SPF, DKIM e DMARC per Drip.
Drip autentica il tuo dominio tramite un Custom Sending Domain, non facendoti incollare una riga SPF condivisa. In Settings > Email Setup > Sending Domain inserisci il dominio da cui invii e Drip genera tre record CNAME: un sottodominio Return-Path (per i bounce) che gestisce SPF, più due chiavi DKIM a rotazione sui selettori s1 e s2. L'invio di Drip si appoggia a SendGrid dietro le quinte, quindi quei CNAME si risolvono in sendgrid.net: ecco perché SPF è soddisfatto automaticamente sul sottodominio e non devi mai toccare un valore SPF grezzo o una chiave DKIM. Quando i record vengono verificati con le spunte verdi, Drip invia con il tuo dominio, la dicitura “via Drip.com” nella riga From scompare e la reputazione di invio che costruisci resta a te.
Perché autenticare Drip?
Autenticare il dominio in Drip non è una formalità facoltativa: oggi lo richiede Drip stessa. Dal 1° febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole su Outlook.com. Di conseguenza Drip ha reso obbligatori per tutti gli account un Custom Sending Domain convalidato e un record DMARC conforme: senza di essi, le tue campagne vengono limitate oppure partono con l'identità condivisa di Drip, dove i destinatari vedono “via Drip.com”, il tuo indirizzo From non si allinea, DMARC non può essere superato e la tua reputazione finisce nello stesso calderone di tutti gli altri account non autenticati della piattaforma. Configurare il dominio di invio personalizzato risolve tutto in una mossa: SPF e DKIM si allineano entrambi al tuo dominio organizzativo, la dicitura “via” scompare, DMARC viene superato e il posizionamento nella posta in arrivo dipende dalla tua storia di invio, non da un pool condiviso.
Come funziona davvero SPF con Drip
Drip autentica il dominio tramite CNAME, quindi NON c'è alcun meccanismo “include:...” da aggiungere al record SPF del dominio radice. Quando aggiungi un Custom Sending Domain, Drip genera un sottodominio Return-Path/bounce (per esempio em.yourdomain.com) come CNAME che punta all'infrastruttura di SendGrid: è poi SendGrid a pubblicare dal suo lato il record SPF di quel sottodominio. Poiché il tuo mittente della busta/MAIL FROM (Return-Path) usa quel sottodominio, che si risolve nello spazio autorizzato SPF di SendGrid, lì SPF è soddisfatto automaticamente, e DMARC viene comunque superato grazie all'allineamento SPF relaxed (il sottodominio condivide il tuo dominio organizzativo). La conseguenza pratica: NON aggiungere include:sendgrid.net (né alcun include di Drip) al record SPF del dominio radice. Drip non lo chiede, non aiuterebbe l'allineamento e consumerebbe inutilmente una delle tue 10 ricerche DNS SPF. L'SPF del dominio radice resta esattamente com'è; tutta l'autorizzazione SPF di Drip sta sul sottodominio delegato.
Passo dopo passo
- 1
Aggiungi il Custom Sending Domain in Drip
In Drip, vai in Settings > Email Setup > Sending Domain e aggiungi il dominio da cui invii (quello del tuo indirizzo From). Puoi autenticare il dominio organizzativo radice o un sottodominio dedicato: un sottodominio (es. news.yourdomain.com) isola la reputazione del marketing dal dominio delle caselle aziendali, ed è la scelta comune per i mittenti con volumi più alti.
- 2
Genera i record CNAME
Dopo aver confermato il dominio, Drip mostra tre record CNAME da pubblicare: un sottodominio Return-Path (per i bounce) che gestisce SPF e due chiavi DKIM sui selettori s1._domainkey e s2._domainkey. Tieni aperta questa scheda: dovrai copiare host e destinazione di ogni record esattamente come mostrati, perché le destinazioni sono uniche per il tuo account.
- 3
Aggiungi al DNS il CNAME Return-Path (SPF)
Presso il tuo provider DNS, crea il primo CNAME, il sottodominio mail/Return-Path, che punta alla destinazione SendGrid fornita da Drip. Questo sottodominio diventa il tuo mittente della busta MAIL FROM (Return-Path) e, poiché si risolve nello spazio autorizzato SPF di SendGrid, è ciò che fa superare SPF e lo allinea. Non aggiungere alcuna riga include:sendgrid.net all'SPF del dominio radice: questo CNAME la rende superflua.
- 4
Aggiungi i due CNAME DKIM
Crea i record CNAME s1._domainkey e s2._domainkey che puntano alle rispettive destinazioni SendGrid. Delegano a Drip/SendGrid due chiavi DKIM a rotazione, così le chiavi possono essere ruotate per tuo conto senza che tu debba più modificare il DNS. Inserisci l'host esatto (es. solo s1._domainkey): molti pannelli DNS aggiungono automaticamente il dominio, quindi non incollare due volte l'FQDN completo.
- 5
Se usi Cloudflare, imposta i record su DNS-only
Quando aggiungi i CNAME in Cloudflare, fai clic sulla nuvola arancione per farla diventare grigia (DNS-only/proxy disattivato) su ogni record. Un CNAME con proxy attivo (nuvola arancione) non si risolve in SendGrid ma nell'edge di Cloudflare, quindi l'autenticazione non verrà mai verificata. È il motivo più comune per cui le spunte di Drip restano rosse.
- 6
Pubblica un record DMARC
Drip richiede una policy DMARC conforme, quindi aggiungi un record TXT su _dmarc.yourdomain.com. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com per raccogliere i report aggregati senza influire sul recapito, poi passa a p=quarantine e p=reject quando i report confermano che Drip (e gli altri tuoi mittenti) sono allineati. Se esiste già un record DMARC, modificalo invece di aggiungerne un secondo: è consentito un solo TXT _dmarc.
- 7
Verifica in Drip con Check Again
Torna in Settings > Email Setup > Sending Domain e fai clic su Check Again. Quando tutti e tre i CNAME si risolvono, vedrai le spunte verdi. La propagazione dei CNAME può richiedere 24-48 ore, quindi le spunte rosse subito dopo la pubblicazione non indicano un errore di configurazione: aspetta e ricontrolla prima di cercare il problema.
- 8
Invia un'email di prova e controlla le intestazioni
Invia una campagna o un'email di prova a un indirizzo Gmail, apri “Show original” e conferma SPF=PASS e DKIM=PASS, che entrambi siano allineati al tuo dominio e che DMARC risulti PASS. La dicitura “via Drip.com” dovrebbe essere sparita dalla riga From. Analizza lo stesso dominio con un verificatore SPF/DKIM/DMARC per confermare tutti e tre i record dall'esterno.
Record da aggiungere
Drip genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | em.yourdomain.com | u1234567.wl123.sendgrid.netValore di esempio: Drip genera il sottodominio esatto (spesso numerato, es. em1234) e la destinazione per ogni account. È il sottodominio Return-Path/bounce; SendGrid pubblica il record SPF di quel sottodominio, ed è così che SPF viene superato e si allinea. Non devi aggiungere nessun include: all'SPF del dominio radice. |
| CNAME | s1._domainkey.yourdomain.com | s1.domainkey.u1234567.wl123.sendgrid.netValore di esempio: prima chiave DKIM a rotazione sul selettore s1. Copia la destinazione esatta di Drip. |
| CNAME | s2._domainkey.yourdomain.com | s2.domainkey.u1234567.wl123.sendgrid.netValore di esempio: seconda chiave DKIM a rotazione sul selettore s2. Se s1/s2 sono già in uso da un altro mittente basato su SendGrid, chiedi selettori personalizzati al supporto di Drip. |
| TXT | _dmarc.yourdomain.com | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Drip richiede una policy DMARC conforme. Parti da p=none con un indirizzo rua, poi rendila più rigorosa. Un solo TXT _dmarc per dominio. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Drip.
La configurazione consigliata di Drip aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Drip usa DKIM con CNAME delegati su due selettori, s1 e s2: pubblichi s1._domainkey e s2._domainkey come CNAME che puntano a SendGrid, e Drip/SendGrid conservano e ruotano le chiavi pubbliche vere e proprie, così dopo la configurazione non devi più modificare il DNS. Due chiavi permettono a Drip di ruotarne una mentre l'altra resta attiva, senza interrompere la firma. Se s1._domainkey e s2._domainkey esistono già nel tuo DNS perché invii tramite SendGrid (o un altro strumento basato su SendGrid) sullo stesso dominio, i selettori entrano in conflitto: contatta il supporto di Drip e chiedi di generare i record con nomi di selettore personalizzati (per esempio drp e drp2), così i due mittenti possono coesistere.
DMARC
DMARC è il complemento che trasforma SPF e DKIM allineati in una policy applicabile, e oggi Drip richiede un record DMARC conforme per ogni account. Aggiungi un singolo record TXT su _dmarc.yourdomain.com. Parti da una policy di monitoraggio, v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, che chiede ai server riceventi di inviarti report aggregati senza cambiare nulla nel recapito. Poiché il DKIM di Drip firma con il tuo dominio e SPF autorizza il sottodominio Return-Path sotto il tuo dominio organizzativo, entrambi si allineano con l'allineamento relaxed predefinito di DMARC. Quando i report aggregati confermano che Drip e tutti gli altri tuoi mittenti legittimi superano i controlli con allineamento, passa a p=quarantine e poi a p=reject per ottenere tutti i vantaggi contro lo spoofing e per i requisiti di Gmail/Yahoo sui mittenti di grandi volumi. Non pubblicare p=reject il primo giorno: rischi di bloccare un mittente legittimo dimenticato prima ancora di aver visto i report.
Verifica che funzioni davvero
Verifica in due punti. Primo, dentro Drip: Settings > Email Setup > Sending Domain mostra una spunta verde accanto a ciascuno dei tre CNAME quando si risolvono. Fai clic su Check Again dopo la pubblicazione e concedi 24-48 ore alla propagazione DNS prima di concludere che qualcosa non va. Secondo, dal lato del destinatario: invia un'email di prova a un account Gmail, apri “Show original” e conferma SPF=PASS, DKIM=PASS e DMARC=PASS con entrambi i meccanismi allineati al tuo dominio, e che la dicitura “via Drip.com” sia sparita dalla riga From. Per un controllo dall'esterno, analizza il tuo dominio e i selettori di Drip con un verificatore SPF/DKIM/DMARC o con un check-up completo del dominio, per confermare che i record siano visibili e validi a livello globale.
Insidie comuni
- Configurazione DNS
La nuvola arancione di Cloudflare rompe l'autenticazione: i CNAME con proxy attivo si risolvono nell'edge di Cloudflare invece che in SendGrid, quindi i controlli di Drip non vengono mai superati. Imposta ogni CNAME di Drip su DNS-only (nuvola grigia).
- Copertura
Conflitto dei selettori s1/s2: se autentichi già lo stesso dominio tramite SendGrid o un altro strumento basato su SendGrid, i record s1._domainkey e s2._domainkey entrano in conflitto. Chiedi al supporto di Drip selettori personalizzati (es. drp/drp2) invece di sovrascrivere quelli esistenti.
- Configurazione DNS
Non aggiungere un include SPF al dominio radice: l'SPF di Drip viaggia sul sottodominio Return-Path delegato, quindi include:sendgrid.net sul dominio radice è superfluo, non migliora l'allineamento e spreca una delle tue 10 ricerche SPF.
- Configurazione DNS
CNAME con underscore: alcuni registrar non accettano gli underscore (l'host _domainkey) o non permettono di far puntare i sottodomini predefiniti a una destinazione esterna. In questi casi contatta il supporto di Drip e chiedi record TXT/MX equivalenti come soluzione alternativa.
- Configurazione DNS
Record DMARC duplicati: è consentito un solo TXT _dmarc. Se hai già DMARC per un altro mittente, modifica il record esistente: un secondo record li invalida entrambi.
- Configurazione DNS
Troppa fretta con la propagazione: i CNAME possono richiedere 24-48 ore per essere registrati. Le spunte rosse subito dopo la pubblicazione di solito significano che il DNS non si è ancora propagato, non che i record siano sbagliati.
- Configurazione DNS
Dominio duplicato nel campo host: molti pannelli DNS aggiungono automaticamente il dominio al campo host. Inserisci solo s1._domainkey (non s1._domainkey.yourdomain.com.yourdomain.com), altrimenti il record non si risolve.
- Configurazione DNS
CNAME Return-Path dimenticato: è facile aggiungere i due record DKIM e tralasciare il primo CNAME (quello per i bounce). Senza di esso DKIM può superare i controlli, ma SPF non si allinea e Drip non verifica completamente il dominio.
Crea il tuo record SPF
Drip non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Drip: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.