SPF, DKIM e DMARC per Fastmail.
Fastmail autentica il tuo dominio personalizzato con semplici record DNS invece che con una procedura guidata in un clic: un unico include SPF condiviso, tre CNAME DKIM che Fastmail ruota per te, record MX per la ricezione e una policy DMARC che aggiungi tu. Puoi pubblicarli in due modi: lasci che Fastmail ospiti il DNS del tuo dominio e configuri tutto in automatico, oppure tieni il DNS presso il tuo registrar, aggiungi i record a mano e poi fai clic su “Recheck DNS”, così Fastmail li verifica e inizia a firmare la tua posta. In entrambi i casi l'obiettivo è lo stesso: la posta che invii tramite Fastmail risulta autenticata a nome del tuo dominio, con SPF e DKIM entrambi allineati, così soddisfa i requisiti attuali per raggiungere la posta in arrivo invece di finire filtrata.
Perché autenticare Fastmail?
Autenticare un dominio personalizzato su Fastmail non è una formalità opzionale: decide se i tuoi messaggi raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail. Anche sotto queste soglie, un dominio non autenticato è la via più rapida per finire nello spam. Fastmail ha una particolarità che rende importante la configurazione del DKIM: firma la tua posta in uscita con due firme, una per il dominio nell'intestazione From e una per il proprio dominio messagingengine.com, ma firma con il tuo dominio solo dopo aver verificato i tuoi tre CNAME DKIM. Fino ad allora la tua posta porta solo la firma d=messagingengine.com, che non si allinea al tuo indirizzo From e da sola non può far superare DMARC. Pubblicare SPF, i CNAME DKIM e DMARC colma questa lacuna: l'SPF si allinea tramite il tuo dominio di busta, il DKIM si allinea tramite i selettori fm sul tuo dominio, DMARC viene superato e la reputazione di invio che costruisci va al tuo dominio, non all'infrastruttura condivisa di Fastmail.
Come funziona davvero SPF con Fastmail
Fastmail è un vero provider “include”: aggiungi un solo meccanismo condiviso, include:spf.messagingengine.com, all'unico record TXT SPF del tuo dominio; il record completo è v=spf1 include:spf.messagingengine.com ~all. È un vero include condiviso (tutti i domini Fastmail usano lo stesso), non una delega tramite CNAME. Si risolve in un record piatto, attualmente v=spf1 ip4:103.168.172.128/27 ip4:202.12.124.128/27 -all, senza include annidati, quindi consuma esattamente UNA delle tue 10 ricerche DNS SPF consentite (RFC 7208), non le due o tre che lasciano intendere alcune guide più vecchie. Dato che Fastmail usa il tuo dominio come busta/Return-Path quando invii, l'SPF si ALLINEA davvero al tuo dominio organizzativo e contribuisce da solo al superamento di DMARC, cosa che gli ESP di grandi volumi che controllano il Return-Path non possono fare. Una particolarità di Fastmail: le sue istruzioni di configurazione pubblicano il record con ?all (neutral) finale, non ~all (softfail). Il qualificatore all incide solo sulle fonti che NON sono Fastmail (la posta dagli IP di Fastmail supera l'SPF in ogni caso), ma ?all dice ai server riceventi di trattare le fonti non in elenco o contraffatte come né pass né fail, una protezione dallo spoofing più debole di ~all. Storicamente Fastmail ha scelto neutral per non essere incolpata della posta inviata dai tuoi altri mittenti; se Fastmail è il tuo unico mittente (o li hai elencati tutti), ~all è la scelta più favorevole a DMARC. Tieni esattamente un record SPF sul dominio: se invii anche tramite Google Workspace, SendGrid, Mailchimp o altri, unisci tutti i meccanismi in un'unica riga v=spf1 invece di pubblicare un secondo TXT SPF (due record SPF sono un PermError).
Due modi per configurarlo
Lascia che Fastmail ospiti il tuo DNS (automatico)
- Punta i nameserver del tuo dominio su Fastmail, che pubblica per te MX, SPF, i tre CNAME DKIM e un DMARC iniziale
- Le chiavi DKIM ruotano in automatico e restano verificate: nulla da rimodificare
- Ideale se Fastmail è il tuo provider di posta principale e non hai altri record DNS (web, altri strumenti) che preferisci tenere presso il registrar
- Meno occasioni di sbagliare a digitare un record o di ritrovarti con il dominio duplicato nel campo host
Tieni un DNS esterno (aggiungi i record a mano)
- Lasci il DNS presso il tuo registrar/Cloudflare e aggiungi tu MX, SPF, CNAME DKIM e DMARC
- Necessario se il tuo sito web, altri sottodomini o altri mittenti stanno già su quel provider DNS
- Dopo la pubblicazione, vai a Settings → Domains e fai clic su Recheck DNS, così Fastmail verifica e inizia a firmare con DKIM usando il tuo dominio
- La riga SPF è tua: unisci l'include di Fastmail agli altri mittenti e gestisci il budget di 10 ricerche
Passo dopo passo
- 1
Aggiungi il dominio
Accedi e vai a Settings → Domains, poi aggiungi il tuo dominio (l'avrai già fatto durante l'iscrizione se sei partito con un dominio personalizzato). Fastmail mostra i record esatti di cui il tuo dominio ha bisogno e se ciascuno viene già rilevato.
- 2
Scegli chi ospita il tuo DNS
Decidi se lasciare che Fastmail ospiti il tuo DNS (ripunti i nameserver del registrar su Fastmail, che configura in automatico MX, SPF, DKIM e un DMARC iniziale) o tenere il DNS dov'è e aggiungere i record a mano. Per la maggior parte di chi ha già un sito web o altri record DNS, conviene tenere il DNS esterno e seguire i passaggi manuali qui sotto.
- 3
Aggiungi i record MX (ricezione)
Perché Fastmail possa ricevere la posta del tuo dominio, aggiungi due record MX sul dominio radice: host @ (o vuoto) → in1-smtp.messagingengine.com con priorità 10, e un secondo → in2-smtp.messagingengine.com con priorità 20. Elimina gli eventuali vecchi record MX che puntano a un precedente provider di posta.
- 4
Pubblica il record SPF
Aggiungi un record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:spf.messagingengine.com ~all. Se esiste già un record SPF, non crearne un secondo: unisci include:spf.messagingengine.com alla riga v=spf1 esistente. (Le istruzioni di Fastmail mostrano ?all; ~all è il qualificatore più forte e più favorevole a DMARC una volta elencati tutti i tuoi mittenti.)
- 5
Aggiungi i tre record CNAME DKIM
Crea tre record CNAME: host fm1._domainkey → fm1.yourdomain.com.dkim.fmhosted.com, host fm2._domainkey → fm2.yourdomain.com.dkim.fmhosted.com, host fm3._domainkey → fm3.yourdomain.com.dkim.fmhosted.com. Devono essere CNAME (non TXT o A): non c'è alcuna chiave da incollare. Se il tuo pannello è dietro Cloudflare, impostali su “DNS only” (nuvola grigia).
- 6
Pubblica il record DMARC
Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre confermi che la posta di Fastmail superi SPF e DKIM con allineamento. Su un DNS esterno Fastmail non crea questo record per te (il DNS ospitato da Fastmail aggiunge automaticamente un p=none iniziale).
- 7
Fai clic su Recheck DNS
Torna in Settings → Domains, apri il tuo dominio e fai clic su Recheck DNS. Fastmail ripete la scansione e, quando vede che i tre CNAME DKIM si risolvono, attiva la firma DKIM per il tuo dominio. Finché la verifica non riesce, Fastmail firma la tua posta solo con d=messagingengine.com (che non si allinea al tuo indirizzo From).
- 8
Invia un'email di prova e leggi le intestazioni
Invia un messaggio dal tuo indirizzo Fastmail a un account Gmail, aprilo e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con signed-by: yourdomain.com (selettore fm1, fm2 o fm3, non messagingengine.com) e DMARC: PASS, tutti allineati al tuo dominio.
- 9
Ripeti per sottodomini e altri domini
I record radice non coprono i sottodomini. Se invii da un indirizzo su un sottodominio (es. news@mail.yourdomain.com) o da un secondo dominio, aggiungi MX, SPF e i suoi tre CNAME DKIM anche su quel nome, poi fai di nuovo clic su Recheck DNS.
Record da aggiungere
Fastmail genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| MX | @ | 10 in1-smtp.messagingengine.comMX primario (ricezione). Priorità 10. |
| MX | @ | 20 in2-smtp.messagingengine.comMX secondario (ricezione). Priorità 20. |
| TXT | @ | v=spf1 include:spf.messagingengine.com ~allSPF radice: tieni un solo record SPF e unisci gli altri mittenti in questa riga. La procedura guidata di Fastmail usa ?all; ~all è più forte. Consuma 1 ricerca DNS. |
| CNAME | fm1._domainkey | fm1.yourdomain.com.dkim.fmhosted.comSelettore DKIM 1 (a rotazione automatica gestita da Fastmail). CNAME, non TXT: sostituisci yourdomain.com con il tuo dominio reale. |
| CNAME | fm2._domainkey | fm2.yourdomain.com.dkim.fmhosted.comSelettore DKIM 2 (a rotazione automatica). |
| CNAME | fm3._domainkey | fm3.yourdomain.com.dkim.fmhosted.comSelettore DKIM 3 (a rotazione automatica). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio. Parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Fastmail.
Fastmail occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Fastmail è delegato tramite tre record CNAME, non è una chiave TXT da copiare. Aggiungi fm1._domainkey, fm2._domainkey e fm3._domainkey sul tuo dominio, ciascuno dei quali punta a fmN.yourdomain.com.dkim.fmhosted.com. Fastmail custodisce le chiavi private dietro questi tre selettori e ruota da sola le chiavi pubblicate per stare al passo con le best practice: è proprio per questo che i CNAME sono tre invece di un solo record TXT statico, e significa che non dovrai più toccare il DKIM nel DNS. Punto fondamentale: Fastmail non inizia a firmare la tua posta in uscita con il tuo dominio finché non ha verificato che tutti e tre i CNAME si risolvono. Prima di allora firma solo con d=messagingengine.com, una firma che non si allinea al tuo dominio From e quindi non può far superare DMARC. Dopo aver pubblicato i CNAME, vai a Settings → Domains, apri il tuo dominio e fai clic su Recheck DNS per forzare la verifica; quando il dominio risulta configurato, la posta viene firmata con d=yourdomain.com usando il selettore fm1 (alternando fm2/fm3 con la rotazione delle chiavi). Aggiungi ogni record come CNAME (non TXT o A): molti pannelli DNS impostano per default i nuovi record su A o TXT, cosa che rompe il DKIM senza alcun avviso. Se lasci che Fastmail ospiti il tuo DNS, questi tre record vengono creati e mantenuti automaticamente per te.
DMARC
DMARC è un record di policy separato che pubblichi tu: su un DNS esterno Fastmail non lo crea per te (se lasci che Fastmail ospiti il tuo DNS, aggiunge automaticamente un record iniziale p=none). Aggiungi un record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma dice ai server riceventi di inviarti via email i report aggregati, così puoi confermare che la posta di Fastmail superi SPF e DKIM con allineamento al tuo dominio. Dato che Fastmail allinea entrambi i meccanismi (SPF tramite il tuo dominio di busta e DKIM tramite il selettore fm sul tuo dominio), dovresti vedere risultati puliti e allineati non appena i tre CNAME DKIM vengono verificati. Osserva i report rua per una o due settimane, assicurati che ogni mittente legittimo (Fastmail più gli altri strumenti che usi) sia autenticato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC apposta per Fastmail. Tieni presente che, se Fastmail ospita il tuo DNS, per andare oltre p=none devi disattivare il suo record generato automaticamente e pubblicare il tuo con la policy più forte. Con l'applicazione della policy DMARC, inoltre, la questione ?all o ~all perde importanza contro chi fa spoofing: anche un risultato SPF neutral da una fonte non autorizzata viene intercettato da una policy p=reject.
Verifica che funzioni davvero
Non fidarti solo dello stato in Settings → Domains: controlla su un messaggio reale. Inviati un'email di prova dal tuo indirizzo Fastmail a un'altra casella (Gmail è la più comoda), aprila e scegli ⋮ → Show original. Devi vedere SPF: PASS (con il dominio di busta/mailed-by yourdomain.com), DKIM: PASS con signed-by: yourdomain.com e selettore fm1/fm2/fm3 (non messagingengine.com) e DMARC: PASS. Se il DKIM mostra solo messagingengine.com, i tuoi CNAME non sono ancora stati verificati: ricontrolla che dig CNAME fm1._domainkey.yourdomain.com si risolva in fm1.yourdomain.com.dkim.fmhosted.com, poi fai clic su Recheck DNS in Fastmail. Puoi anche controllare i record grezzi con dig TXT yourdomain.com (SPF), dig CNAME fm1._domainkey.yourdomain.com (DKIM) e dig TXT _dmarc.yourdomain.com (DMARC). Infine analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Fastmail dovrebbe comparire come sorgente allineata che supera tutti i controlli.
Insidie comuni
- Configurazione DNS
Il DKIM è CNAME, non TXT: non c'è alcuna chiave da incollare. Molti pannelli DNS impostano per default i nuovi record su A o TXT, cosa che rompe il DKIM senza alcun avviso. Ogni fmN._domainkey deve essere un CNAME che punta a fmN.yourdomain.com.dkim.fmhosted.com.
- Configurazione DNS
Fastmail non firma con DKIM usando il tuo dominio finché non verifica tutti e tre i CNAME. Fino ad allora firma solo con d=messagingengine.com, che non si allinea al tuo indirizzo From e non può far superare DMARC. Pubblica i CNAME, poi fai clic su Recheck DNS in Settings → Domains.
- Copertura
La configurazione di Fastmail mostra il record SPF con ?all (neutral) finale. La posta di Fastmail supera comunque l'SPF, ma ?all tratta le fonti contraffatte o non in elenco come né pass né fail: passa a ~all quando hai elencato tutti i tuoi mittenti, per una protezione più forte dallo spoofing.
- Configurazione DNS
Dominio duplicato nel campo host: i registrar spesso aggiungono automaticamente il dominio, trasformando fm1._domainkey in fm1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (fm1._domainkey) se il pannello aggiunge il dominio per te.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice. Se esiste già un record, unisci include:spf.messagingengine.com a quello: pubblicare un secondo record v=spf1 è di per sé un PermError.
- Configurazione DNS
I record radice non coprono i sottodomini. Per inviare da un indirizzo come news@mail.yourdomain.com ti servono MX più un proprio SPF e tre CNAME DKIM su mail.yourdomain.com, poi un altro Recheck DNS.
- Copertura
Scegli un solo gestore del DNS. Se ripunti i nameserver su Fastmail, è Fastmail a gestire MX/SPF/DKIM in automatico: non aggiungere a mano anche record in conflitto presso il vecchio registrar, o i due entreranno in contrasto.
- Copertura
Non scrivere in modo fisso gli IP di invio di Fastmail nel tuo SPF. Usa include:spf.messagingengine.com, così Fastmail può cambiare i suoi intervalli IP senza rompere la tua autenticazione; un elenco ip4: appiattito diventa obsoleto e inizia a far fallire l'SPF.
Crea il tuo record SPF
Fastmail è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Fastmail: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Google Workspace
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
- Migadu
- Namecheap Private Email
- Proton Mail
- Purelymail
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.