presso il tuo provider DNS. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La raccomandazione di Braze è impostare la policy sul dominio RADICE, così si applica per ereditarietà a ogni sottodominio (compreso il sottodominio di invio dedicato a Braze), invece di pubblicare un record separato sul sottodominio (aggiungeresti un _dmarc specifico per il sottodominio, o useresti il tag sp= nel record radice, solo se vuoi deliberatamente una policy diversa per i sottodomini). p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che Braze superi SPF e DKIM con allineamento al tuo dominio. Ricorda che DMARC viene superato quando si allinea SPF OPPURE DKIM: con Braze, DKIM si allinea tramite il tuo selettore scph, e anche SPF si allinea se configuri il sottodominio personalizzato di bounce/Return-Path, quindi una configurazione completa supera DMARC con entrambi. Quando per una o due settimane i report mostrano Braze come sorgente costante e allineata, passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi. (Braze precisa che BIMI, se deciderai di adottarlo in seguito, non richiede alcun coordinamento particolare da parte sua, ma richiede prima una policy DMARC p=quarantine o p=reject.)
Verifica che funzioni davvero
Non fidarti del fatto che Braze segnali il dominio come verificato: confermalo su un messaggio reale. Invia un'email di prova dal tuo sottodominio di invio Braze, aprila in Gmail e scegli More → Show original: devi vedere DKIM: PASS con d= il tuo dominio (di solito il sottodominio di invio, es. d=email.yourdomain.com, non un dominio sparkpostmail.com o braze, che vorrebbe dire che la chiave non si sta allineando) e DMARC: PASS. SPF mostrerà PASS per il tuo sottodominio di bounce se hai impostato un Return-Path personalizzato, oppure per sparkpostmail.com se non l'hai fatto: il caso sparkpostmail.com è previsto e DMARC viene comunque superato grazie a DKIM, quindi non considerarlo un errore. Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il record DKIM, il record di bounce/Return-Path e il record DMARC si risolvano tutti correttamente e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Braze (tramite SparkPost) dovrebbe comparire come sorgente allineata che supera i controlli, prima ancora che tu inasprisca la policy verso p=reject.
Insidie comuni
- Copertura
I tuoi record sono specifici del tuo account e li fornisce Braze: non c'è alcun include self-service da incollare. Il selettore DKIM scph, la chiave e la destinazione di bounce vengono generati per il tuo account durante l'onboarding; copiali esattamente. Indovinare un selettore o un include SPF non autentica nulla.
- Configurazione DNS
L'istanza USA o UE fa differenza. Braze ospitato nell'UE gira sull'infrastruttura UE di SparkPost e usa una destinazione eu.sparkpostmail.com (e host dei record specifici per l'UE); l'istanza USA usa sparkpostmail.com. Pubblicare l'host della regione sbagliata compromette la risoluzione del bounce/Return-Path e SPF: usa esattamente ciò che ti fornisce Braze.
- Configurazione DNS
L'allineamento SPF va attivato esplicitamente. Per impostazione predefinita il Return-Path della busta di Braze è su sparkpostmail.com, quindi SPF viene superato ma non si allinea e DMARC si regge interamente su DKIM. Vedere 'SPF: sparkpostmail.com' è normale: configura il sottodominio personalizzato di bounce/Return-Path (il CNAME verso sparkpostmail.com) se vuoi allineare anche SPF.
- Fa fallire l'autenticazione
Non aggiungere mai include:sparkpostmail.com al tuo SPF RADICE. Va solo sul sottodominio di bounce (o viene ereditato tramite il CNAME di bounce). Sulla radice non serve a nulla e consuma inutilmente una delle tue 10 ricerche DNS SPF.
- Configurazione DNS
Il proxy di Cloudflare blocca tutto. Imposta il CNAME di bounce (e un record DKIM di tipo CNAME, se Braze te ne ha fornito uno) su 'DNS only' (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in sparkpostmail.com e la verifica resta in sospeso.
- Copertura
Invia da un sottodominio dedicato, non dalla semplice radice. Mandare campagne Braze da yourdomain.com mette in comune la reputazione del marketing con quella della posta aziendale e transazionale; un sottodominio dedicato (email./news.) è la struttura consigliata da Braze ed evita che un invio sbagliato affossi il dominio radice.
- Copertura
Un nuovo IP dedicato ha bisogno del warm-up. L'onboarding di Braze spesso predispone uno o più IP dedicati; aumenta il volume gradualmente, nell'arco di circa due-quattro settimane. (Gli account con volumi più bassi possono stare su un pool di IP condivisi gestito da Braze, dove il warm-up viene fatto per te.) Un nuovo IP non ha reputazione, quindi un DNS perfetto non salverà il recapito iniziale se invii a pieno volume fin dal primo giorno.
- Configurazione DNS
Imposta DMARC sulla RADICE, così copre per ereditarietà il tuo sottodominio Braze (come consiglia Braze). Non pubblicare un secondo _dmarc in conflitto sul sottodominio di invio, a meno che tu non voglia proprio una policy diversa per i sottodomini tramite sp= o un record sul sottodominio.
- Configurazione DNS
Se Braze ti offre invece la delega del sottodominio, è un'alternativa, non un'aggiunta. In quella procedura deleghi l'intero sottodominio di invio ai nameserver di SparkPost tramite record NS, e Braze gestisce per te i record DKIM/SPF/bounce. Se deleghi, non pubblicare anche i tuoi record in conflitto per quel sottodominio: scegli un solo approccio.
Crea il tuo record SPF
Braze non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Braze: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.