SPF, DKIM e DMARC per Gladly.
Gladly è una piattaforma di assistenza clienti, non un ESP per invii ad alto volume: gestisce il canale email del tuo team di supporto, invia le risposte degli agenti dal tuo indirizzo di assistenza e riceve i messaggi dei clienti tramite inoltro. Dietro le quinte Gladly invia ogni risposta in uscita attraverso Mailgun, ed è per questo che autenticare il tuo dominio significa pubblicare due record DNS generati da Gladly nelle sue impostazioni Email: una riga SPF che contiene include:mailgun.org e un TXT DKIM con la chiave pubblica. Li aggiungi entrambi al DNS del tuo dominio di invio, attendi fino a 72 ore che Gladly passi il dominio da Unverified a Verified, poi contatti il supporto Gladly per collegare il tuo indirizzo reply-to e configurare l'inoltro in entrata. Dopo la verifica, le risposte escono da Gladly completamente autenticate e allineate al tuo dominio, invece di ripiegare su una busta non autenticata.
Perché autenticare Gladly?
Per una piattaforma di assistenza, l'autenticazione conta più che per uno strumento di marketing: ogni messaggio è una risposta individuale (1:1) che un cliente sta aspettando, quindi un messaggio che finisce nello spam o genera un bounce è un fallimento del supporto, non solo un'apertura mancata. Da febbraio 2024 Gmail e Yahoo richiedono ai mittenti di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare regole simili ai mittenti di grandi volumi verso Outlook/Hotmail; anche sotto queste soglie, gli stessi controlli sono ormai il minimo indispensabile per raggiungere la posta in arrivo. Finché non aggiungi e verifichi il tuo dominio in Gladly, le risposte partono con una busta non autenticata: i server dei destinatari non possono verificare che la posta arrivi davvero da te, SPF e DKIM non si allineano al tuo dominio, DMARC non può essere superato e la reputazione della tua posta di assistenza finisce in comune con quella di tutti gli altri. La verifica del dominio risolve tutto in un colpo solo: poiché Gladly (tramite Mailgun) usa il tuo dominio nella busta SMTP e firma DKIM come d=yourdomain, sia SPF sia DKIM si allineano al tuo dominio organizzativo, DMARC viene superato e la reputazione di invio che costruisci si accumula a tuo favore.
Come funziona davvero SPF con Gladly
Gladly è un vero provider con include SPF, perché invia tramite Mailgun: pubblichi v=spf1 include:mailgun.org ~all (o unisci include:mailgun.org alla tua riga v=spf1 esistente) nell'unico record SPF del tuo dominio di invio. Gladly genera questo valore esatto nella schermata View SPF and DKIM Values: a differenza degli ESP con delega CNAME (SendGrid, Klaviyo, Mailchimp), non c'è alcun CNAME che soddisfi SPF per conto tuo e il TXT lo incolli tu. L'insidia importante è che include:mailgun.org è insolitamente pesante. Verificato sul DNS reale, si risolve in cinque ricerche annidate: mailgun.org pubblica include:_spf.mailgun.org (che a sua volta annida _spf1 e _spf2) più include:_spf.eu.mailgun.org, così una sola riga copre le regioni di invio USA e UE, e un solo include consuma la metà del limite di 10 ricerche RFC 7208. E poiché Gladly invia dal tuo vero indirizzo di assistenza (support@yourdomain.com), quell'include pesante finisce di solito nell'SPF del tuo dominio organizzativo, accanto a Google Workspace o Microsoft 365. Se il tuo SPF radice è già affollato puoi superare il limite di 10 ricerche e causare un PermError che rompe SPF per tutti i mittenti del record. La soluzione pulita è dare a Gladly un sottodominio di invio dedicato (per esempio help.yourdomain.com), così l'include pesante di Mailgun sta nell'SPF del sottodominio e non tocca mai il dominio radice. Qualunque dominio tu usi, tieni su quel dominio esattamente un record SPF: unisci include:mailgun.org alla riga v=spf1 esistente invece di pubblicare un secondo TXT SPF (avere due record SPF è di per sé un PermError). Una sfumatura importante: per impostazione predefinita Mailgun usa il proprio dominio (mailgun.org) come busta/Return-Path, quindi include:mailgun.org autorizza SPF, ma SPF non si allinea al tuo dominio From. L'allineamento per DMARC è invece affidato a DKIM, che firma come d=yourdomain: è lo stesso modello della maggior parte degli ESP, quindi assicurati che DKIM venga verificato, perché è la parte su cui si regge il superamento di DMARC.
Passo dopo passo
- 1
Apri le impostazioni Email in Gladly
Fai clic sul menu hamburger in alto a sinistra, scegli Settings, poi nella categoria Channels seleziona Email. Ti serve il ruolo Administrator (un Team Manager può aprire una richiesta di assistenza, ma non può modificare i domini). Si apre così la configurazione Email Channel, dove si trovano i domini di invio.
- 2
Aggiungi il dominio di invio
Nella scheda Domains fai clic su Add Domain (oppure, se non ne hai ancora, digitalo nel campo proposto) e inserisci il dominio in minuscolo (es. yourdomain.com o un sottodominio dedicato come help.yourdomain.com), poi fai clic su Save and Continue. Inseriscilo con attenzione: un dominio salvato non si può modificare né eliminare (per correggere un errore di battitura serve un ticket al supporto Gladly) e sono accettate solo le minuscole. Scegli con cognizione di causa tra dominio radice e sottodominio: se il tuo SPF radice contiene già Google Workspace/Microsoft 365 più strumenti di marketing, usa un sottodominio, così il pesante include di Mailgun resta fuori dal record radice.
- 3
Mostra i valori SPF e DKIM
Passa il cursore sul dominio e fai clic su View SPF and DKIM Values (l'etichetta può essere anche Find SPF and DKIM TXT Values). Copia la riga SPF, che contiene include:mailgun.org, e il TXT DKIM, composto da un host <selector>._domainkey e da una chiave pubblica k=rsa; p=…. Questi valori sono generati per ogni dominio, quindi usa esattamente quelli mostrati da Gladly.
- 4
Pubblica o unisci il record SPF
Presso il tuo provider DNS, aggiungi sul dominio di invio un record TXT: host @ (o l'etichetta del sottodominio), valore v=spf1 include:mailgun.org ~all. Se esiste già un record v=spf1, non crearne un secondo: unisci include:mailgun.org a quell'unica riga (es. v=spf1 include:_spf.google.com include:mailgun.org ~all). Tieni esattamente un record SPF per host.
- 5
Pubblica il record TXT DKIM
Aggiungi un record TXT sull'host del selettore mostrato da Gladly (un nome <selector>._domainkey.yourdomain.com, es. smtp._domainkey) con valore k=rsa; p=<long base64 key>. Essendo una chiave a 2048 bit, spesso supera il limite di 255 caratteri per singola stringa TXT: dividila in due stringhe tra virgolette (la maggior parte delle interfacce DNS lo fa in automatico quando incolli una sola riga). Inserisci solo la parte del selettore se il tuo provider aggiunge già il dominio, e controlla che il registrar non aggiunga il dominio due volte.
- 6
Aggiungi un record DMARC (Gladly non lo fa)
Gladly non pubblica mai il DMARC, quindi aggiungi il tuo: un TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none per raccogliere i report e confermare che Gladly e ogni altro mittente superino i controlli con allineamento, poi passa a p=quarantine e infine a p=reject.
- 7
Aggiungi i record MX solo per un sottodominio senza sito
Gladly segnala che un dominio email senza sito web (senza A/CNAME), di solito un sottodominio, può aver bisogno di record MX per funzionare con alcuni server riceventi. Se il tuo dominio di invio è un sottodominio senza sito collegato, aggiungi i record MX del tuo host di posta in entrata. Salta questo passaggio se il dominio si risolve già in un sito web. Questo non reindirizza la posta verso Gladly.
- 8
Verifica in Gladly, poi imposta reply-to e inoltro
Torna in Gladly e ricontrolla entro 72 ore: lo stato di SPF e DKIM passa da Unverified a Verified quando il DNS si è propagato (usa Check Verification Status dal menu kebab per un nuovo controllo). Aggiungi i record circa una settimana prima del lancio, così Gladly ha il tempo di fare i test. Poi contatta il supporto Gladly per configurare il tuo indirizzo reply-to e imposta l'inoltro dal tuo server di posta esistente all'indirizzo generato da Gladly (nel formato localpart@yoursubdomain.inbound.gladly.email), così le risposte in entrata dei clienti raggiungono Gladly: Gladly riceve la posta tramite inoltro, non tramite un MX puntato su Gladly.
- 9
Testa l'allineamento in uscita
Invia una vera risposta da Gladly a una casella che controlli (Gmail va benissimo) e apri Show original o le intestazioni complete. Conferma dkim=pass con d=yourdomain e dmarc=pass. SPF si autentica sul dominio Return-Path di Mailgun (mailgun.org), quindi supera il controllo ma non si allinea: DKIM è il meccanismo allineato che fa superare DMARC. Lo stato Verified in Gladly dimostra solo che i record sono leggibili: è il controllo delle intestazioni a dimostrare l'allineamento.
Record da aggiungere
Gladly genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:mailgun.org ~allSPF per il tuo dominio di invio Gladly (host @ per un dominio radice, oppure l'etichetta del sottodominio). Gladly lo genera in View SPF and DKIM Values. Unisci include:mailgun.org alla riga v=spf1 esistente, se c'è: tieni un solo record SPF. include:mailgun.org consuma ~5 ricerche DNS del limite di 10 di RFC 7208. |
| TXT | <selector>._domainkey.yourdomain.com | k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC... (per-account, truncated)DKIM: valori di esempio. L'etichetta esatta del selettore (spesso smtp) e la chiave pubblica a 2048 bit sono uniche per il tuo dominio e le trovi nella schermata View SPF and DKIM Values di Gladly. Dividi una chiave a 2048 bit in due stringhe tra virgolette se il tuo provider DNS lo richiede, e inserisci solo la parte del selettore se il provider aggiunge il dominio in automatico. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comComplemento DMARC: Gladly non lo crea. Parti da p=none e passa a quarantine/reject dopo aver monitorato i report. Obbligatorio per rispettare le regole di Gmail/Yahoo/Microsoft per i mittenti di grandi volumi. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Gladly.
Gladly occupa 5 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Gladly ti fornisce un record TXT DKIM statico, non un CNAME a rotazione automatica: un host <selector>._domainkey.yourdomain.com (il selettore è spesso smtp) che contiene k=rsa; p=<2048-bit base64 public key>. Gladly (tramite Mailgun) genera la coppia di chiavi, conserva la chiave privata e ti mostra la chiave pubblica da incollare. La posta in uscita è firmata con d= impostato sul tuo dominio di invio, quindi DKIM si allinea in modalità relaxed al tuo dominio organizzativo e consente di superare DMARC. Ci sono due note operative importanti. Primo, una chiave pubblica a 2048 bit di solito supera il limite di 255 caratteri per singola stringa TXT, quindi va divisa in due stringhe tra virgolette: la maggior parte dei pannelli DNS lo fa in automatico quando incolli una sola riga, ma alcuni richiedono di aggiungere le virgolette a mano, e una divisione errata produce dkim=fail anche se il record tecnicamente esiste. Secondo, la rotazione è manuale: a differenza dei moderni CNAME Automatic Sender Security di Mailgun, questa chiave statica non ruota da sola e rigenerarla in Gladly significa modificare di nuovo il TXT nel DNS, quindi considera la rotazione delle chiavi un'attività di manutenzione da pianificare. Copia il selettore esattamente come viene mostrato: un selettore errato o una chiave troncata sono il motivo più comune per cui una configurazione “verde” continua a non superare DKIM.
DMARC
Gladly non pubblica mai un record DMARC: lo aggiungi tu, e ti serve per rispettare le regole per i mittenti di Gmail, Yahoo e Microsoft anche dopo la verifica di SPF e DKIM. Il punto chiave: qui è DKIM a far superare DMARC. Firma come d=yourdomain e si allinea, quindi DMARC viene superato tramite DKIM non appena il record è attivo. SPF si autentica tramite include:mailgun.org ma non si allinea (il Return-Path predefinito di Mailgun è mailgun.org, non il tuo dominio): va bene così, perché a DMARC basta un solo meccanismo allineato, e lo fornisce DKIM. Pubblica un TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:you@yourdomain.com. Parti da p=none per raccogliere i report aggregati e confermare che Gladly e ogni altro mittente legittimo superino i controlli con allineamento, poi passa a p=quarantine e infine a p=reject. Se usi Gladly su un sottodominio dedicato, ricorda che il sottodominio eredita la policy del dominio organizzativo, a meno che tu non pubblichi un record _dmarc sul sottodominio o imposti una policy per i sottodomini con sp= sul dominio padre.
Verifica che funzioni davvero
Dopo che hai aggiunto i record, Gladly ricontrolla il DNS entro 72 ore e passa SPF e DKIM da Unverified a Verified nella schermata Domains (puoi forzare un nuovo controllo con Check Verification Status dal menu kebab). Non fermarti qui: lo stato Verified conferma solo che i record sono leggibili, non che la posta sia allineata. Invia una vera risposta da Gladly a una casella che controlli (Gmail è la più comoda) e apri Show original o le intestazioni complete: devi vedere dkim=pass con d=yourdomain e dmarc=pass. SPF mostrerà spf=pass, autenticato sul Return-Path di Mailgun (mailgun.org), che supera il controllo ma non si allinea: è DKIM a far superare DMARC. Poi analizza il tuo dominio di invio con un controllo esterno di SPF/DKIM/DMARC per confermare che include:mailgun.org si risolva correttamente e che il totale delle ricerche SPF resti sotto 10: è il controllo che intercetta un PermError causato dall'aggiunta del pesante include di Mailgun a un record già affollato. Solo quando l'intestazione mostra tutti e tre allineati il dominio è davvero pronto per la produzione.
Insidie comuni
- Fa fallire l'autenticazione
include:mailgun.org è pesante: verificato sul DNS reale, si risolve in cinque ricerche DNS (mailgun.org annida _spf.mailgun.org, che annida _spf1/_spf2, più _spf.eu.mailgun.org, e copre entrambe le regioni). È metà del limite di 10 ricerche RFC 7208 in un solo include, e poiché Gladly invia dal tuo vero indirizzo di assistenza di solito finisce nell'SPF del tuo dominio organizzativo. Se ci sono già Google Workspace/Microsoft 365 e strumenti di marketing, puoi causare un PermError. Per evitarlo, usa Gladly su un sottodominio di invio dedicato.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF per dominio. Unisci include:mailgun.org alla riga v=spf1 esistente: non pubblicare un secondo TXT SPF, che è di per sé un PermError. L'esempio di Gladly mostra l'unione, es. v=spf1 include:spf.protection.outlook.com include:mailgun.org -all.
- Configurazione DNS
La chiave DKIM è un TXT statico, non un CNAME a rotazione automatica. Una chiave a 2048 bit supera il limite di 255 caratteri per stringa TXT e va divisa in due stringhe tra virgolette (la maggior parte dei provider lo fa in automatico: controlla). Ruotare la chiave significa rigenerarla in Gladly e modificare il DNS a mano.
- Copertura
Aggiungi i record circa una settimana prima del lancio. La verifica DNS può richiedere fino a 72 ore e Gladly ha bisogno di tempo per testare il dominio di invio prima del go-live: lo stato resta Unverified finché entrambi i record non sono confermati.
- Copertura
Un dominio salvato è definitivo: non si può modificare né eliminare e sono accettate solo le minuscole. Un errore di battitura richiede un ticket al supporto Gladly, quindi ricontrolla il dominio prima di fare clic su Save and Continue.
- Copertura
Uscita ed entrata sono due cose distinte. SPF + DKIM autenticano le risposte in uscita; la posta dei clienti in entrata raggiunge Gladly solo dopo che hai impostato l'inoltro dal tuo server di posta a un indirizzo generato da Gladly (localpart@yoursubdomain.inbound.gladly.email), che conserva il From originale. L'inoltro non funziona finché il dominio non è Verified, e Gladly non riceve posta tramite un MX puntato su Gladly.
- Copertura
L'indirizzo reply-to non è in self-service: devi contattare il supporto Gladly per configurarlo, poi impostare l'inoltro anche per quell'indirizzo reply-to, così le risposte tornano in Gladly.
- Configurazione DNS
Gladly non crea mai un record DMARC. Senza un TXT _dmarc non puoi rispettare i requisiti di Gmail/Yahoo/Microsoft per i mittenti di grandi volumi, anche se SPF e DKIM vengono superati: pubblica il tuo e parti da p=none.
- Configurazione DNS
Un sottodominio di invio senza sito web (senza A/CNAME) può aver bisogno di record MX per funzionare con alcuni server riceventi, come Gladly segnala esplicitamente. Attenzione anche ai registrar che aggiungono automaticamente il dominio all'host DKIM, duplicandolo (…_domainkey.yourdomain.com.yourdomain.com).
Crea il tuo record SPF
Gladly è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Gladly: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.