SPF, DKIM e DMARC per GetResponse.
GetResponse autentica il tuo dominio di invio da Profile → Emails and domains, e lo fa in modo diverso dagli ESP basati sulla delega CNAME: generi una chiave DKIM dentro GetResponse e la pubblichi come record TXT, aggiungi facoltativamente l'include SPF condiviso di GetResponse (include:_spf.getresponse.com) e aggiungi tu un record di policy DMARC. Puoi lasciare che GetResponse scriva per te tutti e tre i record tramite la sua integrazione automatica (Entri) con oltre 45 provider DNS, oppure aggiungerli a mano. Quando il TXT DKIM si risolve e GetResponse lo conferma, le tue newsletter e automazioni vengono firmate con il tuo dominio, DMARC viene superato grazie all'allineamento DKIM e l'attribuzione “sent on behalf of” / via-getresponse che i destinatari vedono sulla posta non autenticata scompare.
Perché autenticare GetResponse?
Autenticare il tuo dominio GetResponse decide se le tue campagne raggiungono la posta in arrivo o finiscono nello spam. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso le stesse aspettative alle caselle consumer Outlook.com/Hotmail/Live, cioè esattamente il pubblico a cui punta la maggior parte delle newsletter. GetResponse ora raccomanda vivamente a ogni mittente di usare come indirizzo From un indirizzo sul proprio dominio privato (non gmail.com o yahoo.com, che blocca o declassa) e di configurare sia DKIM sia DMARC. Finché non autentichi, GetResponse invia con il proprio dominio di firma: i destinatari vedono che la posta non proviene davvero da te, il tuo indirizzo From non si allinea, DMARC non può essere superato e la tua reputazione finisce nello stesso pool di tutti gli altri mittenti non autenticati della piattaforma. Una particolarità di GetResponse rende DKIM irrinunciabile: GetResponse mantiene il proprio Return-Path (dominio dei bounce) sulla posta in uscita, quindi SPF viene valutato sul dominio di GetResponse e non si allinea mai al tuo dominio From, perciò DKIM firmato come d=yourdomain.com è l'unico meccanismo che ti fa superare DMARC. Se salti la chiave DKIM non hai alcuna autenticazione allineata, qualunque sia l'esito del controllo SPF.
Come funziona davvero SPF con GetResponse
GetResponse è un vero provider “include” (il meccanismo condiviso è include:_spf.getresponse.com), ma qui SPF è la parte facoltativa della configurazione, non quella portante. La documentazione di GetResponse dice che un record SPF è “consigliato, ma non necessario per inviare” e ne spiega il motivo: “il dominio di invio è GetResponse ed è già firmato SPF”. Poiché GetResponse mantiene il mittente della busta / Return-Path sul proprio dominio dei bounce (è GetResponse a gestire i bounce, non tu), SPF viene sempre controllato sul dominio di GetResponse, dà da solo un pass grezzo e non si allinea mai al tuo dominio From, e DMARC conta SPF solo quando si allinea. Per questo la procedura di autenticazione di GetResponse è incentrata su una chiave DKIM in TXT e su un record DMARC: è DKIM firmato come d=yourdomain.com ad allinearsi e a soddisfare DMARC. Considera quindi l'include radice un utile meccanismo per “autorizzare gli IP di GetResponse”, da cui alcuni filtri in entrata gradiscono vedere un pass pulito: non è ciò che fa funzionare DMARC, né qualcosa che devi per forza aggiungere. Se lo aggiungi, la buona notizia è che costa poco: include:_spf.getresponse.com si risolve in un unico record piatto di intervalli ip4: senza include annidati, quindi consuma esattamente UNA delle tue 10 ricerche DNS SPF. Uniscilo all'unico record v=spf1 del tuo dominio radice, prima del ~all finale, invece di pubblicare un secondo TXT SPF (due record SPF sono un PermError), e lascia a DKIM il vero lavoro per DMARC.
Due modi per configurarlo
Autenticazione automatica (Entri)
- GetResponse rileva il tuo provider DNS e, dopo che hai effettuato l'accesso al provider, scrive per te la chiave DKIM, un record SPF e un record DMARC p=none
- Supporta oltre 45 provider, tra cui Cloudflare, GoDaddy, Namecheap, AWS Route 53 e SiteGround
- Elimina le due cause di errore più comuni: dominio duplicato nel campo host e chiavi DKIM troncate
- Ideale se hai l'accesso al provider DNS e vuoi la strada più rapida e con meno errori
Manuale: “I'll do it myself”
- GetResponse ti mostra il DKIM identifier + key, il valore SPF e il record DMARC da copiare
- Li incolli tu presso il tuo registrar: serve quando il DNS è gestito da qualcun altro o quando il provider non è supportato da Entri
- Devi aggiungere il TXT DKIM esattamente (selettore e chiave completa a 2048 bit), altrimenti GetResponse non lo conferma
- Stessi record finali della procedura automatica, solo aggiunti a mano
Passo dopo passo
- 1
Apri Emails and domains
Accedi e vai su Profile → Emails and domains (nell'interfaccia più recente è Tools → Emails and domains). Questa schermata gestisce sia gli indirizzi From verificati sia l'autenticazione completa del dominio. Prima aggiungi e conferma l'indirizzo From sul tuo dominio: GetResponse non ti permette di inviare da domini non verificati o pubblici gratuiti come gmail.com/yahoo.com.
- 2
Avvia l'autenticazione del dominio
Nella scheda Email addresses, trova il tuo dominio nell'elenco, fai clic sul menu Actions (i 3 puntini) accanto e scegli Authenticate (gli account più vecchi mostrano View TXT records → Authenticate your domain with DKIM). Si apre il pannello di autenticazione in cui GetResponse genera le tue chiavi.
- 3
Scegli automatico o manuale
Scegli “Authenticate automatically” per lasciare che l'integrazione Entri di GetResponse acceda al tuo provider DNS e pubblichi per te DKIM, SPF e (se non ne esiste uno) un record DMARC p=none. Oppure scegli “I'll do it myself” per vedere i record e incollarli presso il tuo registrar. Entrambe le strade creano gli stessi record DNS.
- 4
Genera e copia la chiave DKIM
Con la procedura manuale, GetResponse mostra un DKIM identifier e una DKIM key. L'identifier è un selettore unico per dominio (una breve stringa esadecimale) che diventa l'host del tuo record, e la key è il lungo valore della chiave pubblica. Sposta il cursore su “Generate a 2048-bit DKIM key for stronger protection” (la raccomandazione di GetResponse) e copia ENTRAMBI i campi esattamente: un solo carattere mancante nell'identifier è un errore comune.
- 5
Pubblica il record TXT DKIM
Presso il tuo provider DNS aggiungi un record TXT: Host = <your-identifier>._domainkey (es. 1a2b3c4d._domainkey), Value = la chiave DKIM di GetResponse (inizia con k=rsa; p=… / v=DKIM1; k=rsa; p=…). Lascialo come TXT: il DKIM di GetResponse è una chiave che pubblichi tu, non una delega CNAME. Se il tuo host limita le stringhe TXT a 255 caratteri, assicurati che la chiave completa a 2048 bit venga memorizzata (suddivisa in blocchi tra virgolette se necessario), altrimenti ne viene pubblicata solo una parte.
- 6
Aggiungi o unisci l'include SPF (facoltativo)
In GetResponse SPF è raccomandato ma non obbligatorio. Se lo aggiungi, inserisci include:_spf.getresponse.com nell'unico record TXT v=spf1 del tuo dominio radice, prima del ~all finale, ad esempio v=spf1 include:_spf.getresponse.com ~all. Se hai già un record SPF (Google Workspace, Microsoft 365 ecc.), unisci l'include a quell'unica riga; non pubblicare mai un secondo TXT SPF. Costa una sola ricerca DNS.
- 7
Aggiungi il record DMARC
Con la procedura manuale GetResponse non crea DMARC per te. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre confermi l'allineamento. Tieni esattamente un record _dmarc per l'intero dominio.
- 8
Lascia che GetResponse confermi il dominio
La propagazione delle modifiche DNS può richiedere fino a 24-48 ore. GetResponse ricontrolla automaticamente e porta il dominio su Authenticated appena rileva il record DKIM: non devi fare clic su nulla, anche se puoi riaprire il menu Actions per ricontrollare. GetResponse suggerisce anche di inviare una newsletter a te stesso come rapida prova di propagazione.
- 9
Controlla le intestazioni su un messaggio reale
Invia una campagna di prova a un indirizzo Gmail, aprila e usa ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com (tramite il tuo selettore GetResponse) e DMARC: PASS. SPF mostrerà un pass sul dominio Return-Path di GetResponse, ed è previsto: qui è l'allineamento DKIM a far superare DMARC.
- 10
Invia dall'indirizzo From autenticato
Nelle impostazioni del messaggio e della lista, assicurati che l'indirizzo From sia quello sul dominio autenticato, così la posta viene davvero firmata DKIM con il tuo dominio. Autenticare il DNS non serve a nulla per una campagna ancora impostata per inviare da un indirizzo diverso o non verificato.
Record da aggiungere
GetResponse genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | 1a2b3c4d._domainkey | k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(2048-bit public key from GetResponse)DKIM: valore illustrativo. L'etichetta dell'host (selettore) è un identificatore unico che GetResponse genera per ogni dominio; copia identifier e key esatti dal pannello Authenticate. È un TXT che pubblichi tu, non un CNAME. GetResponse può mostrare un valore che inizia con k=rsa; p= (equivalente a v=DKIM1; k=rsa; p=). |
| TXT | @ | v=spf1 include:_spf.getresponse.com ~allFacoltativo. Unisci include:_spf.getresponse.com alla tua unica riga SPF radice: non aggiungere mai un secondo record SPF. Si risolve in un record piatto di soli ip4, quindi costa 1 ricerca DNS. Autorizza gli IP di GetResponse ma NON si allinea (il Return-Path è di GetResponse e lì è già firmato SPF), quindi è DKIM a far superare DMARC: molti mittenti saltano del tutto questo record. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu (la procedura automatica/Entri aggiunge un record p=none se non ne esiste uno). Uno per dominio; parti da p=none, poi passa a quarantine/reject quando la posta GetResponse supera i controlli con allineamento. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di GetResponse.
GetResponse occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è il cuore dell'autenticazione GetResponse perché è il meccanismo che si allinea davvero al tuo dominio. A differenza degli ESP basati sulla delega CNAME (Mailchimp, SendGrid), GetResponse genera una chiave e ti consegna un record TXT da pubblicare tu: un DKIM identifier (un selettore unico per dominio, mostrato come breve stringa esadecimale) e una DKIM key (il valore della chiave pubblica). Pubblichi un record TXT con host <identifier>._domainkey.yourdomain.com e il valore fornito da GetResponse, che inizia con k=rsa; p=… (equivalente alla forma standard v=DKIM1; k=rsa; p=…). GetResponse conserva la chiave privata corrispondente e firma con essa la tua posta in uscita, quindi quando il record si risolve le campagne sono firmate come d=yourdomain.com e DMARC può essere superato grazie all'allineamento DKIM. Scegli l'opzione a 2048 bit offerta da GetResponse invece di una vecchia chiave a 1024 bit. Due insidie specifiche che la documentazione di GetResponse segnala: poiché una chiave a 2048 bit è più lunga di una singola stringa TXT da 255 caratteri, alcuni host pubblicano “solo una parte del record DKIM”: se il tuo host limita la lunghezza della chiave o del TXT, la chiave viene troncata e DKIM fallisce, quindi memorizza il valore completo (suddiviso in blocchi tra virgolette se il tuo pannello lo richiede). E poiché il selettore è un identificatore generato, GetResponse avverte che un nome a cui “manca l'ultimo carattere del selettore corretto” (ad esempio pubblicare 4e4a47e invece di 4e4a47eb) produce una mancata corrispondenza del selettore che fa fallire la validazione senza alcun avviso. Copia entrambi i campi alla lettera. Non c'è alcun CNAME né alcun interruttore “Start signing”: GetResponse rileva il record da solo entro 24-48 ore e contrassegna il dominio come Authenticated.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio. Con la procedura manuale GetResponse non lo crea per te (con quella automatica/Entri aggiunge un record p=none se non ne hai già uno). Pubblicalo su _dmarc.yourdomain.com iniziando con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che la posta GetResponse superi DKIM con allineamento al tuo dominio. Per GetResponse conta più che per un provider il cui SPF si allinea: poiché il Return-Path è di GetResponse, il superamento di DMARC dipende interamente da DKIM, quindi usa i report rua per verificare che l'allineamento DKIM sia solido prima di rendere più severa la policy. Controlla i report per una o due settimane, assicurati che GetResponse e ogni altro mittente legittimo si autentichino, poi passa a p=quarantine e infine a p=reject. Potresti vedere citato l'allineamento rigoroso (strict: adkim=s / aspf=s), ma lascia l'allineamento relaxed (il predefinito) a meno che tu non abbia un motivo specifico: l'allineamento relaxed richiede comunque che il dominio organizzativo corrisponda ed è più tollerante con i sottodomini. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC apposta per GetResponse.
Verifica che funzioni davvero
Non fidarti del solo badge “Authenticated” di GetResponse: controlla su un messaggio reale. Invia una campagna di prova (o una semplice newsletter a te stesso) a un indirizzo Gmail, aprila e scegli ⋮ → Show original: devi vedere DKIM: PASS con signed-by / d=yourdomain.com tramite il tuo selettore GetResponse e DMARC: PASS. SPF mostrerà un pass sul dominio Return-Path di GetResponse: è previsto e va bene; qui è l'allineamento DKIM a far superare DMARC, quindi non preoccuparti se SPF non mostra il tuo dominio. Puoi anche controllare a campione i record grezzi con dig TXT <identifier>._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il TXT DKIM, l'include SPF facoltativo e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche. Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: GetResponse dovrebbe comparire come sorgente allineata che supera i controlli su DKIM.
Insidie comuni
- Copertura
SPF viene superato ma non si allinea: GetResponse usa il proprio Return-Path/dominio dei bounce (già firmato SPF dalla parte di GetResponse), quindi include:_spf.getresponse.com autorizza gli IP di GetResponse e dà un pass SPF grezzo, ma NON si allinea al tuo dominio From. DKIM è l'unico meccanismo che ti fa superare DMARC: non saltare mai la chiave DKIM pensando che basti SPF.
- Configurazione DNS
Chiave DKIM troncata: una chiave a 2048 bit è più lunga di una singola stringa TXT da 255 caratteri, e GetResponse avverte che alcuni host pubblicano “solo una parte del record DKIM”. Memorizza il valore completo (suddiviso in blocchi tra virgolette se il tuo pannello lo richiede), altrimenti la validazione DKIM fallisce.
- Copertura
Mancata corrispondenza del selettore: l'host DKIM è un identificatore generato, e GetResponse mette esplicitamente in guardia da un nome a cui “manca l'ultimo carattere del selettore corretto” (es. 4e4a47e invece di 4e4a47eb). Un identificatore digitato male o troncato non viene mai validato e non ricevi alcun avviso: copialo alla lettera.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire 1a2b3c4d._domainkey.yourdomain.com produce 1a2b3c4d._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (1a2b3c4d._domainkey) se il pannello aggiunge il dominio per te.
- Copertura
Gli indirizzi From gratuiti/pubblici sono bloccati: GetResponse non autentica né invia in modo affidabile da gmail.com, yahoo.com, outlook.com ecc. Devi inviare da un indirizzo sul tuo dominio: è proprio questo il senso dell'autenticazione.
- Configurazione DNS
DKIM è un record TXT, non un CNAME: a differenza di Mailchimp o SendGrid, GetResponse ti dà una chiave statica da incollare. Non c'è alcun CNAME da delegare né alcuna rotazione automatica delle chiavi, quindi se rigeneri la chiave devi aggiornare tu il record TXT.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF: se invii anche tramite Google Workspace, Microsoft 365 o un altro strumento, unisci include:_spf.getresponse.com alla riga v=spf1 esistente. Due record TXT SPF sullo stesso dominio sono un PermError che manda SPF completamente in errore.
- Copertura
L'autenticazione automatica (Entri) può fallire in parte: se il provider DNS collegato rifiuta una modifica via API, GetResponse può aggiungere alcuni record e non altri, oppure chiederti di completare a mano. Dopo un'esecuzione automatica, ricontrolla che tutti e tre i record esistano davvero presso il tuo host.
Crea il tuo record SPF
GetResponse non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per GetResponse: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.