SPF, DKIM e DMARC per Constant Contact.
Constant Contact autentica il tuo dominio tramite quella che chiama “self-authentication”: una procedura basata su DKIM, non una riga SPF condivisa da incollare. Fai clic sul nome del tuo profilo (in alto a destra) -> My Account / Account settings, apri la scheda Advanced settings e fai clic su Add self-authentication; lì scegli “Self-authenticate using DKIM CNAME records” (l'opzione consigliata) e Constant Contact ti fornisce due record CNAME che delegano la firma DKIM alla sua infrastruttura ccsend.com, più un record DMARC di partenza. Ogni CNAME si trova sul tuo dominio come selettore ctct1._domainkey / ctct2._domainkey e punta alle chiavi di firma a rotazione di Constant Contact su dkim1.ccsend.com / dkim2.ccsend.com. Quando i record si risolvono e fai clic su Activate, Constant Contact firma le tue campagne con il tuo dominio, DMARC viene superato grazie all'allineamento DKIM e sparisce la nota “via ccsend.com / on behalf of” che Gmail aggiunge alla posta Constant Contact non autenticata. Non c'è nessun include SPF utile da aggiungere al tuo dominio radice e, soprattutto, aggiungerne uno non farebbe superare DMARC.
Perché autenticare Constant Contact?
Completare la self-authentication del dominio in Constant Contact non è una formalità: decide se le tue campagne raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso le stesse regole alle sue caselle per privati (Outlook, Hotmail, Live) per chi invia grandi volumi. Finché non completi la self-authentication, Constant Contact invia con il proprio dominio condiviso: i destinatari vedono che la posta non proviene crittograficamente da te, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione di invio finisce in comune con quella di tutti gli altri mittenti Constant Contact non autenticati. C'è un aspetto specifico di Constant Contact che rende DKIM irrinunciabile: Constant Contact tiene il proprio Return-Path sul suo dominio di bounce (shared1.ccsend.com per gli account a pagamento, shared2.ccsend.com per quelli di prova), quindi SPF viene sempre valutato su ccsend.com e non si allinea mai al tuo dominio From. DKIM firmato con il tuo dominio è l'unico meccanismo che può farti superare DMARC. Se salti la self-authentication, non hai alcuna autenticazione allineata. Da febbraio 2024 Constant Contact applica in modo predefinito la firma DKIM ai domini con self-authentication, quindi è completando questa procedura che attivi la firma per il tuo dominio.
Come funziona davvero SPF con Constant Contact
Constant Contact è un provider con DKIM tramite CNAME, ed ecco il punto che quasi tutti i tutorial più vecchi sbagliano: un include condiviso ESISTE, spf.constantcontact.com (si risolve davvero: v=spf1 ip4:208.75.120.0/22 ip4:205.207.104.0/22 ~all, una sola ricerca DNS senza include annidati), ma aggiungerlo al tuo SPF radice non serve a nulla per DMARC. Constant Contact invia ogni campagna con un mittente della busta / Return-Path sul proprio dominio di bounce (shared1.ccsend.com per gli account a pagamento, shared2.ccsend.com per quelli di prova, entrambi autorizzati sotto ccsend.com), perché è Constant Contact, non tu, a gestire i bounce. SPF viene sempre controllato su quel dominio della busta: si risolve e viene persino superato per i server di Constant Contact, ma non si allinea mai al tuo dominio From organizzativo, e DMARC conta SPF solo quando è allineato. Ecco perché la procedura di self-authentication di Constant Contact chiede CNAME DKIM e un record DMARC e non ti chiede mai di toccare SPF: è DKIM firmato come d=yourdomain.com il meccanismo che si allinea e ti fa superare DMARC. Puoi tranquillamente lasciare spf.constantcontact.com fuori dal tuo SPF radice: supera il controllo SPF grezzo sugli IP di Constant Contact ma non ti dà alcun allineamento DMARC, e intanto consuma una delle tue 10 ricerche SPF. Riserva il tuo record SPF radice ai mittenti che mettono davvero il tuo dominio nel Return-Path (Google Workspace, Microsoft 365, un relay transazionale) e lascia che per Constant Contact lavori DKIM.
Due modi per configurarlo
Self-authentication con CNAME DKIM (consigliata)
- Due record CNAME (ctct1._domainkey / ctct2._domainkey) delegano DKIM alle chiavi di firma ccsend.com di Constant Contact
- Constant Contact conserva le chiavi private e ruota per te le chiavi dietro quei selettori: non devi più modificare il DNS
- La strada più semplice e sicura: è l'opzione consigliata da Constant Contact
- Non aggiunge nessuna ricerca DNS al tuo SPF radice: i CNAME non contano e non c'è niente da unire
Record TXT DKIM (chiave manuale)
- Constant Contact genera una coppia di chiavi pubblica/privata e mostra un record TXT con un selettore numerico specifico dell'account (come 10008432._domainkey)
- Incolli tu la chiave pubblica completa v=DKIM1; k=rsa; p=...
- Nessuna rotazione automatica delle chiavi: se la chiave dovesse cambiare devi ripubblicarla, e una chiave non aggiornata fa fallire DKIM senza alcun avviso
- Conviene solo se il tuo provider DNS non può davvero aggiungere la delega CNAME
Passo dopo passo
- 1
Apri la self-authentication
Accedi, fai clic sul nome del tuo profilo (in alto a destra) -> My Account / Account settings, apri la scheda Advanced settings e fai clic su Add self-authentication. Se perdi la schermata, ci torni da Account settings -> Advanced settings -> self-authenticate.
- 2
Scegli il metodo CNAME
Seleziona “Self-authenticate using DKIM CNAME records” e fai clic su Continue. È la strada consigliata perché Constant Contact gestisce per te la rotazione delle chiavi. Scegli “Self-authenticate using a DKIM TXT record” solo se il tuo provider DNS non può aggiungere CNAME.
- 3
Seleziona il dominio di invio
Scegli il dominio che corrisponde all'indirizzo From delle tue campagne (es. yourdomain.com). La self-authentication vale per singolo dominio, quindi scegli esattamente quello da cui invii, poi fai clic su Continue per visualizzare i record.
- 4
Copia i due record CNAME
Constant Contact mostra CNAME 1 e CNAME 2. Ognuno ha un Name/Host sul tuo dominio (un selettore ctct1._domainkey / ctct2._domainkey) e un Value che punta all'infrastruttura di firma di Constant Contact (100._domainkey.dkim1.ccsend.com / 200._domainkey.dkim2.ccsend.com). Copiali entrambi esattamente dalla schermata: non riscriverli a mano.
- 5
Aggiungi i due CNAME DKIM
Presso il tuo provider DNS crea ciascuno come record CNAME: Host = l'etichetta ctct1/ctct2 _domainkey indicata da Constant Contact, Value = la destinazione *.dkim*.ccsend.com corrispondente. Lascia il tipo su CNAME (mai A o TXT). Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta del selettore (es. ctct1._domainkey) per non duplicarlo.
- 6
Pubblica il record DMARC
La procedura di Constant Contact ti fornisce anche un record TXT DMARC di partenza (spesso solo v=DMARC1; p=none;). Aggiungilo sull'host _dmarc; aggiungendo rua=mailto:dmarc@yourdomain.com ricevi i report aggregati. Salta questo passaggio solo se hai già un record _dmarc: un dominio deve averne esattamente uno.
- 7
Disattiva il proxy di Cloudflare
Se il tuo DNS è su Cloudflare, imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in ccsend.com, e il passaggio Check status / Activate di Constant Contact fallisce: un intoppo Constant Contact + Cloudflare segnalato spesso.
- 8
Controlla lo stato, poi attiva
Torna alla schermata di self-authentication e fai clic su Ok. Lascia al DNS tra le 24 e le 48 ore circa per propagarsi, poi fai clic su Check status. Quando i CNAME si risolvono, fai clic su Activate per attivare la firma DKIM per il tuo dominio. Non fare clic troppo presto: ricontrolla dopo la propagazione invece di ricominciare la procedura.
- 9
Invia dal dominio autenticato e controlla le intestazioni
Invia una campagna reale o un'email di prova da un indirizzo del dominio autenticato, aprila in Gmail e usa il menu a tre puntini -> Show original. Conferma DKIM: PASS con d=yourdomain.com (non ccsend.com) e DMARC: PASS. SPF mostrerà il dominio ccsend.com/condiviso e non sarà allineato: è previsto, perché è DKIM a far superare DMARC.
Record da aggiungere
Constant Contact genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | ctct1._domainkey | 100._domainkey.dkim1.ccsend.comChiave DKIM 1: il selettore ctct1 sul tuo dominio è un CNAME che delega alla chiave di firma condivisa di Constant Contact, a rotazione automatica, su dkim1.ccsend.com. Valore di esempio: copia Name/Value esatti dalla schermata di self-authentication. |
| CNAME | ctct2._domainkey | 200._domainkey.dkim2.ccsend.comChiave DKIM 2: un secondo CNAME di delega (ctct2) verso la chiave dkim2.ccsend.com di Constant Contact permette a Constant Contact di ruotare le chiavi senza che tu modifichi il DNS. Valore di esempio: copia i valori esatti mostrati nel tuo account. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comPolicy DMARC: nella procedura Constant Contact fornisce un record di partenza (spesso solo v=DMARC1; p=none;); aggiungendo rua= ricevi i report aggregati. Tieni esattamente un record _dmarc per dominio; parti da p=none e rendi la policy più restrittiva in seguito. |
| TXT | 10008432._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...(public key from Constant Contact)Solo per il metodo alternativo DKIM TXT: qui il selettore È un numero unico del tuo account (per il TXT Constant Contact usa selettori numerici come 10008432). Nessuna rotazione automatica delle chiavi; usalo solo se non puoi aggiungere i CNAME. Non aggiungere questo record INSIEME ai CNAME. |
| TXT | @ | v=spf1 include:spf.constantcontact.com ~allLegacy/facoltativo: NON consigliato e NON necessario. Il Return-Path è di Constant Contact (shared1/shared2.ccsend.com), quindi questo record viene superato ma non si allinea mai e non serve a nulla per DMARC, mentre costa 1 ricerca SPF. Saltalo e affidati a DKIM. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Constant Contact.
La configurazione consigliata di Constant Contact aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Con Constant Contact tutto si gioca su DKIM, perché è l'unico meccanismo che può allinearsi al tuo dominio, e ci sono due modi per configurarlo. La strada consigliata è la self-authentication con CNAME DKIM: Constant Contact ti fornisce due record CNAME i cui host si trovano sul tuo dominio come selettore ctct1._domainkey / ctct2._domainkey e i cui valori puntano alla sua infrastruttura di firma su 100._domainkey.dkim1.ccsend.com / 200._domainkey.dkim2.ccsend.com. Poiché questi host sono CNAME, e non record TXT da incollare, Constant Contact conserva le chiavi private e ruota le chiavi pubblicate dietro quei selettori condivisi senza che tu debba più toccare il DNS: per questo la definisce l'opzione più semplice e sicura e dice che “gestisce la rotazione delle chiavi per te”. L'alternativa è il metodo DKIM TXT: Constant Contact genera una coppia di chiavi pubblica/privata e mostra un unico record TXT il cui host è un selettore numerico specifico dell'account, come 10008432._domainkey, e il cui valore è v=DKIM1; k=rsa; p=<chiave pubblica>. Lo incolli tu, ma Constant Contact non può ruotarlo per te: se la chiave dovesse cambiare devi ripubblicare il TXT, e una chiave non aggiornata fa fallire DKIM senza alcun avviso, quindi preferisci il metodo CNAME a meno che il tuo provider DNS non possa gestire la delega. In ogni caso, pubblica il record o i record, attendi tra le 24 e le 48 ore circa, fai clic su Check status e poi su Activate: la firma parte solo quando il dominio è Activated, dopodiché Constant Contact firma la tua posta con d=yourdomain.com (la firma riporta s=ctct1), così DKIM si allinea e ti fa superare DMARC. Le etichette host e i valori esatti sono mostrati nella schermata di self-authentication: copiali sempre invece di riutilizzare l'esempio di un tutorial.
DMARC
DMARC è un record di policy separato sul tuo dominio, ma qui Constant Contact è insolitamente utile: la sua procedura di self-authentication ti fornisce davvero un record DMARC di partenza da pubblicare, cosa che molti ESP non fanno. Aggiungilo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; (aggiungi rua=mailto:dmarc@yourdomain.com per ricevere i report aggregati). p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che la tua posta si autentichi. L'aspetto specifico di Constant Contact da capire è che Constant Contact può essere allineato solo tramite DKIM (SPF viene valutato sul suo dominio di bounce ccsend.com e non si allinea mai), quindi il superamento di DMARC dipende interamente da DKIM: l'allineamento relaxed, quello predefinito, fa corrispondere il d=yourdomain.com di DKIM al tuo dominio organizzativo, e funziona anche l'allineamento strict, perché il dominio di firma è esattamente il tuo. Tieni d'occhio i report per una o due settimane per assicurarti che Constant Contact e ogni altro mittente legittimo superino DKIM con allineamento, poi porta la policy a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: se hai già un record _dmarc, non aggiungere il secondo di Constant Contact; assicurati solo che il record esistente sia al suo posto e copra questa posta.
Verifica che funzioni davvero
Non fidarti solo del badge “Activated” di Constant Contact: confermalo su un messaggio reale. Invia una campagna o un'email di prova da un indirizzo del dominio con self-authentication, aprila in Gmail e scegli il menu a tre puntini -> Show original: devi vedere DKIM: PASS con signed-by / d=yourdomain.com (NON ccsend.com) e DMARC: PASS. SPF mostrerà il dominio di bounce condiviso ccsend.com e non sarà allineato: è previsto e va bene così, perché per Constant Contact è DKIM a far superare DMARC. Controlla anche i record grezzi: dig CNAME ctct1._domainkey.yourdomain.com dovrebbe restituire la destinazione 100._domainkey.dkim1.ccsend.com, e dig TXT _dmarc.yourdomain.com dovrebbe restituire la tua policy. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che entrambi i CNAME dei selettori DKIM e il record DMARC si risolvano correttamente e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Constant Contact dovrebbe comparire come sorgente allineata tramite DKIM che supera i controlli (con SPF non allineato, che per questo provider è normale).
Insidie comuni
- Configurazione DNS
Aggiungere include:spf.constantcontact.com NON fa superare DMARC. Il Return-Path è di Constant Contact (shared1.ccsend.com per gli account a pagamento, shared2.ccsend.com per quelli di prova), quindi SPF viene controllato su ccsend.com e non si allinea mai al tuo dominio. L'include supera il controllo SPF grezzo ma non contribuisce in alcun modo a DMARC, e consuma inutilmente una delle tue 10 ricerche SPF. DKIM è l'unico meccanismo allineato: lascia stare SPF.
- Configurazione DNS
Constant Contact può essere allineato solo tramite DKIM, mai tramite SPF. Quindi, se DMARC continua a fallire, la soluzione è sempre DKIM (self-authentication pubblicata e Activated): non inseguire mai un include SPF o una modifica del Return-Path, perché Constant Contact non ti permette di possedere il dominio della busta.
- Configurazione DNS
Il proxy di Cloudflare blocca l'attivazione: imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in ccsend.com, quindi Check status e Activate falliscono: un problema Constant Contact + Cloudflare segnalato di frequente.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire ctct1._domainkey.yourdomain.com produce ctct1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta del selettore (es. ctct1._domainkey) se il pannello aggiunge il dominio per te.
- Copertura
Lascia al DNS tra le 24 e le 48 ore prima di fare clic su Check status. Se fai clic troppo presto il controllo dello stato fallisce: rilancia semplicemente Check status dopo la propagazione, invece di ricominciare da capo l'intera procedura di self-authentication.
- Configurazione DNS
Copia Name e Value esatti dalla schermata di self-authentication: non riscriverli a mano e non riutilizzare quelli di un altro account. Con il metodo CNAME i tuoi host sono un selettore ctct1._domainkey / ctct2._domainkey che punta ai selettori di firma condivisi di Constant Contact (100._domainkey.dkim1.ccsend.com / 200._domainkey.dkim2.ccsend.com); con il metodo TXT il selettore è invece un numero unico del tuo account (come 10008432._domainkey). In ogni caso i valori sono specifici dell'account, e un record scritto male o preso in prestito fa fallire DKIM senza alcun avviso.
- Configurazione DNS
Il metodo DKIM CNAME ruota le chiavi in automatico; il metodo DKIM TXT no. Se scegli TXT, a ogni futuro cambio di chiave dovrai ripubblicare tu il record, e una chiave non aggiornata fa fallire DKIM senza alcun avviso: preferisci il metodo CNAME.
- Fa fallire l'autenticazione
Completa la self-authentication esattamente per il dominio del tuo indirizzo From, e ripetila per ciascun dominio. Un record su yourdomain.com non autentica un From su un sottodominio o su un secondo dominio di brand: ogni dominio di invio ha bisogno dei propri CNAME e della propria copertura DMARC.
Crea il tuo record SPF
Constant Contact non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Constant Contact: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.