SPF, DKIM e DMARC per EmailOctopus.
EmailOctopus autentica il tuo dominio tramite la procedura “Verify domain”, non facendoti incollare una riga SPF condivisa. Dato che EmailOctopus invia appoggiandosi ad Amazon SES, la verifica genera quattro record CNAME più un record TXT DMARC: tre dei CNAME sono selettori SES Easy-DKIM che delegano ad Amazon le chiavi DKIM a rotazione, il quarto è un sottodominio mail-from (eom.yourdomain.com) che diventa il tuo Return-Path e fa allineare l'SPF al tuo dominio senza altri interventi. Quando questi record si risolvono e fai clic su Complete verification, EmailOctopus firma la posta con il tuo dominio, DMARC viene superato sia con SPF sia con DKIM e sparisce l'avviso “via” che Gmail aggiunge alla posta non autenticata. Non c'è alcun include:amazonses.com da aggiungere al tuo SPF radice: EmailOctopus gestisce l'SPF in autonomia, dietro il sottodominio eom.
Perché autenticare EmailOctopus?
Verificare il tuo dominio in EmailOctopus è la leva più forte che hai sul posizionamento nella posta in arrivo, e oggi è di fatto obbligatorio per chi invia sul serio. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, nel 2025 Microsoft ha esteso le stesse regole a Outlook/Hotmail/Live, e la stessa EmailOctopus blocca le campagne inviate da indirizzi From pubblici gratuiti come gmail.com o yahoo.com. Finché non verifichi il dominio, EmailOctopus invia con un'identità condivisa e senza brand: i destinatari vedono che la posta non è crittograficamente tua, il tuo indirizzo From non si allinea, DMARC non può essere superato e la tua reputazione di invio finisce in comune con quella di tutti gli altri mittenti non autenticati sull'infrastruttura condivisa. La verifica del dominio risolve tutto in un'unica procedura: Easy DKIM firma come d=yourdomain.com, il sottodominio mail-from eom ti dà un superamento SPF relaxed che si allinea al tuo dominio organizzativo, DMARC viene superato con entrambi i meccanismi e la reputazione che costruisci va al tuo dominio, non al pool condiviso.
Come funziona davvero SPF con EmailOctopus
EmailOctopus è un provider con autenticazione del dominio basata su CNAME che gira su Amazon SES, quindi per il tuo dominio radice NON c'è alcun include:amazonses.com da aggiungere: è il punto che quasi tutti i vecchi tutorial sbagliano. Quando verifichi, EmailOctopus predispone un sottodominio mail-from nella forma eom.yourdomain.com e ti chiede di pubblicarlo come singolo CNAME che punta alla sua infrastruttura Amazon SES. Quel sottodominio diventa il mittente della busta / Return-Path delle tue campagne, ed EmailOctopus pubblica dietro di esso il record SPF sottostante: è esattamente questo il senso di “we take care of the SPF record on our end”. Dato che il dominio della busta (eom.yourdomain.com) è un sottodominio del tuo dominio organizzativo, l'SPF viene superato E si allinea con l'allineamento relaxed predefinito di DMARC, quindi, a differenza di Mailchimp (il cui Return-Path sta su un dominio mcsv.net che non si allinea mai), EmailOctopus ti dà davvero un superamento SPF allineato oltre al DKIM. Il limite: l'allineamento SPF è solo relaxed (la busta è eom.yourdomain.com, non il semplice yourdomain.com), quindi una policy DMARC con SPF rigoroso (aspf=s) fa perdere il ramo di allineamento SPF. Se lo fai non si rompe nulla (Easy DKIM si allinea comunque in modalità strict e regge da solo il superamento di DMARC), semplicemente non ci guadagni nulla e perdi il secondo meccanismo che supera i controlli, quindi lascia aspf relaxed (il valore predefinito). Per EmailOctopus nativo NON incollare include:amazonses.com nel tuo SPF radice: così facendo consumi una delle tue 10 ricerche SPF e non ottieni nulla per l'allineamento DMARC. Il meccanismo include:amazonses.com entra in gioco solo nel percorso separato “EmailOctopus Connect”, in cui invii tramite il TUO account Amazon SES e gestisci da solo SPF, Easy DKIM e il MAIL FROM personalizzato di SES. Riserva il tuo record SPF radice ai mittenti che mettono davvero il tuo dominio radice nel Return-Path (Google Workspace, Microsoft 365, un relay transazionale) e lascia che per EmailOctopus lavorino il sottodominio eom e il DKIM.
Due modi per configurarlo
EmailOctopus nativo: Verify domain (recommended)
- EmailOctopus gestisce l'SPF dietro il sottodominio mail-from eom e ruota le chiavi Easy DKIM tramite CNAME: non rimetti mai mano al DNS
- Aggiunge zero ricerche DNS al tuo SPF radice; non c'è nulla da unire alla tua riga v=spf1 esistente
- Quattro CNAME più un TXT DMARC generato, tutti pronti da copiare nel tuo account
- Ti dà SPF allineato (relaxed) più DKIM allineato (strict), quindi DMARC viene superato con entrambi i meccanismi
EmailOctopus Connect: il tuo account Amazon SES
- Invii tramite il tuo account AWS/SES e gestisci da solo l'autenticazione nella console AWS
- Aggiungi i CNAME SES Easy DKIM, un sottodominio MAIL FROM personalizzato e include:amazonses.com all'SPF di quel dominio
- Pubblichi e rafforzi da solo la policy DMARC per ogni dominio di invio SES
- Conviene solo se usi già Amazon SES e vuoi EmailOctopus unicamente come interfaccia per le campagne
Passo dopo passo
- 1
Apri la schermata Senders
Accedi e vai alla schermata Senders del tuo account (Settings → Senders). È qui che si gestiscono tutte le identità From: singoli indirizzi email e domini interi. Fai clic su Verify new sender per iniziare.
- 2
Scegli “Verify domain (recommended)”
Ti vengono proposte due opzioni: verificare un singolo indirizzo email o verificare un dominio. Scegli Verify domain (recommended): solo il percorso del dominio configura DKIM, SPF e DMARC e ti permette di inviare da qualsiasi indirizzo del dominio. Verificare solo un indirizzo email autorizza un unico indirizzo From, ma non ti dà autenticazione né allineamento a livello di dominio.
- 3
Inserisci il dominio e fai clic su Start verification
Digita il tuo dominio di invio (es. yourdomain.com) e fai clic su Start verification. EmailOctopus genera i record per il tuo account: quattro record CNAME e un record TXT. Ricava anche il sottodominio mail-from eom.yourdomain.com, il CNAME che diventa il tuo Return-Path. Lascia aperta questa schermata: da qui copierai i nomi e i valori esatti.
- 4
Aggiungi il CNAME mail-from eom
Presso il provider che gestisce il tuo DNS (di solito il registrar), crea il CNAME per il sottodominio eom esattamente come lo mostra EmailOctopus. Questo sottodominio è la tua busta/Return-Path ed è ciò che fa allineare l'SPF: EmailOctopus pubblica l'SPF dietro di esso, quindi non devi mai aggiungere tu include:amazonses.com. Mantieni il tipo di record CNAME; non cambiarlo in A o TXT.
- 5
Aggiungi i tre CNAME DKIM
Crea i tre CNAME dei selettori DKIM. Dato che EmailOctopus gira su Amazon SES, sono record SES Easy-DKIM: ogni host è un lungo token che termina in ._domainkey e ogni valore termina in .dkim.amazonses.com. Copia le coppie token/destinazione esattamente come appaiono: i tre selettori permettono a SES di ruotare le tue chiavi senza che tu debba più toccare il DNS.
- 6
Aggiungi il record TXT DMARC
EmailOctopus genera anche un record di policy DMARC. Aggiungilo come record TXT sull'host _dmarc con un valore come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Non crearne un secondo se esiste già un record _dmarc: un dominio deve averne esattamente uno. Senza questo record EmailOctopus lascia il dominio come “Partially verified”.
- 7
Correggi il dominio duplicato e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (eom, o il selettore token._domainkey) invece dell'intero eom.yourdomain.com, altrimenti otterrai eom.yourdomain.com.yourdomain.com: il consiglio di EmailOctopus quando la verifica si blocca è proprio togliere .yourdomain.com. Su Cloudflare, imposta ogni CNAME su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in amazonses.com e la verifica fallisce.
- 8
Fai clic su Complete verification
Torna in EmailOctopus e fai clic su Complete verification (in alto a destra). La propagazione del DNS può richiedere diverse ore; lo stato passa da Partially verified a Verified quando tutti e quattro i CNAME e il TXT DMARC si risolvono. Se si blocca, ricontrolla che nomi e valori siano esatti e che nessun record abbia il proxy attivo.
- 9
Invia dal dominio verificato e leggi le intestazioni
Imposta l'indirizzo From della campagna e del pubblico su uno del dominio verificato (es. news@yourdomain.com): verificare il DNS non cambia una campagna già impostata su un altro From. Poi inviati una prova, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e DMARC: PASS, tutti allineati al tuo dominio.
Record da aggiungere
EmailOctopus genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | eom | 1a2b3c4d.eom.emailoctopus-sends.comValore di esempio: sottodominio mail-from / Return-Path; EmailOctopus/Amazon SES pubblicano dietro di esso l'SPF, ed è questo che fa allineare l'SPF. Copia la destinazione esatta dal tuo account e mantienila per sempre. |
| CNAME | abcdef1234567890._domainkey | abcdef1234567890.dkim.amazonses.comValore di esempio: selettore DKIM 1 (Amazon SES Easy DKIM, a rotazione automatica). Usa il token e la destinazione esatti mostrati in EmailOctopus. |
| CNAME | ghijkl0987654321._domainkey | ghijkl0987654321.dkim.amazonses.comValore di esempio: selettore DKIM 2. I tre selettori permettono a SES di ruotare le chiavi senza che tu rimetta mano al DNS. |
| CNAME | mnopqr1122334455._domainkey | mnopqr1122334455.dkim.amazonses.comValore di esempio: selettore DKIM 3. Pubblicali tutti e tre esattamente come li mostra il tuo account. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLo genera EmailOctopus: è necessario per lo stato pienamente “Verified” (se manca, lo stato è “Partially verified”). Un solo record DMARC per dominio; parti da p=none, poi inasprisci la policy. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di EmailOctopus.
La configurazione consigliata di EmailOctopus aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Il DKIM di EmailOctopus è Amazon SES Easy DKIM, fornito sotto forma di tre record CNAME anziché di una chiave TXT da incollare. Ogni CNAME ha un host con un lungo token casuale che termina in ._domainkey.yourdomain.com e un valore che termina in .dkim.amazonses.com, ad esempio <token>._domainkey.yourdomain.com → <token>.dkim.amazonses.com. Dato che sono CNAME delegati ad Amazon, SES custodisce le chiavi private e usa i tre selettori per ruotare da solo le chiavi pubblicate; non devi mai generare una chiave, copiare un valore pubblico o rimettere mano al DNS. Quando tutti e tre si risolvono e fai clic su Complete verification, EmailOctopus firma ogni campagna con d=yourdomain.com, quindi il DKIM si allinea in modalità strict al tuo dominio organizzativo e può reggere da solo il superamento di DMARC. È importante perché il DKIM (a differenza dell'SPF) sopravvive all'inoltro dei messaggi tramite mailing list e regole .forward. Due note pratiche: mantieni il tipo di record CNAME (un TXT al posto di un selettore fa fallire la validazione) e, se il tuo DNS è su Cloudflare, imposta ogni selettore su “DNS only” (nuvola grigia), così si risolve nell'host amazonses.com. Non gestisci lunghezza né rotazione delle chiavi: se ne occupa SES. (Questo è il percorso nativo; su EmailOctopus Connect, invece, attivi Easy DKIM nella tua console AWS/SES e pubblichi tu quei CNAME.)
DMARC
DMARC è un record TXT di policy pubblicato sull'host _dmarc del tuo dominio, e qui EmailOctopus è insolitamente d'aiuto: la sua procedura di verifica genera il record per te e lo considera obbligatorio. Se pubblichi i quattro CNAME ma salti il TXT DMARC, EmailOctopus mostra il dominio come “Partially verified”: DKIM e SPF sono attivi, ma il dominio non è del tutto autenticato e i server riceventi più severi possono comunque bloccare la tua posta. Aggiungi il TXT su _dmarc.yourdomain.com con un valore che inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) per confermare che EmailOctopus superi SPF e DKIM con allineamento al tuo dominio. Dato che EmailOctopus nativo ti dà sia l'allineamento SPF relaxed (tramite il sottodominio mail-from eom) sia Easy DKIM con allineamento strict, dovresti vedere presto risultati puliti con entrambi i meccanismi. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi (non aggiungerne mai un secondo apposta per EmailOctopus) e, quando l'allineamento è costante, porta la policy da p=none a p=quarantine e infine a p=reject. Una precisazione sull'allineamento: lascia aspf sul valore predefinito relaxed. Impostare aspf=s (SPF rigoroso) impedisce alla busta eom di allinearsi, perché il dominio della tua busta è eom.yourdomain.com, non il semplice yourdomain.com: scarteresti il ramo SPF e dipenderesti del tutto dal DKIM per il superamento; DMARC viene comunque superato, ma senza alcun vantaggio. adkim=s (DKIM rigoroso) è sicuro, perché EmailOctopus firma con il tuo dominio esatto.
Verifica che funzioni davvero
Non fidarti solo del badge “Verified”: controlla su un messaggio reale. Inviati una campagna di prova (o una prova dall'indirizzo From verificato), aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS con signed-by / d=yourdomain.com (non amazonses.com o emailoctopus.com) e DMARC: PASS, tutti con il tuo dominio. In EmailOctopus, la schermata Senders dovrebbe indicare Verified e non Partially verified (Partially verified significa che manca ancora il TXT DMARC). Puoi controllare i record grezzi con dig CNAME eom.yourdomain.com, dig CNAME <token>._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il CNAME eom, tutti e tre i selettori DKIM e il record DMARC si risolvano correttamente e che il tuo SPF radice resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: EmailOctopus (tramite Amazon SES) dovrebbe comparire come sorgente allineata che supera tutti i controlli.
Insidie comuni
- Copertura
“Verify email address” non è la verifica del dominio. Autorizza un singolo indirizzo From ma non ti dà DKIM, allineamento SPF né DMARC: è l'equivalente di un SendGrid Single Sender. Per autenticare davvero devi scegliere Verify domain (recommended).
- Configurazione DNS
“Partially verified” significa quasi sempre che manca il TXT DMARC. Molti aggiungono i quattro CNAME e si fermano; il dominio non diventa pienamente Verified finché non pubblichi anche il record TXT _dmarc generato e fai clic su Complete verification.
- Fa fallire l'autenticazione
Non aggiungere include:amazonses.com al tuo SPF RADICE per EmailOctopus nativo. L'SPF è gestito dietro il sottodominio mail-from eom, quindi l'include è inutile, consuma una delle tue 10 ricerche SPF e non serve a nulla per l'allineamento DMARC. L'include vale solo per EmailOctopus Connect / il tuo SES.
- Configurazione DNS
Mantieni per sempre il CNAME eom. È il tuo Return-Path e la fonte del tuo allineamento SPF e della gestione dei bounce: eliminarlo in seguito (durante una pulizia del DNS) rompe senza avvisi l'SPF e l'elaborazione dei bounce, anche se il DKIM continua a superare i controlli.
- Configurazione DNS
Il proxy di Cloudflare rompe i CNAME. Imposta il record eom e tutti e tre i selettori DKIM su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in amazonses.com e la verifica fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire eom.yourdomain.com produce eom.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (eom, o il selettore token._domainkey): il consiglio di EmailOctopus quando la verifica si blocca è togliere .yourdomain.com.
- Copertura
È possibile solo l'allineamento SPF relaxed. Il dominio della tua busta è eom.yourdomain.com, non il dominio radice vero e proprio, quindi un record DMARC con aspf=s (SPF rigoroso) fa fallire l'allineamento SPF: il DKIM regge comunque il superamento di DMARC, quindi non si rompe nulla, ma perdi inutilmente il secondo meccanismo che supera i controlli. Lascia aspf relaxed (il valore predefinito); l'allineamento DKIM rigoroso (adkim=s) va bene.
- Configurazione DNS
EmailOctopus nativo ed EmailOctopus Connect sono configurazioni diverse. Quello nativo usa la procedura CNAME descritta sopra; Connect invia tramite il tuo account Amazon SES, dove attivi Easy DKIM, configuri un MAIL FROM personalizzato, aggiungi include:amazonses.com all'SPF di quel dominio e pubblichi DMARC da solo in AWS.
Crea il tuo record SPF
EmailOctopus non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per EmailOctopus: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.