SPF, DKIM e DMARC per Customer.io.

Perché autenticare Customer.io?

Customer.io è una piattaforma di messaggistica comportamentale ad alto volume (newsletter, campagne lifecycle, percorsi transazionali), quindi quasi tutti gli account superano le soglie da mittente di grandi volumi che oggi decidono il posizionamento nella posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Su questo Customer.io è più severo della maggior parte degli ESP: non invia da un dominio finché SPF e DKIM non sono entrambi verificati. Un dominio non autenticato semplicemente non può inviare e, se uno dei due record si rompe in seguito, il recapito fallisce. C'è anche un vero vantaggio di allineamento per cui vale la pena fare questa configurazione. Poiché Customer.io predispone un Return-Path personalizzato sul tuo sottodominio di invio (è a questo che serve il record MX), il controllo SPF viene eseguito sul tuo dominio e non solo su customeriomail.com. Quindi, a differenza della configurazione predefinita di Mailchimp o Klaviyo, dove solo DKIM può far superare DMARC, un dominio Customer.io configurato correttamente può superare DMARC con entrambi i meccanismi. È la configurazione robusta che resiste all'inoltro, e fa sì che la reputazione di invio che costruisci resti al tuo dominio.

Come funziona davvero SPF con Customer.io

Customer.io è un vero provider “include”: pubblichi un singolo record TXT SPF che contiene il meccanismo condiviso include:customeriomail.com (il record completo è v=spf1 include:customeriomail.com ~all e termina con ~all esattamente come mostra la dashboard di Customer.io). Ma due aspetti specifici di Customer.io cambiano dove e come lo aggiungi. Primo, questo record non va sul dominio radice: Customer.io consiglia (e di fatto si aspetta) un sottodominio di invio dedicato come mail.yourbrand.com o email.yourbrand.com, e i record SPF, DKIM e MX stanno tutti lì. È una scelta voluta: poiché il record MX porta il Return-Path di Customer.io sul tuo sottodominio, il mittente della busta è sul tuo dominio, quindi SPF SI ALLINEA davvero e può contribuire a superare DMARC, cosa impossibile con gli ESP che possiedono il Return-Path. Secondo, l'include non si ferma a un solo livello. Una ricerca DNS reale su customeriomail.com restituisce v=spf1 ip4:50.31.36.179 include:sendgrid.net ~all, e sendgrid.net a sua volta annida include:ab.sendgrid.net: quindi include:customeriomail.com equivale a circa 3 ricerche DNS sul limite di 10 del RFC 7208, non a 1 come sostiene la maggior parte delle guide. Tenerlo sul suo sottodominio di invio isola del tutto questo costo dal budget SPF del dominio radice, ed è proprio questo il senso dell'approccio con sottodominio. Tieni esattamente un record SPF sul sottodominio di invio e non unirvi altri mittenti: quel sottodominio è di Customer.io.

Due modi per configurarlo

Passo dopo passo

Record da aggiungere

Customer.io genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Customer.io.

Verifica che funzioni davvero

Non fidarti solo delle spunte nella dashboard: controlla su un messaggio reale. Nella scheda Authentication di Customer.io devi vedere le spunte verdi su SPF e DKIM (i due record da cui Customer.io fa dipendere l'invio); l'MX serve per il Return-Path e il CNAME per i link con il tuo brand. Poi invia un broadcast o una campagna da un indirizzo From sul sottodominio autenticato, apri il messaggio in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS con busta/Return-Path sul tuo sottodominio, DKIM: PASS firmato da d=yourbrand.com (il segnale tipico di errore è d=customeriomail.com, che indica che il DKIM personalizzato non ha preso effetto) e DMARC: PASS. Controlla a campione i record grezzi con dig TXT mail.yourbrand.com, dig TXT selector._domainkey.mail.yourbrand.com e dig TXT _dmarc.yourbrand.com. Infine analizza il sottodominio di invio con il check-up del dominio di Qualisend per confermare che SPF (con le sue ricerche annidate), TXT DKIM, MX e il DMARC sul dominio radice si risolvano correttamente e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Customer.io dovrebbe comparire come sorgente allineata che supera i controlli.

Insidie comuni

• Fa fallire l'autenticazione

  Customer.io esige che ENTRAMBI, SPF e DKIM, siano verificati prima di inviare da un dominio: la maggior parte degli ESP invia anche con un'autenticazione parziale, Customer.io no. Se uno dei due record manca o è alterato, il dominio risulta non verificato e il recapito fallisce, non è solo una questione di brand.

• Configurazione DNS

  Pubblica tutto su un SOTTODOMINIO DI INVIO dedicato (mail.yourbrand.com), mai sul dominio radice. Soprattutto il record MX a due host deve restare sul sottodominio: sul dominio radice dirotteresti la gestione dei bounce di tutto il dominio e metteresti a rischio la tua vera posta in entrata.

• Copertura

  Il record MX non serve a ricevere la tua posta normale: esiste solo per dare a Customer.io un Return-Path personalizzato sul tuo dominio per il feedback su bounce e spam. Niente panico all'idea di “cambiare il tuo MX”: sta su un sottodominio che nessuna casella reale usa.

• Configurazione DNS

  include:customeriomail.com NON è una sola ricerca DNS: una ricerca DNS reale mostra che annida include:sendgrid.net, che a sua volta annida include:ab.sendgrid.net, quindi equivale a circa 3 ricerche. Su un sottodominio dedicato il costo resta isolato; se mai lo unisci a un SPF condiviso sul dominio radice, compete con tutti gli altri mittenti per il limite di 10 ricerche.

• Configurazione DNS

  Qui DKIM è un record TXT statico, non un CNAME a rotazione automatica. Customer.io non lo ruota per te: se rigeneri la chiave nella dashboard, devi ripubblicare il nuovo valore TXT, altrimenti la firma si rompe.

• Configurazione DNS

  Dominio duplicato nel campo host sui sottodomini: molti registrar aggiungono automaticamente la zona, quindi inserire mail.yourbrand.com produce mail.yourbrand.com.yourbrand.com. Inserisci solo l'etichetta prevista dal pannello (mail, selector._domainkey.mail) se aggiunge il dominio per te.

• Copertura

  Metti DMARC sul dominio RADICE (_dmarc.yourbrand.com), non sul sottodominio di invio. Il sottodominio eredita la policy del dominio radice tramite l'allineamento relaxed; aggiungere un secondo _dmarc sul sottodominio è un errore comune che può compromettere l'ereditarietà.

• Configurazione DNS

  Saltare il CNAME per il tracciamento dei link non crea problemi all'autenticazione, ma i link con tracciamento dei clic restano su customeriomail.com invece che sul tuo dominio: questo indebolisce l'allineamento del brand e può sembrare meno affidabile a destinatari e filtri.

Crea il tuo record SPF

Customer.io non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.

SPF per Customer.io: domande frequenti

Letture correlate

Altri provider: Marketing ed ESP

• Drip
• EmailOctopus
• GetResponse
• Kit (ConvertKit)
• Klaviyo
• Mailchimp
• MailerLite
• Marketo

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.