SPF, DKIM e DMARC per Campaign Monitor.
Campaign Monitor autentica il tuo dominio di invio da Account settings → Sending domains, e il record che conta davvero è un record TXT DKIM sul selettore cm._domainkey, non una riga SPF condivisa. Campaign Monitor genera una coppia di chiavi pubblica/privata per ogni dominio e ti fornisce il record TXT da pubblicare; poiché Campaign Monitor controlla sempre il dominio di Return-Path (bounce), SPF non può mai allinearsi al tuo dominio From, quindi il DKIM è l'unica strada per superare DMARC. Aggiungere include:_spf.createsend.com al tuo SPF radice è facoltativo e non fa nulla per l'allineamento. Quando il TXT cm._domainkey si risolve e confermi con un clic (“I've added the records” / “Authenticate now”), Campaign Monitor firma la posta a nome del tuo dominio, l'avviso “on behalf of”/via-cmail scompare e DMARC viene superato grazie all'allineamento DKIM.
Perché autenticare Campaign Monitor?
Autenticare il dominio in Campaign Monitor non è semplice manutenzione: è la differenza tra la posta in arrivo e lo spam, e oggi i provider di posta lo pretendono. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento; a maggio 2025 Microsoft ha esteso regole equivalenti a Outlook/Hotmail/Live per chi invia 5.000+ messaggi al giorno; e da allora Gmail ha continuato a inasprire l'applicazione delle regole, con la posta di grandi volumi non conforme sempre più spesso rifiutata del tutto invece che solo filtrata. Campaign Monitor è un mittente di marketing a grandi volumi, quindi le tue campagne rientrano pienamente in queste regole. Finché non autentichi il dominio, Campaign Monitor invia con il proprio dominio: i destinatari vedono che la posta non arriva davvero da te (una nota “via cmailXX.com” o “on behalf of”), il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione finisce in un unico calderone con quella di tutti gli altri mittenti Campaign Monitor non autenticati. C'è poi una particolarità di questo provider che rende il DKIM irrinunciabile: Campaign Monitor tiene il Return-Path sul proprio dominio di bounce, quindi SPF non può mai allinearsi al tuo dominio e il DKIM è l'unico meccanismo che ti fa superare DMARC. Salta il TXT cm._domainkey e non avrai alcuna autenticazione allineata.
Come funziona davvero SPF con Campaign Monitor
Tecnicamente Campaign Monitor è un provider con “include”: include:_spf.createsend.com è un record SPF reale, attivo e piatto (sei intervalli ip4, nessun include annidato, quindi conta come una sola ricerca DNS), ma la realtà, detto onestamente, è che non si allinea mai e non è la strada per la conformità DMARC. Ecco perché: Campaign Monitor invia ogni campagna con il mittente della busta / Return-Path sul proprio dominio di bounce (un sottodominio createsend.com/cmail), perché è Campaign Monitor, non tu, a gestire i bounce. SPF viene sempre valutato su quel dominio della busta, quindi si risolve sui server di Campaign Monitor e mai sul tuo dominio From. Può dare un pass grezzo, ma non si allinea al tuo dominio organizzativo, e DMARC conta SPF solo quando è allineato. A differenza di Postmark (CNAME Return-Path personalizzato) o di una configurazione con IP dedicato, Campaign Monitor non offre un Return-Path personalizzato sugli account standard, quindi non c'è davvero modo di allineare SPF: il DKIM firmato come d=yourdomain.com è l'unico meccanismo che si allinea e ti fa superare DMARC. Aggiungere include:_spf.createsend.com al tuo SPF radice brucia una delle tue 10 ricerche SPF senza alcun vantaggio per DMARC; puoi tranquillamente farne a meno. Riserva il tuo record SPF radice ai mittenti che mettono davvero il tuo dominio nel Return-Path (Google Workspace, Microsoft 365, un relay transazionale) e lascia che per Campaign Monitor lavori il DKIM.
Due modi per configurarlo
Solo DKIM: il TXT cm._domainkey (consigliato)
- Pubblica il TXT DKIM cm._domainkey generato da Campaign Monitor: firma come d=yourdomain.com e si allinea al tuo dominio From
- L'allineamento DKIM è l'unica cosa che fa superare DMARC alla posta di Campaign Monitor
- Non aggiunge alcuna ricerca DNS al tuo SPF radice: non c'è nulla da unire né da appiattire
- Abbinalo al tuo record _dmarc e avrai la configurazione completa e corretta
Aggiungere include:_spf.createsend.com (facoltativo, non aiuta DMARC)
- SPF dà un pass grezzo sugli IP di Campaign Monitor, ma non si allinea mai al tuo dominio From
- Campaign Monitor controlla il Return-Path, quindi l'allineamento SPF è strutturalmente impossibile: nessuna impostazione dell'account lo cambia
- Costa una delle tue 10 ricerche DNS SPF senza alcun vantaggio per DMARC
- Ha senso solo se un filtro in ingresso specifico con cui hai a che fare pretende un pass SPF grezzo
Passo dopo passo
- 1
Apri la pagina Sending domains
Fai clic sull'immagine del profilo (in alto a destra) → Account settings, poi apri la scheda Sending domains. Da questa sola pagina aggiungi un dominio e confermi i suoi record DNS.
- 2
Aggiungi il dominio di invio
In “Manage your sending domains”, fai clic su Add domain e inserisci il dominio esatto da cui invii come From (es. yourdomain.com). Puoi autenticare solo domini di tua proprietà o della tua organizzazione, e autenticare example.com NON copre automaticamente sottodomini come news.example.com: quelli si autenticano separatamente.
- 3
Copia il record generato
Campaign Monitor genera una chiave DKIM per il dominio e mostra il record DNS da aggiungere: un record TXT sull'host cm._domainkey con un valore che inizia con k=rsa; p=… seguito dalla chiave pubblica. Copialo esattamente. La schermata può mostrare anche la riga SPF facoltativa include:_spf.createsend.com, che puoi ignorare.
- 4
Aggiungi il record TXT DKIM
Presso il tuo provider DNS, crea un record TXT: Host/Name cm._domainkey, Value l'intera stringa k=rsa; p=… fornita da Campaign Monitor. Mantieni il tipo TXT: il DKIM di Campaign Monitor è un record TXT, non un CNAME. Non alterare il valore della chiave e non aggiungere spazi di troppo nella parte p=.
- 5
Correggi il dominio duplicato nel campo host
Molti registrar aggiungono automaticamente il dominio al campo host, quindi inserire cm._domainkey.yourdomain.com produce cm._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta cm._domainkey se il pannello aggiunge il dominio per te; inserisci il nome completo cm._domainkey.yourdomain.com solo se non lo fa.
- 6
Pubblica il record DMARC
Campaign Monitor non crea DMARC. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così nulla cambia mentre confermi l'allineamento. Salta questo passaggio se esiste già un record _dmarc: un dominio deve averne esattamente uno.
- 7
Salta l'include SPF (facoltativo)
Poiché Campaign Monitor controlla il Return-Path, aggiungere include:_spf.createsend.com non fa nulla per l'allineamento DMARC e costa una ricerca DNS: lascialo fuori. Aggiungilo (unito al tuo unico record v=spf1) solo se un filtro in ingresso specifico con cui hai a che fare pretende un pass SPF grezzo.
- 8
Conferma in Campaign Monitor
Torna nella pagina Sending domains e fai clic su “I've added the records” (o “Re-check record” / “Authenticate now” se hai chiuso la procedura). La propagazione DNS può richiedere fino a 24-72 ore; Campaign Monitor consiglia di attendere prima di confermare. Lo stato passa ad Authenticated quando il TXT cm._domainkey si risolve.
- 9
Invia dal dominio autenticato
In ogni cliente/audience e campagna, imposta come From un indirizzo del dominio autenticato (es. news@yourdomain.com), così la posta viene davvero firmata con DKIM a nome del tuo dominio: confermare il DNS non basta a cambiare una campagna già impostata su un altro indirizzo From.
Record da aggiungere
Campaign Monitor genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | cm._domainkey | k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC…(public key generated by Campaign Monitor)Il record DKIM che conta: firma a nome del tuo dominio ed è l'unica cosa che si allinea per DMARC. Valore di esempio; la chiave esatta del dominio appare in Account settings → Sending domains. Il selettore è sempre cm. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Campaign Monitor non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject. |
| TXT | @ | v=spf1 include:_spf.createsend.com ~allFACOLTATIVO e sconsigliato: Campaign Monitor controlla il Return-Path, quindi questo dà un pass grezzo ma non si allinea mai e non fa nulla per DMARC. È mostrato solo perché tu riconosca l'include legacy. Se lo aggiungi, uniscilo al tuo unico record SPF; costa 1 ricerca DNS. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Campaign Monitor.
La configurazione consigliata di Campaign Monitor aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
In Campaign Monitor il DKIM è un record TXT che pubblichi tu, non una delega CNAME come in SendGrid o Mailchimp. Quando aggiungi un dominio in Account settings → Sending domains, Campaign Monitor genera una coppia di chiavi pubblica/privata per quel dominio e ti fornisce un record TXT sul selettore fisso cm._domainkey.yourdomain.com, con valore k=rsa; p=<your public key>. Crei quel TXT e incolli il valore completo esattamente come appare; Campaign Monitor conserva la chiave privata corrispondente e firma le tue campagne in uscita con d=yourdomain.com. Due cose lo distinguono dalla maggior parte degli ESP moderni. Primo, poiché è un TXT che pubblichi tu e che contiene la chiave pubblica (non un CNAME che punta a Campaign Monitor), la chiave è di fatto statica: Campaign Monitor non può ruotarla in silenzio come fa un provider con delega CNAME, quindi se mai dovessi cambiarla, la rigeneri nella dashboard e ripubblichi il nuovo TXT. Secondo, il selettore è sempre cm, quindi non entra in conflitto con i selettori di altri provider (google, selector1/selector2, k2/k3, ecc.): puoi usare il DKIM di Campaign Monitor insieme a Google Workspace, Microsoft 365 o un altro strumento di marketing senza conflitti. Di solito sono chiavi RSA a 1024 bit; pubblica la lunghezza che ti mostra Campaign Monitor. Soprattutto, un TXT cm._domainkey verificato basta da solo a far superare DMARC alla posta di Campaign Monitor, perché il DKIM si allinea al tuo dominio, ed è l'unico meccanismo in grado di farlo, dato che Campaign Monitor controlla il Return-Path e SPF non può mai allinearsi.
DMARC
DMARC è un record di policy separato sul tuo dominio radice che Campaign Monitor non crea: lo aggiungi tu presso il tuo provider DNS. Pubblica un record TXT su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che la posta di Campaign Monitor superi il DKIM con allineamento al tuo dominio. Poiché Campaign Monitor si allinea solo tramite DKIM (mai SPF), in quei report devi cercare proprio il tuo dominio nel risultato DKIM: aspettati che la busta/SPF di Campaign Monitor mostri un dominio createsend/cmail, cosa normale e senza conseguenze. Osserva i report per una o due settimane, assicurati che ogni mittente legittimo (Campaign Monitor più eventuali altri strumenti) si autentichi, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungerne mai un secondo per Campaign Monitor. Una cosa da tenere a mente con l'applicazione della policy: poiché SPF non può mai allinearsi per Campaign Monitor, il DKIM è il tuo unico punto di allineamento; se il record cm._domainkey viene rimosso o alterato, la posta di Campaign Monitor non supera DMARC in alcun modo, quindi con p=reject tieni d'occhio quel record.
Verifica che funzioni davvero
Non fidarti solo del badge “Authenticated” della dashboard: controlla su un messaggio reale. Inviati una campagna di prova da un indirizzo del dominio autenticato, aprila in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS con yourdomain.com (selettore cm) e DMARC: PASS. SPF mostrerà di solito un dominio della busta createsend/cmail invece del tuo e non si allineerà: su Campaign Monitor è previsto e non conta, perché è il DKIM a garantire l'allineamento. Conferma anche che la riga “on behalf of” / “via cmailXX.com” sia sparita. Puoi controllare a campione il record grezzo con dig TXT cm._domainkey.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il TXT cm._domainkey e il record _dmarc si risolvano entrambi e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Campaign Monitor dovrebbe comparire come sorgente allineata via DKIM che supera i controlli.
Insidie comuni
- Configurazione DNS
Qui il DKIM è l'UNICA strada per DMARC. Campaign Monitor controlla sempre il Return-Path, quindi SPF non può mai allinearsi al tuo dominio: se salti il TXT cm._domainkey non hai alcuna autenticazione allineata e DMARC non può essere superato, qualunque SPF tu pubblichi.
- Fa fallire l'autenticazione
Non aggiungere include:_spf.createsend.com al tuo SPF radice. Dà un pass grezzo sugli IP di Campaign Monitor, ma non si allinea mai al tuo dominio From, quindi non fa nulla per DMARC e brucia inutilmente una delle tue 10 ricerche SPF.
- Configurazione DNS
Il DKIM di Campaign Monitor è un record TXT, non un CNAME. Pubblica il valore k=rsa; p=… su cm._domainkey esattamente come appare e mantieni il tipo TXT. Poiché è una chiave statica che pubblichi tu, non c'è rotazione automatica: se Campaign Monitor ti fornisce una nuova chiave, ripubblica il nuovo TXT.
- Fa fallire l'autenticazione
Autenticare example.com NON autentica i suoi sottodomini. Se invii con From su news.example.com o su un sottodominio per cliente, aggiungi quel dominio esatto come dominio di invio a sé in Campaign Monitor: gli serve un proprio TXT cm._domainkey (e possibilmente una propria gestione DMARC).
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire cm._domainkey.yourdomain.com produce cm._domainkey.yourdomain.com.yourdomain.com. Inserisci solo cm._domainkey se il pannello aggiunge il dominio per te.
- Configurazione DNS
Il DNS può essere lento: Campaign Monitor ti dice di attendere fino a 72 ore prima di fare clic per confermare. Se “I've added the records” / “Re-check record” non va a buon fine, di solito il record non si è ancora propagato o il campo host è duplicato; ricontrolla il valore e riprova.
- Fa fallire l'autenticazione
Tieni esattamente un TXT SPF e un TXT _dmarc sul dominio radice. Se invii anche da Google Workspace, Microsoft 365 o un relay transazionale, unisci i loro meccanismi in un unico record v=spf1: avere due record SPF è di per sé un PermError.
- Configurazione DNS
Il CNAME “personalize the domain used in your links” (tracciamento dei clic con il tuo brand) è una funzione separata e facoltativa che riguarda i link di tracciamento: non fa parte dell'autenticazione e non ha alcun effetto su SPF, DKIM o DMARC.
Crea il tuo record SPF
Campaign Monitor non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Campaign Monitor: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.