SPF, DKIM e DMARC per DreamHost.
DreamHost è un web host, quindi qui “autenticare il dominio” significa autenticare le caselle e la posta del sito che invii tramite i server di posta di DreamHost: non c'è una procedura guidata a parte come quella di un ESP. Per ogni dominio il cui DNS è ospitato su DreamHost, il pannello fa quasi tutto da solo: pubblica un record SPF che autorizza gli IP in uscita di DreamHost e il suo relay MailChannels, e genera una chiave DKIM con il selettore “dreamhost”, così ogni messaggio inviato tramite l'SMTP di DreamHost viene firmato con il tuo dominio. L'unico record che DreamHost non crea mai è DMARC: quello lo aggiungi tu. E la trappola in cui cadono quasi tutti: nel momento in cui modifichi a mano il record SPF, DreamHost elimina in silenzio la sua versione gestita, quindi nel record sostitutivo devi inserire a mano entrambi gli include di DreamHost.
Perché autenticare DreamHost?
Configurare bene SPF, DKIM e DMARC su DreamHost decide se i tuoi messaggi raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook/Hotmail. DreamHost è un caso insolito tra le pagine dedicate ai “provider” perché invii dalle tue caselle: il mittente della busta è il tuo dominio, quindi SPF si allinea, e DreamHost firma DKIM con il tuo dominio, quindi si allinea anche DKIM. Un dominio DreamHost configurato correttamente supera DMARC con entrambi i meccanismi: è la configurazione robusta che resiste all'inoltro. Ma due aspetti specifici di DreamHost la rompono senza far rumore: gli script del sito che inviano con mail()/sendmail di PHP invece che con SMTP autenticato non ricevono la firma DKIM, e modificare SPF elimina il record gestito da DreamHost. Chiudi entrambe le falle e la reputazione di invio che costruisci resterà al tuo dominio, invece di disperdersi in posta non autenticata.
Come funziona davvero SPF con DreamHost
DreamHost è un vero provider “include”, ma in realtà l'include sono due include più mx, e insieme SONO l'intero record SPF del dominio radice. Per un dominio con DNS su DreamHost, il pannello pubblica automaticamente v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. netblocks.dreamhost.com contiene gli intervalli IP in uscita di DreamHost; relay.mailchannels.net c'è perché DreamHost instrada la posta in uscita tramite MailChannels (un relay in uscita condiviso). Servono entrambi: se ne togli uno, parte della tua posta va in hard fail su SPF. Poiché invii dalle tue caselle, il mittente della busta SMTP è un indirizzo del tuo dominio, quindi qui SPF SI ALLINEA davvero al tuo dominio organizzativo (a differenza di un Mailchimp o un SendGrid che possiede il Return-Path). Il comportamento che spiazza: questo record è gestito solo finché non lo tocchi. Aggiungi o modifica un record TXT SPF personalizzato e DreamHost rimuove quello generato automaticamente, quindi il tuo record sostitutivo DEVE contenere sia include:netblocks.dreamhost.com sia include:relay.mailchannels.net (più eventuali include di terze parti che stai aggiungendo), tutti in UN SOLO record v=spf1. Il valore predefinito termina con -all (hard fail), che è rigoroso: ogni mittente legittimo deve essere elencato, altrimenti viene rifiutato senza appello. E non pubblicare mai due record TXT SPF sul dominio: avere due record SPF è di per sé un PermError.
Due modi per configurarlo
DNS ospitato su DreamHost (automatico)
- DreamHost pubblica automaticamente il record SPF (mx + netblocks.dreamhost.com + relay.mailchannels.net, che termina con -all)
- DreamHost genera automaticamente il record DKIM dreamhost._domainkey e firma tutta la posta SMTP
- Niente da incollare per SPF/DKIM: aggiungi tu solo il record DMARC
- Attenzione alla trappola: modificare SPF elimina il record gestito, quindi riaggiungi a mano entrambi gli include
DNS ospitato altrove (Cloudflare, registrar): manuale
- DreamHost non può pubblicare record su una zona che non controlla, quindi non compare nulla automaticamente
- Aggiungi tu v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all presso il tuo provider DNS
- Copia il valore TXT DKIM dreamhost._domainkey dal pannello DreamHost al tuo provider DNS (DNS-only se usi Cloudflare)
- Aggiungi lì anche il record TXT _dmarc: nessuno di questi record viene creato per te
Passo dopo passo
- 1
Verifica dove è ospitato il tuo DNS
Accedi a panel.dreamhost.com e apri Websites → Manage Websites (pannelli meno recenti: Domains → Manage Domains). Trova il tuo dominio, fai clic sul pulsante con i tre puntini verticali e scegli DNS Settings. Se il DNS è ospitato su DreamHost, SPF e DKIM sono probabilmente già pubblicati; se i nameserver puntano a Cloudflare o a un registrar, DreamHost non può pubblicarli in automatico e dovrai aggiungere ogni record a mano presso quel provider.
- 2
Controlla il record SPF gestito
In DNS Settings, conferma che il record TXT SPF sia v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all con Name vuoto (il dominio radice). Se invii solo tramite DreamHost, lascialo esattamente com'è: non “ripulirlo”.
- 3
Devi aggiungere un altro mittente? Unisci, non duplicare mai
Poiché la modifica rimuove il record gestito da DreamHost, ricrea UN SOLO TXT SPF che mantenga entrambi gli include di DreamHost e aggiunga quello nuovo, es. v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all. Non aggiungere mai un secondo record SPF (PermError).
- 4
Verifica che DKIM sia attivo
DreamHost genera automaticamente il record TXT dreamhost._domainkey e firma tutta la posta SMTP autenticata per i domini ospitati. In DNS Settings, cerca un record TXT il cui Name contenga _domainkey (selettore dreamhost). Se il DNS è esterno, copia quel valore TXT sul tuo provider DNS affinché DKIM si risolva.
- 5
Invia la posta del sito con SMTP autenticato
I moduli di contatto e gli script che usano mail()/sendmail di PHP superano SPF (partono da IP di DreamHost) ma NON ricevono la firma DKIM. Configura WordPress e ogni app per usare smtp.dreamhost.com con le credenziali di una casella (ci pensa un plugin SMTP), così la posta viene firmata e si allinea per DMARC.
- 6
Aggiungi il record DMARC
DreamHost non crea DMARC. In DNS Settings fai clic su Add Record, imposta Name su _dmarc, Type su TXT e Value su v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, poi salva. p=none è solo monitoraggio, quindi non cambia nulla mentre confermi l'allineamento.
- 7
Invia un'email di prova e leggi le intestazioni
Inviati un'email di prova su Gmail da una casella DreamHost, apri il messaggio e scegli ⋮ → Show original. Conferma SPF: PASS (il tuo dominio), DKIM: PASS con d=yourdomain.com e selettore dreamhost, e DMARC: PASS. Se DKIM manca, quasi sempre la posta è partita con mail() di PHP invece che con SMTP.
- 8
Porta DMARC all'applicazione della policy
Dopo una o due settimane di report rua puliti che confermano che ogni sorgente legittima supera i controlli con allineamento, rendi più rigorosa la policy passando da p=none a p=quarantine e poi a p=reject. Poiché DreamHost allinea sia SPF sia DKIM, di solito puoi arrivare in fretta a p=reject.
Record da aggiungere
DreamHost genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -allIl record SPF del dominio radice gestito da DreamHost. Lascia VUOTO il campo Name per il dominio radice (non digitare @ né il dominio). La modifica rimuove il record automatico di DreamHost, quindi ogni record sostitutivo deve mantenere entrambi gli include. |
| TXT | dreamhost._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ…(auto-generated public key)Creato automaticamente da DreamHost per la posta ospitata; il selettore è sempre dreamhost. Valore di esempio: la chiave reale viene generata per ogni dominio ed è visibile nei tuoi DNS Settings. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: DreamHost non lo crea mai. Un record DMARC per dominio; parti da p=none. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di DreamHost.
DreamHost occupa 3 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Su DreamHost, DKIM è automatico per i domini che usano la posta di DreamHost. DreamHost genera una chiave RSA e pubblica la parte pubblica come record TXT su dreamhost._domainkey.yourdomain.com: il selettore è sempre “dreamhost” e il valore è v=DKIM1; k=rsa; p=<public key>. Ogni messaggio che esce dal server di posta SMTP autenticato di DreamHost (smtp.dreamhost.com) viene firmato con la chiave privata corrispondente, quindi DKIM si allinea al tuo dominio e di norma non devi creare nulla. Due avvertenze specifiche di DreamHost decidono se funziona davvero. Primo, la firma avviene solo per la posta inviata tramite i server SMTP autenticati di DreamHost: la posta del sito inviata con la funzione mail() di PHP o con il binario sendmail locale (un modulo di contatto WordPress senza plugin SMTP, uno script cron, un mailer PHP) esce dal server senza firma. Questi messaggi superano comunque SPF perché partono da IP di DreamHost compresi in netblocks.dreamhost.com, ma non hanno alcuna firma DKIM, quindi configura ogni app che invia posta per autenticarsi tramite smtp.dreamhost.com con le credenziali di una casella reale. Secondo, DKIM viene pubblicato automaticamente solo quando il DNS è ospitato su DreamHost. Se i tuoi nameserver puntano a Cloudflare o a un registrar, DreamHost non pubblica nulla: copia il valore TXT dreamhost._domainkey dal pannello DNS di DreamHost e aggiungilo presso il tuo provider DNS effettivo (nuvola grigia/DNS-only su Cloudflare), altrimenti DKIM non si risolverà mai.
DMARC
DMARC è l'unico record che DreamHost non crea per te: lo aggiungi come record DNS personalizzato. Nel pannello DreamHost apri i DNS Settings del tuo dominio, fai clic su Add Record, imposta Name su _dmarc, Type su TXT e Value su v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, poi salva. p=none è solo monitoraggio: non cambia nulla nel recapito, mentre i server riceventi ti inviano via email i report aggregati (rua) con cui confermare che la tua posta DreamHost supera SPF e DKIM con allineamento al tuo dominio. Qui DreamHost è in una buona posizione perché allinea ENTRAMBI i meccanismi: SPF tramite il tuo dominio come mittente della busta e DKIM tramite il selettore dreamhost sul tuo dominio, quindi un dominio DreamHost configurato correttamente supera DMARC in due modi. Controlla i report per una o due settimane (iniziano ad arrivare entro 24-72 ore), assicurati che ogni sorgente legittima sia autenticata, poi rendi più rigorosa la policy passando a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi.
Verifica che funzioni davvero
Non fidarti solo del pannello: controlla su un messaggio reale. Invia un'email di prova da una casella DreamHost a un indirizzo Gmail, aprila e scegli ⋮ → Show original: devi vedere SPF: PASS con il tuo dominio, DKIM: PASS con d=yourdomain.com e selettore dreamhost, e DMARC: PASS. Se DKIM manca, quasi certamente il messaggio è partito con mail()/sendmail di PHP invece che con SMTP autenticato. Puoi controllare a campione i record grezzi con dig TXT dreamhost._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com, e verificare che il record SPF contenga ancora entrambi gli include con dig TXT yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: DreamHost (e il suo relay MailChannels) dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Modificare SPF rimuove il record gestito da DreamHost: è la trappola n. 1 di DreamHost. Appena salvi un TXT SPF personalizzato, DreamHost elimina quello generato automaticamente, quindi il tuo record sostitutivo DEVE contenere sia include:netblocks.dreamhost.com SIA include:relay.mailchannels.net, altrimenti parte della tua posta inizia a fallire SPF senza alcun avviso.
- Copertura
relay.mailchannels.net non è facoltativo. DreamHost invia la posta in uscita tramite MailChannels, quindi la posta instradata dal relay va in hard fail su SPF se ometti quell'include (il record termina con -all).
- Copertura
La posta del sito inviata con mail()/sendmail di PHP non riceve la firma DKIM. Viene firmata solo la posta inviata tramite SMTP autenticato (smtp.dreamhost.com); un modulo WordPress o un mailer PHP senza plugin SMTP supera SPF ma non DKIM, quindi non si allinea su DKIM.
- Copertura
Il -all predefinito è un hard fail, non un soft fail. Il record di DreamHost rifiuta qualsiasi mittente che dimentichi di includere, quindi aggiungi ogni servizio legittimo prima di farci affidamento, oppure allenta a ~all mentre fai le prove.
- Configurazione DNS
I record automatici esistono solo quando il DNS è ospitato su DreamHost. Se i tuoi nameserver puntano a Cloudflare o a un registrar, DreamHost non pubblica nulla: devi aggiungere tu il record SPF, copiare il TXT DKIM dreamhost._domainkey e aggiungere DMARC presso il tuo provider DNS effettivo.
- Fa fallire l'autenticazione
Non pubblicare mai due record SPF. Se aggiungi un altro servizio di posta, unisci il suo meccanismo all'unica riga v=spf1: due record TXT SPF separati sono un PermError che rompe del tutto SPF.
- Copertura
Lascia vuoto il campo Name per l'SPF del dominio radice. DreamHost rappresenta il dominio radice con un campo Name vuoto; inserire @ o il nome del dominio lo duplica, creando un host non valido.
- Copertura
DMARC tocca a te. DreamHost gestisce automaticamente SPF e DKIM ma non crea mai DMARC: senza un record _dmarc non rispetti i requisiti di Gmail/Yahoo per i mittenti di grandi volumi, anche se SPF e DKIM vengono superati.
Crea il tuo record SPF
DreamHost è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per DreamHost: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.