Skip to content
Inizia con 100 crediti di verifica gratuiti
Qualisend
Guida alla configurazione SPF

SPF, DKIM e DMARC per Freshdesk.

Freshdesk ti permette di rispondere ai clienti dal tuo indirizzo (support@yourdomain.com) invece che dalla casella predefinita yourcompany.freshdesk.com, ma nel momento in cui lo fai, Freshdesk invia posta a nome del tuo dominio e devi dimostrare che è autorizzato. L'autenticazione richiede due mosse: un passaggio DKIM dentro Freshdesk (Admin → Channels → Email → Advanced Settings → Configure DKIM) che genera record CNAME per firmare con il tuo dominio, e un include SPF che puoi unire al tuo record radice presso il tuo provider DNS. Freshdesk non pubblica alcun valore DMARC, quindi questo record di policy lo aggiungi tu. Fai verificare DKIM (insieme a DMARC) e le risposte ai ticket raggiungono la posta in arrivo senza la dicitura “via freshdesk.com”; se salti questo passaggio, Gmail, Yahoo e Microsoft le dirottano sempre più spesso nello spam.

Include SPF
Your DNSAdd the CNAME / TXT records
FreshdeskSigns & sends as your domain
The inboxSPF · DKIM · DMARC pass

Perché autenticare Freshdesk?

La posta di un helpdesk è la peggiore che possa finire nello spam: conferme di reimpostazione della password, risposte ai ticket, notifiche SLA, cioè proprio i messaggi che i clienti stanno aspettando. Eppure un'email di supporto Freshdesk sul tuo dominio è esattamente il tipo di “terza parte che invia a nome tuo” che le regole per i mittenti di Gmail e Yahoo di febbraio 2024 (e l'applicazione delle regole da parte di Microsoft nel 2025) sono pensate per filtrare. Finché non autentichi il dominio, Freshdesk invia le tue risposte sulla sua infrastruttura condivisa senza alcun legame crittografico con il tuo dominio: i destinatari possono vedere una dicitura “via”, DMARC non può essere superato e la tua posta dei ticket eredita la reputazione di tutti gli altri tenant Freshdesk non autenticati. Freshdesk stesso ora rende la verifica DKIM del dominio un controllo obbligatorio per le email di supporto basate su dominio proprio a causa di queste regole, e la sua documentazione precisa che verificare DKIM copre anche il controllo SPF su cui si basa DMARC. Configurare DKIM (più SPF e DMARC) lega la posta al tuo dominio organizzativo, elimina la dicitura “via”, permette alle risposte ai ticket di superare DMARC e costruisce la reputazione di invio a tuo nome, non nel pool condiviso.

Come funziona davvero SPF con Freshdesk

Freshdesk è un vero provider “include”: a differenza degli ESP solo CNAME, documenta un autentico meccanismo condiviso, include:email.freshdesk.com, che puoi aggiungere all'unico record TXT SPF del tuo dominio di invio. Non è però il passaggio principale della configurazione di Freshdesk, e l'include è insolitamente pesante. Verificato sul DNS live, email.freshdesk.com pubblica v=spf1 include:sendgrid.net include:fdspfus.freshemail.io include:fdspfeuc.freshemail.io include:fdspfind.freshemail.io include:fdspfaus.freshemail.io ~all: Freshdesk instrada parte della posta tramite SendGrid e mantiene quattro pool di IP regionali (USA, UE, India, Australia). Contando questi include più l'include:ab.sendgrid.net annidato in sendgrid.net, un singolo include:email.freshdesk.com consuma 7 delle 10 ricerche DNS SPF consentite (RFC 7208). Diventa un problema concreto il giorno in cui aggiungi anche Google Workspace o Microsoft 365 sullo stesso dominio: arrivi a un PermError e SPF smette di essere valutato per tutti. La soluzione di Freshdesk: pubblica include per singolo data center (fdspfus.freshemail.io, fdspfeuc.freshemail.io, fdspfind.freshemail.io, fdspfaus.freshemail.io), ciascuno un record piatto di soli ip4 che costa una sola ricerca. Se usi solo l'include regionale del tuo account, il costo scende da 7 ricerche a 1. Detto onestamente: l'allineamento effettivo di SPF per DMARC dipende dal mittente della busta applicato da Freshdesk, quindi considera DKIM, che firma con d=yourdomain.com, il meccanismo che ti fa superare DMARC. Freshdesk stesso fa di DKIM il passaggio obbligatorio di verifica del dominio e precisa che configurare DKIM gestisce anche il controllo SPF, per cui non ti chiede mai di aggiungere separatamente il suo include SPF. Aggiungi l'include (quello regionale se sei vicino al limite) come doppia sicurezza per l'autorizzazione, ma lascia a DKIM il lavoro di allineamento e tieni sempre esattamente un record v=spf1 sul dominio unendo i valori, senza mai pubblicarne un secondo.

Passo dopo passo

In Freshdesk
  1. 1

    Aggiungi un'email di supporto sul tuo dominio

    Accedi come amministratore e vai su Admin (icona a forma di ingranaggio) → Channels → Email. Fai clic su New support email e imposta come indirizzo di risposta uno sul tuo dominio, ad esempio support@yourdomain.com. Solo le email di supporto basate su dominio richiedono l'autenticazione: l'indirizzo integrato yourcompany.freshdesk.com è già autenticato da Freshdesk e non richiede nulla.

  2. 2

    Apri la configurazione DKIM

    Sempre in Admin → Channels → Email, apri Advanced settings e fai clic su Configure DKIM. Freshdesk genera una serie di record CNAME (in genere 4) unici per il tuo dominio, ciascuno dei quali punta a *.domainkey.freshemail.io. Lascia aperta questa schermata: dovrai copiare host e valore esatti nel DNS.

Nel tuo DNS
  1. 3

    Pubblica i CNAME DKIM

    Presso il tuo provider DNS, aggiungi ogni record mostrato da Freshdesk come CNAME (non TXT). Copia Host e Value alla lettera, carattere per carattere. Nel campo host inserisci solo l'etichetta del sottodominio (es. fwdkim1), non il nome completo fwdkim1.yourdomain.com, così il tuo registrar non aggiunge il dominio due volte. Assicurati che non ci siano spazi iniziali o finali.

  2. 4

    Aggiungi o unisci l'include SPF (facoltativo)

    DKIM da solo verifica il tuo dominio, ma puoi aggiungere include:email.freshdesk.com al tuo record TXT SPF come autorizzazione aggiuntiva, ad esempio v=spf1 include:email.freshdesk.com ~all. Se invii già da Google, Microsoft 365 o un altro provider, unisci questo meccanismo a quell'unica riga invece di pubblicare un secondo record SPF. Sei vicino al limite di 10 ricerche? Usa invece l'include specifico del tuo data center (es. include:fdspfeuc.freshemail.io) per consumare 1 ricerca invece di 7.

  3. 5

    Disattiva il proxy di Cloudflare sui CNAME

    Se il tuo DNS è dietro Cloudflare, imposta ogni CNAME DKIM di Freshdesk su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in freshemail.io e la verifica DKIM non va a buon fine.

In Freshdesk
  1. 6

    Verifica DKIM

    Torna alla schermata Configure DKIM in Freshdesk e fai clic su Verify. Freshdesk controlla che tutti i CNAME si risolvano e contrassegna il dominio come verificato. Di solito la propagazione richiede pochi minuti, ma può arrivare a 24-48 ore; ricontrolla se la verifica non riesce subito.

Nel tuo DNS
  1. 7

    Pubblica un record di policy DMARC

    Freshdesk non ti fornisce alcun valore DMARC, quindi crealo tu. Aggiungi un record TXT su _dmarc.yourdomain.com che inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre confermi che la posta Freshdesk supera DKIM con allineamento al tuo dominio. Tieni un solo record _dmarc per l'intero dominio.

Verifica
  1. 8

    Invia una vera risposta a un ticket e controlla le intestazioni

    Da Freshdesk, rispondi a un ticket di prova indirizzato a un account Gmail che controlli. Apri il messaggio, scegli ⋮ → Show original e conferma DKIM: PASS con d=yourdomain.com e DMARC: PASS. SPF mostrerà gli IP di invio di Freshdesk (o di SendGrid). Non affidarti al solo badge “Verified” di Freshdesk: controlla su un messaggio reale.

Record da aggiungere

Freshdesk genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

TipoHostValore
CNAMEfwdkim1spfmx1.domainkey.freshemail.ioRecord di firma DKIM: ILLUSTRATIVO e passaggio principale della configurazione. Freshdesk genera host e destinazione esatti (di solito 4 CNAME) per ogni dominio nella schermata Configure DKIM; copiali alla lettera. Aggiungili come CNAME, non TXT.
CNAMEfwdkim2spfmx2.domainkey.freshemail.ioSecondo CNAME DKIM illustrativo. Aggiungi tutti i record elencati da Freshdesk (in genere 4): puntano tutti a *.domainkey.freshemail.io e firmano con il tuo dominio. Alcuni dei 4 host includono un'etichetta _domainkey; usa quello che mostra Freshdesk.
TXT@v=spf1 include:email.freshdesk.com ~allSPF radice facoltativo: autorizza gli IP di invio di Freshdesk. Uniscilo alla tua UNICA riga SPF esistente; non pubblicare mai un secondo record SPF. Questo include condiviso costa 7 ricerche DNS (vedi l'alternativa regionale qui sotto). È DKIM, non questo include, ad allinearsi per DMARC.
TXT@v=spf1 include:fdspfeuc.freshemail.io ~allAlternativa regionale (qui l'UE): un record piatto di soli ip4 che costa solo 1 ricerca invece di 7. Scegli fdspfus / fdspfeuc / fdspfind / fdspfaus in base al data center del tuo account. Usa questa riga OPPURE quella sopra, non entrambe.
TXT_dmarcv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: Freshdesk non fornisce alcun valore, quindi la crei tu. Una per dominio; parti da p=none e rendila più severa in seguito.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Freshdesk.

SPF 10-lookup budget7 used · 3 free

Freshdesk occupa 7 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

DKIM è il passaggio obbligatorio di verifica del dominio di Freshdesk e il meccanismo che ti fa davvero superare DMARC, ed è delegato tramite CNAME. Nella schermata Configure DKIM (Admin → Channels → Email → Advanced Settings → Configure DKIM) Freshdesk genera una serie di record CNAME, in genere quattro, unici per il tuo dominio, ciascuno dei quali punta a *.domainkey.freshemail.io (una coppia illustrativa è fwdkim1 → spfmx1.domainkey.freshemail.io e fwdkim2 → spfmx2.domainkey.freshemail.io, ma host e destinazioni esatti dipendono dal tuo account: copiali alla lettera). Poiché sono CNAME delegati a Freshdesk e non chiavi TXT da incollare, Freshdesk conserva le chiavi private e può ruotarle senza che tu debba mai più modificare il DNS. Il punto cruciale è che questo DKIM firma la tua posta dei ticket in uscita con d=yourdomain.com, quindi si allinea al tuo indirizzo From e soddisfa DMARC da solo: ecco perché Freshdesk considera DKIM il passaggio di verifica obbligatorio e la sua documentazione precisa che configurare DKIM copre anche il controllo SPF, senza chiederti di aggiungere separatamente il suo include SPF. Aggiungi tutti i CNAME esattamente come mostrati (come CNAME, non TXT), senza spazi iniziali o finali, con nuvola grigia/DNS only se usi Cloudflare, e inserisci solo l'etichetta del sottodominio così il tuo registrar non raddoppia il dominio. Poi fai clic su Verify in Freshdesk.

DMARC

DMARC è un record di policy separato sul tuo dominio, e Freshdesk volutamente non ti fornisce alcun valore: lo crei tu. Pubblica un record TXT su _dmarc.yourdomain.com che inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre confermi che la posta dei ticket Freshdesk supera DKIM con allineamento al tuo dominio. Controlla i report aggregati (rua) per una o due settimane (Freshdesk dovrebbe comparire come sorgente con DKIM allineato che supera i controlli), poi rendi più severa la policy passando a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi (Freshdesk, Google Workspace, Microsoft 365 ecc.); non aggiungere un record DMARC separato per Freshdesk. Se la tua email di supporto è su un sottodominio come support@help.yourdomain.com, il DMARC sul dominio organizzativo la copre comunque, ma i record SPF e DKIM devono stare su quel sottodominio.

Verifica che funzioni davvero

Non fidarti del solo badge “Verified” di Freshdesk: controlla su un messaggio reale. Da Freshdesk, rispondi a un ticket di prova inviato a un indirizzo Gmail che controlli, apri la risposta e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. SPF elencherà gli IP di invio di Freshdesk o di SendGrid (autorizza, ma può non allinearsi: è DKIM a garantire l'allineamento). Vuoi un report completo? Invia una prova da Freshdesk a check-auth@verifier.port25.com per ricevere un'analisi dettagliata via email. Puoi anche analizzare il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni CNAME e i record SPF/DMARC si risolvano, e tenere d'occhio il conteggio delle ricerche SPF, dato che il solo include:email.freshdesk.com ne consuma 7 su 10. Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che Freshdesk compaia come sorgente allineata che supera i controlli.

Insidie comuni

  • Copertura

    Il vero passaggio è DKIM, non SPF: Freshdesk rende la verifica DKIM del dominio il controllo obbligatorio per le email di supporto basate su dominio, ed è DKIM (d=yourdomain.com) ad allinearsi per DMARC. L'include SPF è una doppia sicurezza facoltativa: non saltare DKIM pensando che ti basti una riga SPF.

  • Fa fallire l'autenticazione

    L'include divora ricerche: include:email.freshdesk.com annida SendGrid (con il suo ab.sendgrid.net) e tutti e quattro i pool regionali, cioè 7 delle tue 10 ricerche DNS SPF da una sola riga. Se lo sommi a Google Workspace o Microsoft 365 puoi arrivare a un PermError, che fa smettere di valutare SPF per l'intero dominio. Se lo aggiungi, usa l'include del tuo data center (fdspfus / fdspfeuc / fdspfind / fdspfaus.freshemail.io): ognuno costa 1 ricerca.

  • Configurazione DNS

    Una casella personalizzata cambia tutto: se configuri una casella personalizzata o il tuo SMTP in uscita (oppure un “send-as” di Google/Microsoft), Freshdesk inoltra tramite il TUO server, non il proprio. In questo caso l'include SPF e i CNAME DKIM di Freshdesk non si applicano: autentichi invece il dominio presso quel provider di posta in uscita (es. include:_spf.google.com e il DKIM di Google).

  • Configurazione DNS

    Dominio duplicato nel campo host: molti registrar (GoDaddy in particolare) aggiungono automaticamente il dominio, quindi inserire fwdkim1.yourdomain.com produce fwdkim1.yourdomain.com.yourdomain.com e la verifica non riesce. Inserisci solo l'etichetta (fwdkim1) se il pannello aggiunge il dominio per te.

  • Configurazione DNS

    Sono CNAME, non TXT: i record DKIM di Freshdesk devono essere creati come record CNAME che puntano a freshemail.io. Incollarli come TXT è una causa comune di “DKIM not verified”. Elimina anche eventuali spazi iniziali o finali: Freshdesk avverte esplicitamente che uno spazio di troppo rompe la validazione.

  • Configurazione DNS

    Il proxy di Cloudflare rompe la risoluzione: imposta ogni CNAME DKIM di Freshdesk su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in freshemail.io e Verify non va a buon fine.

  • Fa fallire l'autenticazione

    Un solo record SPF: se aggiungi l'include e hai già una riga v=spf1, unisci include:email.freshdesk.com a quella riga. Avere due record TXT SPF separati è di per sé un PermError, e la posta Freshdesk viene spesso aggiunta accanto a un provider di posta già esistente.

  • Configurazione DNS

    Nessun valore DMARC da Freshdesk: non compare mai nella schermata DKIM. Devi pubblicare _dmarc tu stesso: se lo salti, DKIM/SPF vengono superati ma non ricevi alcun report e, secondo le regole di Gmail/Yahoo, non hai alcuna policy.

  • Configurazione DNS

    La casella predefinita freshdesk.com non richiede nulla: solo le email di supporto basate su dominio hanno bisogno di questi record. E un'email di supporto su un sottodominio richiede che SPF e DKIM siano pubblicati su quel sottodominio, non sul dominio radice.

Crea il tuo record SPF

Freshdesk non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.

1

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Cerca qui sopra la tua piattaforma email oppure .

2

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

3

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

4

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

Il tuo record SPF0/10 ricerche DNS
v=spf1 ~all

Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.

  • Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
  • Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
  • Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per Freshdesk: domande frequenti

Non è indispensabile. Freshdesk fa di DKIM il passaggio obbligatorio di verifica del dominio e precisa che configurarlo gestisce anche il controllo SPF, quindi una configurazione DKIM verificata basta per essere in regola: DKIM firma con d=yourdomain.com e garantisce da solo l'allineamento DMARC. Aggiungere include:email.freshdesk.com resta comunque utile come doppia sicurezza per l'autorizzazione (alcuni server riceventi danno peso a SPF), ma se sei vicino al limite di 10 ricerche, il solo DKIM verificato è sufficiente; in alternativa usa l'include regionale da 1 ricerca al posto di quello completo.

Perché non è piatto. Il DNS live mostra che si espande in include:sendgrid.net più quattro include regionali (fdspfus/euc/ind/aus.freshemail.io), e sendgrid.net a sua volta annida ab.sendgrid.net: 7 ricerche in totale. Freshdesk instrada parte della posta tramite SendGrid e mantiene pool di IP separati per USA, UE, India e Australia. Se questo porta il tuo SPF oltre le 10 ricerche, passa al solo include regionale del tuo account, un record piatto di soli ip4 che costa una sola ricerca.

Quello del data center del tuo account Freshdesk: fdspfus.freshemail.io (USA), fdspfeuc.freshemail.io (UE), fdspfind.freshemail.io (India), fdspfaus.freshemail.io (Australia). Il data center dipende da dove è stato creato il tuo account. Se non sei sicuro, o se hai migrato tra pod, tieni l'include completo include:email.freshdesk.com: copre tutte le regioni al costo di più ricerche.

No. Quando la posta in uscita passa dal tuo server SMTP o da una casella Google/Microsoft collegata, il mittente non è Freshdesk ma il tuo provider. Autentica il dominio presso quel provider (con il suo include SPF e il suo DKIM) e salta del tutto i record SPF/DKIM di Freshdesk. I record di Freshdesk si applicano solo quando è Freshdesk stesso a inviare le tue risposte.

No. Quella casella è già autenticata da Freshdesk sul dominio freshdesk.com. Aggiungi questi record solo quando rispondi da un'email di supporto sul tuo dominio, come support@yourdomain.com.

Quasi sempre una di queste cinque cose: i record sono stati aggiunti come TXT invece che CNAME; è attivo il proxy di Cloudflare (nuvola arancione); l'host è stato raddoppiato (fwdkim1.yourdomain.com.yourdomain.com); c'è uno spazio di troppo all'inizio o alla fine; oppure non hai aggiunto tutti i CNAME generati da Freshdesk (in genere 4). Correggi, attendi la propagazione (fino a 24-48 ore) e fai di nuovo clic su Verify.

No. DKIM usa i selettori e i CNAME propri di Freshdesk, quindi non tocca il tuo DKIM esistente. Le uniche regole: tieni un solo record TXT SPF sul dominio (unisci, non duplicare) e fai attenzione al budget di ricerche: l'include completo di Freshdesk da 7 ricerche più Google o Microsoft può portarti oltre il tetto di 10, quindi quando sommi più mittenti usa l'include regionale di Freshdesk da 1 ricerca (fdspfus/euc/ind/aus.freshemail.io) invece di quello completo.

Letture correlate

Altri provider: Helpdesk e CRM

Tutte le guide SPF
Monitora ogni giorno SPF, DKIM e DMARC di FreshdeskConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominioSPF: troppe query DNS. Come contarle e correggere il permerror
Integrazione con FreshdeskVerifica gli indirizzi email del tuo account Freshdesk con l'integrazione Freshdesk di Qualisend.

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare