SPF, DKIM e DMARC per GoDaddy.
GoDaddy Professional Email, oggi venduta come “Professional Email, powered by Titan”, autentica il tuo dominio con tre normali record DNS, senza procedura guidata: un record TXT SPF con l'include condiviso di GoDaddy include:secureserver.net, due CNAME DKIM (secureserver1._domainkey e secureserver2._domainkey) delegati a GoDaddy e una policy DMARC su _dmarc. C'è una particolarità tutta di GoDaddy: da aprile 2025 inserisce automaticamente DKIM e un record DMARC predefinito sui domini acquistati o trasferiti in GoDaddy, quindi parte della configurazione potrebbe essere già fatta prima che tu tocchi qualcosa. Se GoDaddy ospita sia il tuo DNS sia le tue caselle, può applicare i record per te; se il tuo DNS è altrove, copi i valori dalla Email & Office Dashboard e li aggiungi a mano.
Perché autenticare GoDaddy?
Autenticare la posta ospitata su GoDaddy è ciò che decide se raggiunge la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM, e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) anche di pubblicare una policy DMARC con allineamento; a maggio 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com e Hotmail. Finché SPF e DKIM non si allineano entrambi al tuo dominio, la posta GoDaddy è riconducibile a te solo debolmente, DMARC non può essere superato e l'autenticazione dei messaggi inoltrati crolla. GoDaddy aggiunge un secondo motivo, autoinflitto, per fare le cose bene: sui domini nuovi e trasferiti ora pubblica un record DMARC predefinito con p=quarantine, quindi il giorno in cui colleghi al tuo dominio un CRM, un plugin per moduli di contatto o uno strumento per newsletter senza autenticarlo, quella posta finisce attivamente nello spam per colpa della tua stessa policy. Configurare bene SPF, DKIM e DMARC allinea i tuoi veri mittenti, fa lavorare la policy quarantine a tuo favore e non contro di te, e costruisce la reputazione di invio sotto il tuo dominio.
Come funziona davvero SPF con GoDaddy
GoDaddy Professional Email è un vero provider con “include”: aggiungi un solo meccanismo condiviso, include:secureserver.net, all'unico record TXT SPF del tuo dominio radice. GoDaddy lo pubblica come v=spf1 include:secureserver.net -all. Poiché la tua casella GoDaddy invia con una busta (Return-Path) sul tuo dominio, SPF si allinea davvero e contribuisce al superamento di DMARC, non solo DKIM. Due aspetti rendono insolito l'SPF di GoDaddy. Primo, è costoso: secureserver.net NON si appiattisce direttamente in intervalli IP ma si annida, secureserver.net → include:spf-0.secureserver.net → include:spf.protection.outlook.com, quindi consuma TRE delle 10 ricerche DNS SPF consentite, mentre Google Workspace e Microsoft 365 ne costano solo una ciascuno. Aggiungi qualsiasi altro mittente e puoi avvicinarti in fretta al limite di 10 ricerche della RFC 7208 che causa un PermError. Secondo, include:secureserver.net autorizza la posta ospitata da GoDaddy (Professional Email / Titan e hosting GoDaddy Linux/cPanel) e nient'altro. Molti domini “GoDaddy” in realtà inviano tramite Microsoft 365 (anche quando l'abbonamento è stato acquistato da GoDaddy) o Google Workspace: questi richiedono invece include:spf.protection.outlook.com o include:_spf.google.com, e lasciare secureserver.net al suo posto spreca tre ricerche e autorizza server da cui non invii mai. Un'ultima cosa: il prodotto di email marketing di GoDaddy (GoDaddy Digital Marketing / campagne) usa un include diverso, senza annidamenti, include:spf.em.secureserver.net, che non è la stessa cosa della posta delle caselle. Qualunque sia il tuo mix, tieni esattamente un record SPF e unisci ogni meccanismo in quell'unica riga v=spf1.
Passo dopo passo
- 1
Conferma che sia davvero GoDaddy a inviare la tua posta
include:secureserver.net va sul tuo dominio solo se le tue caselle sono GoDaddy Professional Email / Titan o se invii da un hosting GoDaddy Linux/cPanel. Se sei passato a Microsoft 365 o Google Workspace (anche acquistati da GoDaddy), salta del tutto secureserver.net e usa invece include:spf.protection.outlook.com o include:_spf.google.com. Usare l'include sbagliato è l'errore di autenticazione più comune su GoDaddy.
- 2
Controlla cosa ha già pubblicato GoDaddy
Sui domini acquistati o trasferiti in GoDaddy dopo aprile 2025, GoDaddy aggiunge automaticamente i due CNAME DKIM e un record DMARC predefinito (p=quarantine). Apri Manage DNS e cerca i CNAME secureserver1._domainkey / secureserver2._domainkey esistenti e un TXT _dmarc prima di aggiungere qualcosa, così modifichi quei record invece di creare duplicati in conflitto.
- 3
Recupera i valori esatti dei record
Accedi alla Email & Office Dashboard (email.godaddy.com) con nome utente e password GoDaddy. Se GoDaddy ospita il tuo DNS, può applicare automaticamente i record SPF e DKIM. Se il tuo DNS è altrove, la dashboard (e l'articolo di assistenza di GoDaddy su Professional Email) ti fornisce il valore SPF e le due destinazioni CNAME secureserver._domainkey, uniche per il tuo account, da copiare e aggiungere a mano.
- 4
Apri l'editor DNS
Per il DNS ospitato su GoDaddy, accedi e apri il tuo Domain Portfolio (gli account più vecchi lo chiamano My Products), seleziona il dominio di invio e apri Domain → DNS (Manage DNS). Vedrai una tabella con i record esistenti; usa Add New Record per crearli uno a uno. Tieni presente la convenzione di GoDaddy per il campo Name: aggiunge automaticamente il tuo dominio, quindi inserisci la parte che lo precede (@ per il dominio radice), mai il nome host completo.
- 5
Aggiungi o unisci il record SPF
Type TXT, Name @ (l'abbreviazione di GoDaddy per il dominio radice), Value v=spf1 include:secureserver.net -all. Se esiste già un record SPF, NON aggiungerne un secondo: modifica il record esistente e unisci include:secureserver.net a quell'unica riga v=spf1. Avere due record SPF è un PermError e fa fallire SPF in silenzio.
- 6
Aggiungi i due CNAME DKIM
Type CNAME per entrambi. Primo record: Name secureserver1._domainkey, Value = la prima destinazione dalla tua dashboard. Secondo record: Name secureserver2._domainkey, Value = la sua destinazione. Imposta il TTL su 1 Hour. Se GoDaddy li ha già creati su un dominio acquisito dopo aprile 2025, conferma solo che i valori corrispondano, senza duplicarli. Poiché sono CNAME delegati a GoDaddy, GoDaddy custodisce le chiavi private e può ruotarle senza che tu debba modificare di nuovo il DNS.
- 7
Imposta (o riprenditi) il record DMARC
Type TXT, Name _dmarc, Value v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com per partire in modalità di monitoraggio. Particolarità cruciale di GoDaddy: il DMARC predefinito inserito da GoDaddy invia i report aggregati a rua=mailto:dmarc_rua@onsecureserver.net, cioè i report vanno a GoDaddy, non a te. Modifica il record in modo che rua punti alla tua casella o a un analizzatore DMARC. Tieni p=quarantine solo se tutti i mittenti sono già autenticati; scendi a p=none mentre stai ancora allineando i mittenti, così non metti in quarantena la posta legittima.
- 8
Attendi la propagazione, poi testa su un messaggio reale
Di solito le modifiche al DNS di GoDaddy diventano effettive entro un'ora, ma possono richiedere fino a 48 ore. Invia un messaggio dalla tua casella GoDaddy a un account Gmail, aprilo e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS firmato da yourdomain.com (selettore secureserver1 o secureserver2) e DMARC: PASS, tutti allineati al tuo dominio e non a secureserver.net.
- 9
Conferma i record e tieni d'occhio le ricerche
Analizza il dominio con il check-up del dominio di Qualisend e con il controllo autenticazione email per confermare che ogni record si risolva. Fai attenzione al conteggio delle ricerche SPF: secureserver.net da solo consuma tre delle tue 10 ricerche, quindi se invii anche tramite altri strumenti puoi raggiungere il limite. Appiattisci o elimina gli include inutilizzati. Quando i report DMARC arrivano al tuo indirizzo rua, caricali nell'analizzatore di report per confermare che GoDaddy compaia come sorgente allineata che supera i controlli.
Record da aggiungere
GoDaddy genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:secureserver.net -allSPF radice per GoDaddy Professional Email / Titan. Tieni esattamente un record SPF: unisci gli altri mittenti in questa riga. Questo include costa 3 ricerche DNS (annida secureserver.net → spf-0.secureserver.net → spf.protection.outlook.com). |
| CNAME | secureserver1._domainkey | <unique-target-1>.dkim.secureserver.netValore di esempio: GoDaddy genera la destinazione CNAME esatta per ogni account. Copia il valore reale dalla tua Email & Office Dashboard. TTL 1 Hour. |
| CNAME | secureserver2._domainkey | <unique-target-2>.dkim.secureserver.netValore di esempio: secondo selettore DKIM, anch'esso specifico per account. Copia la destinazione esatta dalla tua dashboard. TTL 1 Hour. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUn solo record DMARC per dominio. GoDaddy potrebbe averne già aggiunto uno con p=quarantine e rua=mailto:dmarc_rua@onsecureserver.net (i report vanno a GoDaddy): modificalo in modo che rua punti al tuo indirizzo. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di GoDaddy.
GoDaddy occupa 3 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM per GoDaddy Professional Email è delegato, non incollato. Pubblichi due record CNAME, secureserver1._domainkey e secureserver2._domainkey, ciascuno dei quali punta a una destinazione specifica per il tuo account che termina con secureserver.net; GoDaddy custodisce le chiavi private corrispondenti e firma con esse la tua posta in uscita. Poiché sono CNAME delegati a GoDaddy e non record TXT di tua proprietà, GoDaddy può ruotare le chiavi pubblicate dietro quei due selettori senza che tu debba più modificare il DNS. Sia la Professional Email classica sia la più recente Professional Email powered by Titan usano gli stessi selettori secureserver1 / secureserver2. Sui domini acquistati o trasferiti in GoDaddy dopo aprile 2025, GoDaddy aggiunge automaticamente questi due CNAME per Professional Email, quindi prima di crearli apri Manage DNS e controlla se esistono già (conferma i valori, non duplicarli). Se GoDaddy ospita il tuo DNS e le tue caselle, spesso tutto viene applicato per te; solo quando il tuo DNS è altrove copi le due destinazioni esatte dalla Email & Office Dashboard e le aggiungi a mano. Non digitare il nome host completo nel campo Name: GoDaddy aggiunge il tuo dominio, quindi inserisci secureserver1._domainkey, non secureserver1._domainkey.yourdomain.com.
DMARC
DMARC è un record di policy separato su _dmarc.yourdomain.com, e GoDaddy è uno dei pochi registrar che ne pubblica uno per te. Da aprile 2025 ogni dominio acquistato o trasferito in GoDaddy riceve nella zona un record DMARC predefinito con p=quarantine, quindi la posta che non supera i controlli finisce già nello spam, con i report aggregati (rua) diretti all'indirizzo di GoDaddy, dmarc_rua@onsecureserver.net, non al tuo. (GoDaddy ha avviato la distribuzione con p=reject e a metà percorso ha ammorbidito la policy in p=quarantine, quindi un dominio più vecchio potrebbe avere ancora la policy più dura: controlla il tuo.) Ne derivano due cose. Primo, riprenditi i report: modifica il record in modo che rua punti alla tua casella o a un analizzatore DMARC, altrimenti non vedrai mai chi invia con il tuo dominio. Secondo, scegli la policy con consapevolezza. Se tutti i mittenti legittimi sono autenticati e allineati, tenere p=quarantine (e in seguito passare a p=reject) è esattamente la scelta giusta. Se invece stai ancora allineando i mittenti, imposta temporaneamente p=none, così la policy quarantine predefinita non manda silenziosamente nello spam la tua posta reale finché non hai finito. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi, e ricorda che il controllo resta tuo: il record inserito da GoDaddy è un normale record TXT modificabile, non qualcosa di bloccato.
Verifica che funzioni davvero
Non fidarti solo della dashboard di GoDaddy o dei record inseriti in automatico: verifica su un messaggio reale. Invia dalla tua casella GoDaddy a un account Gmail, apri il messaggio e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS con signed-by: yourdomain.com (selettore secureserver1 o secureserver2) e DMARC: PASS, tutti allineati al tuo dominio e non a secureserver.net. Preferisci un report completo? Invia un'email di prova a check-auth@verifier.port25.com e ti risponderà con un'analisi dettagliata. Puoi controllare i record grezzi con dig TXT yourdomain.com, dig CNAME secureserver1._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Su GoDaddy la propagazione richiede di solito meno di un'ora, ma può arrivare a 48. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e, cosa importante per GoDaddy, che la catena di tre ricerche di secureserver.net non abbia spinto il tuo SPF oltre il limite di 10 ricerche; quando i report arrivano al tuo indirizzo rua, caricane uno nell'analizzatore di report DMARC per confermare che GoDaddy sia una sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
include:secureserver.net costa 3 ricerche SPF, non 1: annida secureserver.net → spf-0.secureserver.net → spf.protection.outlook.com. Insieme a qualsiasi altro mittente (Google, Mailchimp, un ESP), questa catena da sola può avvicinarti al limite di 10 ricerche che causa un PermError, oltre il quale SPF smette di funzionare in silenzio.
- Copertura
secureserver.net è l'include SBAGLIATO se in realtà invii tramite Microsoft 365 (anche con un abbonamento acquistato da GoDaddy) o Google Workspace. Usa invece include:spf.protection.outlook.com o include:_spf.google.com: tenere secureserver.net autorizza server da cui non invii e non allinea la tua posta reale.
- Copertura
Da aprile 2025 GoDaddy inserisce in silenzio un record DMARC predefinito sui domini nuovi e trasferiti, con p=quarantine e rua diretto a dmarc_rua@onsecureserver.net: la posta che non supera i controlli viene già messa in quarantena e i report vanno a GoDaddy, non a te. Modifica il record per aggiungere il tuo rua.
- Copertura
Il valore predefinito p=quarantine può mandare direttamente nello spam, senza avvisi, posta legittima ma non autenticata (un CRM, un plugin per moduli, uno strumento per newsletter che avevi dimenticato). Fai l'inventario di tutti i mittenti e allineali uno a uno prima di fidarti della policy predefinita.
- Fa fallire l'autenticazione
È consentito un solo record SPF per dominio. Un secondo record TXT v=spf1 è un PermError che fa fallire completamente SPF: unisci sempre i meccanismi al record esistente, non aggiungerne mai uno parallelo.
- Copertura
Attenzione alla convenzione Name/@ di GoDaddy: aggiunge automaticamente il tuo dominio. Inserisci @ per l'SPF radice, secureserver1._domainkey (non l'FQDN completo) per DKIM e _dmarc per DMARC. Se digiti il dominio completo, viene aggiunto due volte (es. _dmarc.yourdomain.com.yourdomain.com).
- Fa fallire l'autenticazione
Se i tuoi nameserver puntano altrove (Cloudflare, Route 53, il tuo web host), modificare il DNS in GoDaddy non ha alcun effetto: aggiungi i record là dove puntano davvero i tuoi nameserver. Controlla prima i nameserver del dominio.
- Copertura
L'SPF predefinito di GoDaddy termina con -all (hard fail), che è sicuro solo se secureserver.net è il tuo UNICO mittente. Aggiungi prima al record tutti gli altri servizi di invio, oppure usa ~all mentre consolidi, così non fai andare in hard fail la posta legittima.
Crea il tuo record SPF
GoDaddy è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per GoDaddy: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.