SPF, DKIM e DMARC per Ghost (Pro).
Ghost(Pro) è una piattaforma di publishing gestita e invia le tue newsletter al posto tuo attraverso la propria infrastruttura Mailgun gestita: a differenza di un'installazione self-hosted di Ghost, quindi, non inserisci mai una chiave API o una regione di Mailgun. Di base la posta parte dal dominio di invio condiviso ghost.io di Ghost, ed è per questo che gli iscritti vedono “newsletter@yourdomain.com via ghost.io”. Per inviare con il tuo dominio devi attivare un Custom sending domain (piano Publisher o superiore): Ghost Admin genera un piccolo gruppo di record DNS specifici per il tuo account (un record DKIM e un record SPF su un sottodominio di invio dedicato) da copiare nel tuo DNS, più un record DMARC che aggiungi tu (Ghost ne richiede la presenza). Non esiste un'unica riga SPF condivisa da incollare sul dominio radice: i record sono specifici del tuo account e li trovi in Ghost Admin. Una volta verificati i record, Ghost firma le newsletter con il tuo dominio, DKIM si allinea, DMARC viene superato e l'etichetta “via ghost.io” scompare, dopo un warm-up automatico della reputazione di ~6 settimane. Gli stessi record autenticano anche le email transazionali di Ghost per membri e staff, che passano subito al tuo dominio.
Perché autenticare Ghost (Pro)?
Configurare un dominio di invio personalizzato è ciò che sposta la tua newsletter dalla reputazione condivisa di Ghost alla tua, ed è un passaggio sempre meno facoltativo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso un'applicazione simile delle regole a Outlook/Hotmail/Live: una newsletter è esattamente il tipo di posta ad alto volume a cui puntano queste regole. Finché non configuri un dominio di invio personalizzato, Ghost(Pro) invia ogni numero da ghost.io: i destinatari vedono la nota “via ghost.io”, SPF e DKIM si allineano a ghost.io anziché al tuo dominio, il DMARC del tuo dominio non trae alcun vantaggio da quella posta e la reputazione di invio che costruisci finisce in comune con tutte le altre pubblicazioni sul dominio condiviso di Ghost. Un dominio di invio personalizzato risolve il cuore del problema: Ghost firma le newsletter con DKIM sul tuo sottodominio di invio (che si allinea al tuo dominio organizzativo), il tuo indirizzo From diventa crittograficamente tuo, DMARC viene superato e la reputazione si accumula a tuo favore. C'è una sfumatura specifica di Ghost che vale la pena conoscere: questi record non coprono solo le newsletter. Anche le email transazionali per membri e staff (accesso con magic link, ricevute delle iscrizioni a pagamento, inviti allo staff, notifiche dei commenti) passano al tuo dominio di invio personalizzato, e lo fanno subito, senza warm-up. Per le newsletter vale il contrario: Ghost ne fa il warm-up in modo graduale, quindi per circa sei settimane una parte di ogni numero parte ancora tramite ghost.io, anche se la tua posta transazionale è già completamente autenticata sul tuo dominio.
Come funziona davvero SPF con Ghost (Pro)
Ghost(Pro) è un mittente per singolo account, non un provider con include condiviso: non esiste un “include:ghost.io” né un'unica riga SPF che ogni cliente incolla sul proprio dominio radice. Poiché dietro le quinte Ghost usa un proprio Mailgun gestito, i record che ti fornisce in Ghost Admin hanno il formato di Mailgun e sono unici per il tuo sottodominio di invio: un record DKIM più un TXT SPF con v=spf1 include:mailgun.org ~all. Il punto critico è DOVE vanno: su un sottodominio di invio dedicato indicato da Ghost (per esempio un host send. o mail.), mai nell'SPF del dominio radice. Questo conta per due motivi. Primo, la posta quotidiana delle tue caselle, cioè you@yourdomain.com su Google Workspace, Microsoft 365 o altrove, mantiene del tutto intatti i propri SPF e DKIM radice; Ghost(Pro) non ospita la tua casella e i suoi record non entrano in conflitto con quelli del tuo provider di posta. Secondo, include:mailgun.org è pesante: verificato sul DNS reale, si espande in circa cinque ricerche DNS annidate, perché una sola riga copre gli intervalli di Mailgun per USA e UE. Tenuto sul sottodominio di invio, quel peso resta nel record SPF del sottodominio e non consuma nulla del limite di 10 ricerche RFC 7208 del tuo dominio radice: è proprio per questo che non devi copiare include:mailgun.org sul dominio radice. (Con Ghost self-hosted è diverso: lì usi il tuo account Mailgun, inserisci regione, dominio e chiave API privata in Settings → Email newsletter e poi aggiungi tu stesso lo stesso tipo di record. Su Ghost(Pro), l'account Mailgun è di Ghost, che ti dà semplicemente i record DNS da pubblicare.)
Passo dopo passo
- 1
Conferma il piano e il dominio personalizzato
Su Ghost(Pro) i domini di invio personalizzati richiedono il piano Publisher o superiore, e l'opzione compare solo se alla tua pubblicazione è già collegato un dominio personalizzato (non l'URL predefinito yoursite.ghost.io). Se sei sul piano Starter, passa prima a un piano superiore; se usi ancora l'URL ghost.io, collega il tuo dominio personalizzato, altrimenti questa opzione non comparirà.
- 2
Apri Custom sending domain → Set up
Vai nell'area Ghost(Pro) → Domain di Ghost Admin, trova la sezione Custom sending domain e fai clic su Set up. Ghost ricava un sottodominio di invio dedicato per le tue newsletter e mostra i record DNS esatti da pubblicare: sono specifici del tuo account, quindi copiali da questa schermata e non da un tutorial generico.
- 3
Copia i record DKIM e SPF
Ghost mostra i record da aggiungere: un record DKIM su un host <selector>._domainkey sotto il tuo sottodominio di invio e un TXT SPF (v=spf1 include:mailgun.org ~all) su quel sottodominio. Copia ogni host e valore esattamente come sono: il selettore DKIM e la destinazione sono unici per il tuo account e non si possono indovinare.
- 4
Aggiungi il record DKIM sul sottodominio di invio
Presso il tuo provider DNS, crea il record DKIM esattamente come lo mostra Ghost. Nella maggior parte degli account è un CNAME che delega la chiave a Mailgun (così Ghost può ruotarla per te); alcuni account mostrano invece un TXT DKIM (k=rsa; p=…). Pubblica quello che ti dà Ghost, senza modificarlo e senza cambiare il tipo di record.
- 5
Aggiungi il record SPF sul sottodominio di invio
Aggiungi il TXT SPF (v=spf1 include:mailgun.org ~all) sul sottodominio di invio indicato da Ghost, NON sul dominio radice. Se per qualche motivo quel sottodominio ha già un record SPF, unisci l'include a quel record; non pubblicare mai due record SPF sullo stesso host (è un PermError). L'SPF radice delle tue caselle abituali resta esattamente com'è.
- 6
Disattiva il proxy di Cloudflare sui CNAME
Se il tuo DNS è su Cloudflare e il record DKIM è un CNAME, impostalo su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in Mailgun e la verifica di Ghost continuerà a fallire.
- 7
Pubblica il record DMARC (obbligatorio)
Ghost non crea il DMARC per te, ma ne richiede la presenza per attivare il dominio di invio personalizzato: aggiungi un record TXT su _dmarc nel dominio radice. L'esempio di Ghost è v=DMARC1; p=none; ma, per renderlo utile, aggiungi un indirizzo per i report: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla mentre confermi l'allineamento. Tieni esattamente un record _dmarc per l'intero dominio.
- 8
Attendi le spunte verdi in Ghost Admin
Torna alla schermata Custom sending domain: Ghost controlla i record. Una spunta verde significa rilevato, un punto esclamativo rosso significa non ancora. Di solito la propagazione richiede da 15 minuti a 24 ore; ricontrolla la schermata se un record è ancora rosso.
- 9
Invia una prova e tieni conto del warm-up
Inviati una newsletter di prova e aprila con Show original: devi vedere DKIM: PASS firmato dal tuo sottodominio di invio, SPF: PASS e DMARC: PASS, senza “via ghost.io”. Importante: per circa le prime sei settimane Ghost fa il warm-up del nuovo sottodominio inviando una parte di ogni newsletter da ghost.io, quindi per alcuni destinatari (e persino nella tua prova) potrebbe comparire ancora ghost.io in quel periodo: è previsto, non significa che un record non funzioni. Un'email di magic link per i membri, invece, parte già dal tuo dominio: la posta transazionale salta il warm-up.
Record da aggiungere
Ghost (Pro) genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | send | v=spf1 include:mailgun.org ~allSPF sul sottodominio di invio dedicato indicato da Ghost (host di esempio: copia il sottodominio esatto da Ghost Admin). Va sul sottodominio, NON nell'SPF radice. include:mailgun.org è l'include condiviso di Mailgun, perché è Ghost a gestire Mailgun per te. |
| CNAME | krs._domainkey.send | krs._domainkey.<account>.dkim.mailgun.orgDKIM: delegato a Mailgun, così le chiavi ruotano in automatico. Valori di esempio: il selettore (es. krs / k1 / un token casuale) e la destinazione sono unici per il tuo account e li trovi in Ghost Admin. Alcuni account pubblicano invece un TXT DKIM (k=rsa; p=…): usa ciò che mostra Ghost. |
| CNAME | email.send | mailgun.orgTracciamento facoltativo di aperture e clic sul tuo dominio. Aggiungilo solo se compare in Ghost Admin; su Cloudflare imposta la nuvola grigia. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Ghost non lo crea mai, ma ne richiede la presenza per attivare il dominio di invio personalizzato. Uno per dominio, sul dominio radice; parti da p=none. L'esempio di Ghost usa la forma minima v=DMARC1; p=none;. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Ghost (Pro).
La configurazione consigliata di Ghost (Pro) aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è il meccanismo portante per le newsletter di Ghost(Pro), perché è quello che si allinea al tuo dominio e porta con sé il superamento di DMARC. Quando attivi il dominio di invio personalizzato, Ghost (tramite il suo Mailgun gestito) genera una chiave DKIM per il tuo account sul sottodominio di invio e ti mostra il record da pubblicare su un host <selector>._domainkey sotto quel sottodominio. Nella maggior parte degli account si tratta di un CNAME che delega la chiave a Mailgun: essendo un CNAME e non una chiave statica da incollare, Mailgun custodisce la chiave privata e può ruotare la chiave pubblica a 2048 bit pubblicata dietro quel selettore senza che tu debba più modificare il DNS. Alcuni account mostrano invece un TXT DKIM statico (k=rsa; p=<long base64 public key>), che funziona allo stesso modo ma resta fisso finché non lo rigeneri. In entrambi i casi le newsletter in uscita sono firmate con d=<your-sending-subdomain> e, poiché l'allineamento DMARC relaxed tratta un sottodominio e il suo dominio padre come lo stesso dominio organizzativo, quella firma DKIM si allinea al tuo indirizzo From su yourdomain.com e soddisfa DMARC. Copia selettore e valore esattamente come li mostra Ghost (sono specifici del tuo account e non si possono indovinare) e, se il tuo DNS è su Cloudflare, imposta il CNAME DKIM su “DNS only” perché si risolva. Su Ghost(Pro) non devi mai generare, conservare o ruotare la chiave: è compito del Mailgun gestito da Ghost.
DMARC
DMARC è un record di policy separato che Ghost non pubblica per te, e su Ghost(Pro) è obbligatorio: per attivare il dominio di invio personalizzato Ghost richiede un record DMARC sul tuo dominio, quindi non è un extra facoltativo. Aggiungilo presso il tuo provider DNS sul dominio radice, su _dmarc.yourdomain.com. La guida di Ghost mostra la forma minima v=DMARC1; p=none; ma conviene includere un indirizzo per i report, così impari davvero qualcosa: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre usi i report aggregati (rua) per confermare che le newsletter di Ghost (e ogni altro mittente del tuo dominio) superino DKIM con allineamento al tuo dominio. Poiché un record DMARC sul dominio radice governa già i sottodomini tramite la regola del dominio organizzativo, questo solo record copre anche il tuo sottodominio di invio: non aggiungere un secondo _dmarc sul sottodominio. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti servizi usi per inviare. Quando i report mostrano per una o due settimane Ghost come sorgente costante e allineata (ricordando che, durante il warm-up di ~6 settimane, tra le sorgenti comparirà anche ghost.io), rafforza la policy passando da p=none a p=quarantine e infine a p=reject: è questo che impedisce davvero agli aggressori di fare spoofing del tuo dominio.
Verifica che funzioni davvero
Non fidarti solo delle spunte verdi di Ghost: confermano che i record si risolvono, non che una vera newsletter sia autenticata. Inviati un numero di prova, aprilo in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS firmato dal tuo sottodominio di invio (non da ghost.io), SPF: PASS e DMARC: PASS, e la nota “via ghost.io” non deve più comparire nella riga del mittente. L'unica avvertenza specifica di Ghost: durante il warm-up della reputazione, che dura circa sei settimane, Ghost continua deliberatamente a inviare una parte di ogni newsletter da ghost.io, quindi un test iniziale o le segnalazioni di alcuni iscritti che mostrano ghost.io sono un comportamento previsto, non un errore di configurazione, e la cosa si risolve da sola al termine del warm-up. Fai il test con una vera newsletter, non con un'email di magic link: la posta transazionale passa subito al tuo dominio di invio, quindi supererà i controlli prima che le newsletter abbiano finito il warm-up. Analizza il tuo sottodominio di invio con il check-up del dominio di Qualisend per confermare che i record DKIM, SPF e DMARC si risolvano tutti correttamente e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: il tuo sottodominio di invio Ghost/Mailgun dovrebbe comparire come sorgente allineata che supera i controlli (insieme a ghost.io finché il warm-up è in corso).
Insidie comuni
- Copertura
Ghost(Pro) non è Ghost self-hosted. Su Ghost(Pro) non inserisci mai una chiave API, una regione o un dominio di Mailgun: l'account Mailgun è di Ghost, che lo configura per te. I campi Mailgun in Settings → Email newsletter riguardano le installazioni self-hosted; su Ghost(Pro) segui invece il flusso Custom sending domain e devi intervenire solo sui record DNS.
- Configurazione DNS
La funzione non è per tutti: i domini di invio personalizzati richiedono il piano Publisher o superiore E un dominio personalizzato già collegato alla pubblicazione. Sul piano Starter, o finché usi un URL yoursite.ghost.io, il pulsante Set up semplicemente non compare.
- Copertura
Il warm-up di ~6 settimane è normale. Dopo la verifica dei record, Ghost continua a inviare una parte di ogni newsletter da ghost.io mentre costruisce la reputazione del nuovo sottodominio: che “via ghost.io” resti per settimane (e compaia nei primi test) è previsto, non significa che un record non funzioni. Non rifare il DNS per questo motivo.
- Copertura
Autentica anche la posta transazionale, non solo le newsletter. Anche le email per membri e staff (accesso con magic link, ricevute delle iscrizioni, inviti allo staff, notifiche dei commenti) passano al tuo dominio di invio personalizzato e, a differenza delle newsletter, lo fanno subito, senza warm-up. Un'email di magic link mostrerà quindi da subito il tuo dominio: è previsto, ma non significa che le newsletter abbiano finito la migrazione. Valuta la migrazione su una vera newsletter, non su un'email di accesso.
- Copertura
Ghost(Pro) non ospita la tua casella. La tua posta quotidiana you@yourdomain.com sta su Google Workspace, Microsoft 365 o simili, con SPF, DKIM e DMARC radice propri. I record di Ghost vanno su un sottodominio di invio separato: aggiungerli non deve toccare né sovrascrivere l'SPF radice o il DKIM del tuo provider di posta.
- Fa fallire l'autenticazione
Non mettere mai include:mailgun.org nell'SPF del dominio RADICE. Va solo sul sottodominio di invio indicato da Ghost. Sul dominio radice non serve a nulla per l'allineamento della newsletter e brucia circa cinque delle tue 10 ricerche SPF (copre gli intervalli di Mailgun per USA e UE): tienilo del tutto fuori dal dominio radice.
- Configurazione DNS
Il proxy di Cloudflare rompe il CNAME DKIM: impostalo su “DNS only” (nuvola grigia); un CNAME con proxy attivo (nuvola arancione) non si risolve in Mailgun e la verifica di Ghost resta rossa. Fai attenzione anche al dominio duplicato nel campo host: inserisci solo l'etichetta mostrata da Ghost (il selettore _domainkey sotto il tuo sottodominio), non il dominio completo, se il pannello aggiunge il dominio per te.
Crea il tuo record SPF
Ghost (Pro) non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Ghost (Pro): domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.