SPF, DKIM e DMARC per cPanel / WHM shared hosting.
L'hosting condiviso cPanel/WHM non funziona come un ESP: non c'è nessuna procedura guidata “authenticate your domain” e nessun include SPF condiviso da incollare. La tua posta viene inviata dal server di posta che gira sul server di hosting (Exim), quindi l'autenticazione si costruisce sull'indirizzo IP in uscita del server, non sui record di un servizio ospitato. Le versioni moderne di cPanel includono un'interfaccia Email Deliverability (nella sezione Email) che genera automaticamente tutti e tre i record: un record SPF basato sull'IP del server, una chiave DKIM sul selettore default e, nelle versioni più recenti, un DMARC iniziale. Li installa automaticamente (se il tuo host gestisce anche il tuo DNS) oppure ti fornisce le coppie Name/Value esatte da incollare presso il provider DNS che usi davvero.
Perché autenticare cPanel / WHM shared hosting?
La posta dell'hosting condiviso è tra quella che finisce più facilmente nello spam, e cPanel rende semplice porvi rimedio. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM (e a ogni mittente di grandi volumi, circa 5.000+ messaggi al giorno, di superare SPF, DKIM e DMARC con allineamento), e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta consumer ad alto volume. Su cPanel, il server Exim invia tutto a nome del tuo dominio: le caselle IMAP, la webmail e ogni script dell'account (wp_mail di WordPress, moduli di contatto, ricevute WooCommerce), tutto dall'IP del server. Finché non pubblichi SPF e DKIM, nessuna di queste email è dimostrabilmente tua: i server riceventi non possono collegarla al tuo dominio, DMARC non può essere superato e, poiché condividi l'IP del server, la tua reputazione finisce in un unico calderone con quella di tutti gli altri clienti della macchina. L'autenticazione allinea SPF (l'IP del tuo server è autorizzato nel tuo record) e DKIM (Exim firma come d=yourdomain.com) al tuo dominio, quindi DMARC viene superato e la reputazione di invio che costruisci va a vantaggio tuo invece che del pool condiviso.
Come funziona davvero SPF con cPanel / WHM shared hosting
cPanel è una configurazione in stile “IP dedicato”, non un provider con include: NON esiste un include:cpanel.net universale da aggiungere, perché cPanel è un software per server, non un servizio di posta. Poiché la tua posta esce dall'MTA del server di hosting (Exim), SPF deve autorizzare direttamente l'IP in uscita di quel server. Email Deliverability di cPanel costruisce il record per te, e il record ha questo aspetto: v=spf1 +mx +a +ip4:<your server's IPv4> ~all (con un meccanismo +ip6: in aggiunta quando il server ha IPv6). La parte +ip4: è quella che conta davvero: è il vero IP di invio del tuo server, quindi il valore è specifico del tuo host/server e smette di corrispondere se migri su un nuovo server, passi a un IP dedicato o l'host ti cambia IP. +mx autorizza tutto ciò a cui si risolvono i tuoi host MX e +a autorizza il record A del dominio; cPanel li aggiunge entrambi per comodità, e ciascuno costa una delle tue 10 ricerche DNS SPF. Due particolarità legate all'host: (1) alcuni host cPanel non inviano direttamente, ma instradano la posta in uscita tramite uno smarthost o un filtro antispam in uscita (SpamExperts o un gateway Newfold/EIG), e in quel caso l'SPF corretto è l'include di quel provider (es. include:websitewelcome.com o un host a: di SpamExperts) invece dell'IP del tuo server, e il record suggerito da cPanel ne tiene conto; (2) se invii anche da qualsiasi altro servizio (caselle Google Workspace, un ESP di marketing), devi unire il suo meccanismo a questo unico record v=spf1: non pubblicare mai un secondo TXT SPF, che è di per sé un PermError.
Due modi per configurarlo
cPanel gestisce il tuo DNS: installazione automatica
- Il tuo dominio usa i nameserver dell'host, quindi cPanel è autoritativo per la zona
- Repair / “Install the Suggested Record” di Email Deliverability scrive SPF, DKIM (e DMARC) con un clic
- cPanel mantiene sincronizzato l'IP SPF se l'host sposta il tuo server o gli cambia IP
- Niente da copiare: basta aggiornare finché lo stato non passa a Valid
Il DNS è altrove: copia manuale
- Il tuo dominio punta a un registrar, Cloudflare o Route 53 per il DNS, quindi cPanel non è autoritativo
- Install/Repair scrive solo una zona locale che nessuno interroga e avvisa che non può gestire la zona reale: è previsto, non è un bug
- Fai clic su Manage, copia ogni Name + Value suggerito e aggiungili come record TXT presso il tuo vero provider DNS
- Tocca a te tenere aggiornato il valore SPF +ip4: se migri su un altro server
Passo dopo passo
- 1
Apri Email Deliverability
Accedi a cPanel e, nella sezione Email, apri Email Deliverability. Vedrai ogni dominio dell'account con uno stato: Valid, oppure “Problems Exist” con una bandierina rossa. Se il riquadro manca del tutto, il tuo host ha disattivato la funzione; chiedigli di attivarla in WHM » Home » Packages » Feature Manager.
- 2
Fai clic su Manage sul tuo dominio di invio
Accanto al dominio da cui invii, fai clic su Manage. cPanel mostra pannelli separati per DKIM, SPF e (nelle versioni più recenti) DMARC, ciascuno con il record esatto che consiglia e l'indicazione se il DNS attuale corrisponde già.
- 3
Stabilisci chi controlla il DNS
Se il dominio usa i nameserver del tuo host, cPanel è autoritativo e un pulsante “Install the Suggested Record” / Repair applica direttamente la correzione: fai clic e passa alla verifica. Se i tuoi nameserver puntano a un registrar, Cloudflare o Route 53, cPanel non è autoritativo: Install/Repair al massimo scrive una zona locale che nessuno interroga, quindi copi invece i record presso il tuo vero provider DNS (passaggi successivi). Questa distinzione è la principale fonte di confusione con l'autenticazione in cPanel.
- 4
Pubblica (o unisci) il TXT SPF
Copia il valore SPF suggerito, v=spf1 +mx +a +ip4:<server IP> ~all, e aggiungilo come record TXT sul dominio radice (host @ o vuoto). Se per il dominio esiste già un record SPF, unisci +ip4:/include a quell'unico record invece di aggiungere un secondo TXT SPF. Se il tuo host instrada la posta tramite uno smarthost o un filtro, usa l'include suggerito da cPanel al posto dell'indirizzo IP.
- 5
Pubblica il TXT DKIM
cPanel genera la chiave sul selettore default. Aggiungi un record TXT con host default._domainkey e valore v=DKIM1; k=rsa; p=<long public key>. Le chiavi attuali di cPanel sono a 2048 bit, più lunghe di una singola stringa TXT da 255 caratteri, quindi incollala esattamente come cPanel la divide in blocchi tra virgolette.
- 6
Pubblica il TXT DMARC
Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Le versioni più recenti di cPanel suggeriscono un semplice v=DMARC1; p=none;: aggiungi sempre un indirizzo rua, così ricevi davvero i report. Tieni esattamente un record _dmarc per l'intero dominio.
- 7
Correggi il dominio duplicato e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (default._domainkey, non default._domainkey.yourdomain.com) per evitare il dominio duplicato. I record TXT non passano dal proxy, quindi su Cloudflare restano automaticamente “DNS only” (nuvola grigia): il proxy con nuvola arancione si applica solo ai record A/AAAA/CNAME.
- 8
Ricontrolla in cPanel e leggi le intestazioni
Torna in Email Deliverability e aggiorna: lo stato dovrebbe passare a Valid dopo la propagazione DNS (di solito pochi minuti, fino a qualche ora). Poi invia una vera email di prova a un indirizzo Gmail, apri ⋮ → Show original e conferma SPF: PASS (l'IP del tuo server), DKIM: PASS con signed-by: yourdomain.com e selettore default, e DMARC: PASS.
- 9
Controlla il DNS inverso (PTR)
cPanel non può impostare il tuo PTR: lo fa il proprietario dell'IP (il tuo host o il data center). Fai una ricerca sull'IP di invio del server; il PTR dovrebbe risolversi in un hostname che a sua volta si risolve nello stesso IP. Sull'hosting condiviso di solito punta all'hostname di posta generico dell'host, il che va bene purché sia coerente; con un IP dedicato, chiedi all'host di impostare un PTR corrispondente al tuo hostname di posta.
Record da aggiungere
cPanel / WHM shared hosting genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 +mx +a +ip4:192.0.2.10 ~allSPF radice: +ip4 è l'IP in uscita del TUO server (specifico per host/server); +mx e +a costano 1 ricerca DNS ciascuno. Tieni un solo record SPF e unisci gli altri mittenti a quel record. Se il tuo host usa uno smarthost o un filtro, cPanel suggerisce invece un include (es. include:websitewelcome.com). |
| TXT | default._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(public key from Email Deliverability)Valore di esempio: cPanel genera la coppia di chiavi sul selettore “default” e conserva la chiave privata sul server. Le chiavi a 2048 bit si pubblicano come stringhe separate tra virgolette; copia il valore esatto mostrato da cPanel. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUno per dominio. cPanel può suggerire un semplice v=DMARC1; p=none;: aggiungi un indirizzo rua per ricevere i report. Parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di cPanel / WHM shared hosting.
cPanel / WHM shared hosting occupa 2 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
La coppia di chiavi DKIM la genera cPanel: non incolli mai una chiave fornita da un provider. In Email Deliverability → Manage, il pannello DKIM conserva la chiave privata sul server (Exim firma con essa la tua posta in uscita) e mostra la chiave pubblica corrispondente come record TXT sul selettore default: host default._domainkey, valore v=DKIM1; k=rsa; p=<public key>. Se cPanel è autoritativo per la tua zona, “Install the Suggested Record” lo pubblica; altrimenti copi Name e Value presso il tuo provider DNS esterno. Alcune particolarità di cPanel: il selettore è letteralmente “default”, quindi il record è sempre default._domainkey; se un altro servizio usa già quel selettore sul dominio avrai un conflitto, quindi rigenera o usa il selettore dell'altro strumento. Le versioni più vecchie di cPanel generavano chiavi a 1024 bit; quelle attuali usano per impostazione predefinita 2048 bit, che superano il limite di 255 caratteri della singola stringa TXT e vanno pubblicate nei blocchi separati tra virgolette mostrati da cPanel: una concatenazione alterata è il motivo più comune per cui una chiave “corretta” non supera la validazione. Se cambi host, la chiave privata resta sul vecchio server, quindi rigeneri il DKIM e ripubblichi default._domainkey sulla nuova macchina. Poiché il DKIM firma come d=yourdomain.com, è il meccanismo che continua a far superare DMARC anche quando un messaggio viene inoltrato e SPF si rompe.
DMARC
DMARC è un record di policy separato. Le versioni più recenti di Email Deliverability di cPanel ne suggeriscono uno (spesso un semplice v=DMARC1; p=none;), mentre quelle più vecchie lo lasciano a te: aggiungilo nello Zone Editor di cPanel o presso il tuo provider DNS esterno come record TXT su _dmarc.yourdomain.com. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com: aggiungi sempre un indirizzo rua, anche se il suggerimento di cPanel lo omette, altrimenti non ricevi report da cui imparare. p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi che la posta del server superi SPF e DKIM con allineamento al tuo dominio. Osserva i report aggregati (rua) per una o due settimane, con particolare attenzione agli script sul server (WordPress, moduli di contatto, WooCommerce) che potrebbero inviare con una busta non corrispondente, poi passa a p=quarantine e infine a p=reject quando l'allineamento è costante. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quante caselle o app inviano dal server; i sottodomini ereditano la policy del dominio padre, a meno che tu non la sovrascriva.
Verifica che funzioni davvero
Non fidarti solo del badge “Valid” di cPanel: indica soltanto che il tuo DNS corrisponde a quanto suggerito, non che la posta si autentichi davvero. Invia un messaggio reale da una casella del dominio (o attiva uno script che invia, come un invio di prova da un modulo di contatto) a un indirizzo Gmail, aprilo e scegli ⋮ → Show original: devi vedere SPF: PASS con l'IP del tuo server, DKIM: PASS con signed-by: yourdomain.com e selettore default, e DMARC: PASS. Poi controlla il DNS inverso dell'IP di invio del server: sull'hosting condiviso, un PTR mancante o non corrispondente è un motivo frequente e silenzioso di finire nello spam; usa una ricerca DNS inversa e assicurati che il PTR abbia la conferma diretta. Analizza il dominio con il check-up del dominio di Qualisend per confermare che SPF, il DKIM default._domainkey e _dmarc si risolvano tutti e che il tuo SPF resti sotto il limite di 10 ricerche (+mx +a di cPanel ne consumano già due). Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che il server compaia come sorgente allineata che supera i controlli.
Insidie comuni
- Copertura
Repair scrive solo il DNS controllato da cPanel. Se i tuoi nameserver puntano a un registrar, Cloudflare o Route 53, il server cPanel non è autoritativo: facendo clic su Install/Repair al massimo scrivi una zona locale che nessuno interroga, quindi il tuo DNS reale non cambia. È previsto: copia Name/Value dalla schermata Manage e aggiungi i record presso il tuo vero provider DNS.
- Copertura
È l'IP del tuo server, non un include condiviso. cPanel costruisce l'SPF dall'IP in uscita della macchina (+ip4:), quindi il valore è specifico del tuo server. Se cambi host, passi a un IP dedicato o l'host ti cambia IP, il vecchio ip4: smette di corrispondere: aggiorna il record. Non copiare mai così com'è l'SPF cPanel di un altro sito.
- Copertura
IP condiviso significa reputazione condivisa. Sull'hosting condiviso invii da un IP condiviso con molti altri clienti; se un vicino fa spam e l'IP finisce in blacklist, ne risente anche la tua posta, pur con SPF/DKIM perfetti. Monitora l'IP di invio e valuta un IP dedicato per volumi consistenti.
- Fa fallire l'autenticazione
+mx +a di cPanel consumano già due delle tue 10 ricerche SPF prima che tu aggiunga altro. Aggiungi Google Workspace e un ESP di marketing e puoi arrivare al limite di PermError dell'RFC 7208. Se per l'invio non ti servono mx/a, riducendo a v=spf1 +ip4:<server IP> ~all recuperi entrambe le ricerche.
- Fa fallire l'autenticazione
Non ritrovarti con due record SPF. Se cPanel ha scritto un SPF nella zona locale ma il tuo DNS reale è esterno, puoi pubblicare per sbaglio un secondo TXT SPF: avere due record SPF è di per sé un PermError. Tienine esattamente uno e unisci tutto lì.
- Copertura
Il PTR / DNS inverso non si trova in cPanel. Lo controlla il proprietario dell'IP (il tuo host o il data center). Un PTR mancante o generico senza conferma diretta danneggia silenziosamente la deliverability su Gmail e Outlook: chiedi al tuo host un PTR corrispondente, soprattutto con un IP dedicato.
- Configurazione DNS
Le chiavi DKIM a 2048 bit sono divise in stringhe tra virgolette. La chiave predefinita attuale di cPanel è troppo lunga per una singola stringa TXT da 255 caratteri; pubblicala esattamente come la divide il pannello. Un blocco perso o unito male è la causa più comune di un DKIM “pubblicato ma non valido”.
- Copertura
Alcuni host instradano la posta tramite uno smarthost o un filtro. I brand Newfold/EIG e gli host che usano un filtro antispam in uscita (SpamExperts) inviano tramite un gateway, quindi l'SPF corretto è il loro include (es. include:websitewelcome.com), non l'IP del tuo server: usa ciò che suggerisce Email Deliverability invece di dare per scontato +ip4.
Crea il tuo record SPF
cPanel / WHM shared hosting non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per cPanel / WHM shared hosting: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.