SPF, DKIM e DMARC per Brevo.
Brevo (ex Sendinblue) autentica il tuo dominio dalla pagina Domains, e la sua procedura parte da DKIM, non da SPF. Invece di incollare una riga SPF condivisa, pubblichi un record TXT Brevo code per dimostrare che il dominio è tuo e due record CNAME DKIM che delegano a Brevo chiavi di firma a rotazione: sono questi record DKIM, non SPF, a far superare DMARC. Brevo pubblica comunque un include condiviso (include:spf.brevo.com), ma con l'invio standard su IP condivisi è facoltativo, perché è Brevo a controllare il mittente della busta. Una volta verificati il Brevo code e i record DKIM, l'indicazione “via” sparisce e la tua posta si allinea al tuo dominio.
Perché autenticare Brevo?
Autenticare il dominio in Brevo non è una formalità: decide se i tuoi messaggi raggiungono davvero la posta in arrivo, e Brevo l'ha resa un requisito del prodotto. Dal 1° febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e il 5 maggio 2025 Microsoft ha annunciato che avrebbe applicato gli stessi standard. La procedura di autenticazione di Brevo ne tiene conto: un dominio completamente autenticato pubblica un record DMARC insieme a DKIM, e la posta non autenticata viene rallentata o rifiutata da questi provider di posta. Finché non autentichi il dominio, Brevo invia su un'infrastruttura condivisa con il proprio dominio di busta: i destinatari vedono una nota “via” o “sent on behalf of”, il tuo indirizzo From non è allineato, DMARC non può essere superato e la reputazione di invio che costruisci finisce in comune con quella di tutti gli altri mittenti Brevo non autenticati. Completare Brevo code, CNAME DKIM e DMARC risolve tutto: DKIM si allinea al tuo dominio, l'indicazione “via” sparisce, DMARC viene superato e la reputazione si accumula a tuo favore.
Come funziona davvero SPF con Brevo
Tecnicamente Brevo è un provider “include”: spf.brevo.com è un record SPF condiviso reale e attivo (un elenco piatto di blocchi ip4 che conta come una sola ricerca DNS). Ma, a dirla tutta, Brevo NON lo richiede, e la sua procedura standard di autenticazione del dominio ruota attorno a Brevo code, DKIM e DMARC anziché a SPF. Il motivo: sugli IP condivisi il mittente della busta (il Return-Path / MAIL FROM su cui il server ricevente controlla davvero SPF) è sempre un dominio di proprietà di Brevo, storicamente sotto sender-sib.com (e, sulla vecchia infrastruttura Sendinblue, mailin.fr). Quindi, anche se aggiungi include:spf.brevo.com al record SPF del dominio radice, SPF autentica l'infrastruttura di Brevo ma NON si allinea al tuo dominio From visibile: da solo, quindi, non può soddisfare DMARC. L'allineamento DMARC arriva interamente da DKIM: i CNAME DKIM firmano con d=yourdomain.com (tramite delega CNAME), ottenendo un allineamento DKIM relaxed che supera DMARC. L'unico caso in cui SPF conta è un IP dedicato, dove puoi impostare un sottodominio personalizzato di bounce/Return-Path sul tuo dominio: allora include:spf.brevo.com lo autorizza e lo allinea. Due trappole sui nomi: usa spf.brevo.com, non il deprecato spf.sendinblue.com (il vecchio host Sendinblue per ora potrebbe ancora risolversi, ma è in dismissione), e non aggiungere mai un semplice include:sendinblue.com: non è l'include di invio di Brevo per i clienti, quindi aggiungerlo porta solo mittenti estranei nel tuo record e spreca una ricerca.
Due modi per configurarlo
DKIM tramite CNAME (consigliato)
- Due CNAME (brevo1._domainkey / brevo2._domainkey, o mail._domainkey / mail2._domainkey su alcuni account) delegano la firma a Brevo, che conserva le chiavi private
- Chiavi da 2048 bit che Brevo ruota per te: non devi più modificare il DNS quando una chiave cambia
- L'impostazione predefinita per i domini autenticati di recente e la configurazione DKIM più robusta
- Non aggiunge nulla al tuo budget di ricerche SPF ed è ciò che si allinea davvero per DMARC
DKIM tramite TXT (legacy)
- Un unico record TXT su mail._domainkey con una chiave pubblica statica (k=rsa; p=...)
- Chiave da 1024 bit, da ripubblicare a mano se mai dovesse cambiare
- Compare solo sugli account meno recenti o dove i CNAME non sono possibili
- In Brevo, seleziona la scheda che corrisponde al tuo schermo e passa al metodo CNAME appena puoi
Passo dopo passo
- 1
Apri la pagina Domains
Accedi, fai clic sul nome del tuo account (in alto a destra), vai su Senders, Domains & Dedicated IPs e apri la scheda Domains.
- 2
Aggiungi o seleziona il dominio
Fai clic su “Add a domain” e inserisci yourdomain.com (il dominio organizzativo usato dal tuo indirizzo From), oppure fai clic su “Authenticate” accanto a un dominio già presente nell'elenco.
- 3
Scegli la configurazione automatica o manuale
Brevo offre “Authenticate automatically”, che accede al tuo provider DNS e aggiunge i record per te, oppure una procedura manuale che mostra i record da copiare. Scegli quella manuale se il tuo provider DNS non è tra quelli compatibili.
- 4
Copia i record mostrati da Brevo
Brevo elenca un Brevo code (TXT, proprietà), i record DKIM (due CNAME, di solito brevo1._domainkey e brevo2._domainkey, anche se alcuni account mostrano mail._domainkey e mail2._domainkey, oppure un singolo TXT legacy su mail._domainkey) e un record DMARC (TXT). Annota host e destinazione esatti di ciascuno: sono specifici del tuo account.
- 5
Aggiungi il TXT Brevo code
Crea un record TXT sul dominio radice (host @ o vuoto) con il valore brevo-code:<il tuo valore>. Serve a dimostrare la proprietà: da solo non autentica la posta, ma senza di esso l'autenticazione non si completa.
- 6
Aggiungi i due CNAME DKIM
Crea i due record DKIM come CNAME. Brevo di solito li etichetta brevo1._domainkey e brevo2._domainkey (alcuni account mostrano mail._domainkey e mail2._domainkey), con destinazioni b1.<account>.dkim.brevo.com e b2.<account>.dkim.brevo.com come indicato sul tuo schermo: copia sempre i nomi e le destinazioni esatti mostrati da Brevo. Inserisci solo l'etichetta (es. brevo1._domainkey) se il tuo pannello aggiunge automaticamente il dominio, e non cambiare il tipo in TXT.
- 7
Disattiva CNAME flattening e proxy di Cloudflare
Se il tuo DNS è su Cloudflare, disattiva il CNAME flattening e imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME appiattito o con proxy attivo (nuvola arancione) restituisce gli IP di Cloudflare invece della destinazione Brevo, e la verifica fallisce.
- 8
Pubblica (o aggiorna) il record DMARC
Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La procedura di Brevo pubblica un record DMARC nell'ambito dell'autenticazione completa (e comunque Gmail/Yahoo lo richiedono), quindi non saltarlo. Tieni un solo record _dmarc per l'intero dominio.
- 9
Salta l'include SPF, a meno che tu non abbia un IP dedicato
Per l'invio standard su IP condivisi non devi toccare il record SPF del dominio radice: la procedura di Brevo non richiede un record SPF e include:spf.brevo.com non si allineerebbe. Solo se usi un IP dedicato con un Return-Path personalizzato devi unire include:spf.brevo.com al tuo unico record v=spf1.
- 10
Fai clic su “Authenticate this email domain”
Torna in Brevo e fai clic su “Authenticate this email domain” in fondo alla pagina del dominio. Ogni record mostra un segno di spunta verde / “Value matched” quando si risolve. Di solito la propagazione richiede pochi minuti, ma può arrivare a 24-48 ore.
- 11
Conferma su un messaggio reale
Invia un'email di prova da un indirizzo del dominio autenticato, aprila in Gmail e usa Show original: devi vedere DKIM: PASS con il tuo dominio e DMARC: PASS. SPF potrebbe mostrare un dominio di busta di Brevo: su un IP condiviso è normale.
Record da aggiungere
Brevo genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | brevo-code:a1b2c3d4e5f6a1b2c3d4e5f6Brevo code: verifica della proprietà del dominio; il valore esatto è mostrato nella tua dashboard (l'host è il dominio radice / @) |
| CNAME | brevo1._domainkey | b1.yourdomain-a1b2.dkim.brevo.comChiave DKIM 1 (2048 bit, rotazione automatica): la destinazione è specifica del tuo account; alcuni account etichettano questo CNAME mail._domainkey, quindi copia il nome e la destinazione esatti mostrati da Brevo |
| CNAME | brevo2._domainkey | b2.yourdomain-a1b2.dkim.brevo.comChiave DKIM 2 (2048 bit, rotazione automatica): alcuni account la etichettano mail2._domainkey; è questa coppia a garantire l'allineamento DMARC |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio; è DKIM a garantire l'allineamento. Fa parte della procedura di autenticazione completa di Brevo |
| TXT | @ | v=spf1 include:spf.brevo.com ~allFacoltativo / solo IP dedicato: non fa parte della procedura standard e sugli IP condivisi non produce l'allineamento SPF. Se lo aggiungi, uniscilo al tuo unico record SPF |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Brevo.
Brevo occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è il cuore dell'autenticazione Brevo, perché è ciò che si allinea per DMARC. Sui domini autenticati di recente, Brevo fornisce due record CNAME, di solito brevo1._domainkey.yourdomain.com e brevo2._domainkey.yourdomain.com (alcuni account li etichettano mail._domainkey e mail2._domainkey), che puntano a b1.<account>.dkim.brevo.com e b2.<account>.dkim.brevo.com, dove la parte <account> è specifica per te. Copia sempre i nomi e le destinazioni esatti dei record che Brevo mostra sul tuo schermo. Poiché sono CNAME delegati a Brevo, è Brevo a conservare le chiavi private e può ruotare le chiavi da 2048 bit pubblicate dietro questi due selettori senza che tu debba più modificare il DNS; non devi incollare alcuna chiave pubblica. Gli account meno recenti potrebbero invece vedere un unico record TXT su mail._domainkey con una chiave statica da 1024 bit (k=rsa; p=MIIBIjAN...). Funziona ancora, ma il metodo CNAME è preferibile (2048 bit e rotazione automatica): in Brevo seleziona la scheda corrispondente al tipo di record mostrato sul tuo schermo. In ogni caso, la firma DKIM risultante contiene d=yourdomain.com, quindi si allinea al tuo dominio From con l'allineamento relaxed e soddisfa DMARC da sola.
DMARC
DMARC è un record di policy separato sul dominio radice, e l'attuale procedura di Brevo ne pubblica uno nell'ambito dell'autenticazione completa del dominio: consideralo quindi obbligatorio, non facoltativo. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non influisce sul recapito mentre verifichi che la posta Brevo superi DKIM con allineamento al tuo dominio. Tieni d'occhio i report aggregati (rua) per una o due settimane (dato che Brevo si allinea tramite DKIM e non SPF, devi cercare il tuo dominio nel risultato DKIM), poi passa a p=quarantine e infine a p=reject quando l'allineamento è costante. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungerne un secondo per Brevo. Per la cronaca, il dominio stesso di Brevo pubblica p=reject.
Verifica che funzioni davvero
Non fidarti solo del badge nella dashboard: confermalo su un messaggio reale. In Brevo, facendo clic su “Authenticate this email domain” compare un segno di spunta verde / “Value matched” per ogni record man mano che si risolve. Poi inviati un'email di prova da un indirizzo del dominio autenticato, aprila in Gmail e scegli il menu a tre puntini, poi Show original: devi vedere DKIM: PASS con il tuo dominio e DMARC: PASS. Nota che SPF spesso mostrerà un dominio di busta di Brevo (qualcosa sotto sender-sib.com / mailin.fr) invece del tuo dominio: su un IP condiviso è normale e non conta, perché è DKIM a garantire l'allineamento. Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il Brevo code, entrambi i CNAME DKIM e il record DMARC si risolvano e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Brevo dovrebbe comparire come sorgente allineata che supera DKIM.
Insidie comuni
- Copertura
Su Brevo SPF è una falsa pista: aggiungere include:spf.brevo.com non fa superare DMARC sugli IP condivisi, perché la busta usa un dominio Brevo (sender-sib.com). È DKIM a garantire l'allineamento: non perdere tempo a indagare sull'allineamento SPF.
- Configurazione DNS
Il CNAME flattening di Cloudflare fa fallire DKIM: disattiva “CNAME flattening” e imposta i CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME appiattito o con proxy attivo (nuvola arancione) si risolve negli IP di Cloudflare invece che nella destinazione Brevo, e la verifica fallisce.
- Configurazione DNS
Usa spf.brevo.com, non il deprecato spf.sendinblue.com, e non aggiungere mai un semplice include:sendinblue.com: non è l'include di invio di Brevo per i clienti, quindi porta solo mittenti estranei nel tuo record e consuma una ricerca.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire brevo1._domainkey.yourdomain.com produce brevo1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (brevo1._domainkey / brevo2._domainkey, o i nomi di selettore mostrati da Brevo) quando il pannello aggiunge il dominio per te.
- Copertura
Ora DMARC fa parte della procedura di Brevo: consideralo obbligatorio, aggiungi almeno p=none e tieni un solo record _dmarc per il dominio.
- Copertura
Verificare un singolo mittente (un indirizzo From) non equivale ad autenticare il dominio: ti permette di inviare, ma mostra ancora l'indicazione “via” e non offre alcun allineamento. Devi autenticare il dominio.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF: se aggiungi l'include per un IP dedicato, uniscilo al tuo record v=spf1 esistente. Due record SPF sono di per sé un PermError.
- Configurazione DNS
Il TXT Brevo code serve solo alla verifica: non eliminarlo dopo la configurazione. Rimuoverlo può far perdere al dominio lo stato di dominio autenticato, anche se il record in sé non firma la posta.
Crea il tuo record SPF
Brevo non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Brevo: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.