SPF, DKIM e DMARC per Gorgias.
Gorgias non gestisce server di posta propri: quando colleghi un indirizzo di assistenza (come help@yourbrand.com) come integrazione email con inoltro, Gorgias trasmette le risposte dei tuoi agenti per tuo conto tramite un ESP di backend. Quel backend è SendGrid (il predefinito per gli account creati all'incirca da febbraio 2023) oppure Mailgun (account più vecchi), e a ogni account Gorgias ne viene assegnato esattamente uno. Autenticare il dominio dimostra che quelle risposte vengono davvero da te. Nel flusso moderno servono tre record CNAME: due selettori DKIM (gor._domainkey e gor2._domainkey) più un CNAME Return-Path “em”, che delegano all'ESP le chiavi DKIM a rotazione e il sottodominio dei bounce. Non c'è nessuna riga “include” condivisa da incollare sul dominio radice: SPF e DKIM vengono delegati tramite i CNAME. Aggiungi anche un record DMARC e le tue risposte da Gorgias partiranno completamente allineate a nome del tuo dominio, senza alcun avviso “via” e con molte meno email finite nello spam.
Perché autenticare Gorgias?
La posta di Gorgias è assistenza clienti transazionale (conferme d'ordine, aggiornamenti sui rimborsi, domande sulle spedizioni), quindi una risposta finita nello spam è un fallimento dell'assistenza, non solo una metrica. Oggi i provider di posta fanno da filtro: da febbraio 2024 Gmail e Yahoo richiedono ai mittenti di grandi volumi (~5.000+ al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole su Outlook.com/Hotmail ai mittenti di grandi volumi: soglie che un helpdesk e-commerce molto attivo supera facilmente. Finché non verifichi il dominio, Gorgias invia sull'infrastruttura condivisa del suo ESP: il tuo indirizzo From non si allinea, la posta non può superare DMARC, i destinatari possono vedere una nota “on behalf of” e la tua reputazione finisce in comune con quella di tutti gli altri clienti non autenticati di quell'ESP. La verifica allinea DKIM (e, nel percorso CNAME, SPF) al tuo dominio, elimina il tag “via” e fa sì che la reputazione che costruisci vada a beneficio del tuo brand.
Come funziona davvero SPF con Gorgias
L'autenticazione moderna del dominio in Gorgias si basa sui CNAME, quindi per la maggior parte degli account NON c'è alcuna riga “include:...” condivisa da aggiungere al tuo SPF radice. Quando esegui Domain verification, Gorgias ti fornisce tre CNAME: due selettori DKIM (gor._domainkey e gor2._domainkey) che delegano le chiavi a rotazione all'ESP di backend, più un host che inizia con “em” (es. em1234) e che diventa il tuo sottodominio Return-Path/bounce. Poiché pubblichi quell'host em sul TUO dominio (em1234.yourbrand.com) come CNAME che si risolve nello spazio autorizzato SPF dell'ESP, SPF viene superato automaticamente su quel sottodominio e, dato che em1234.yourbrand.com è un sottodominio di yourbrand.com, si allinea in modalità relaxed. Quindi il percorso CNAME ti fa ottenere ENTRAMBI: un pass SPF allineato e un pass DKIM allineato (a differenza di Mailchimp, dove il Return-Path si trova sul dominio del fornitore e può allinearsi solo DKIM). Non aggiungi include:sendgrid.net né include:mailgun.org al dominio radice, e DMARC viene comunque superato con entrambi i meccanismi. Un include sul dominio radice entra in gioco solo nel vecchio percorso basato su TXT: ad alcuni account (di solito più vecchi, con backend Mailgun) vengono mostrati record TXT anziché CNAME, cioè un TXT SPF da unire al tuo dominio radice (contiene l'include dell'ESP, es. include:mailgun.org) più un TXT DKIM. Pubblica ciò che mostra la tua schermata Domain verification: se elenca CNAME, segui i CNAME; se elenca TXT, segui i TXT; non mescolare i due. Tieni presente che molte guide di terze parti (PowerDMARC, Skysnag, OnDMARC) documentano ancora solo il vecchio approccio con include:mailgun.org e alcune sostengono persino che Gorgias non abbia DKIM: sono informazioni superate; se la tua schermata mostra i CNAME gor._domainkey, usali e ignora l'include. In qualunque percorso, tieni esattamente un record TXT SPF sul dominio radice: se invii anche tramite Google Workspace o Microsoft 365, unisci tutto in quell'unico record e non pubblicare mai un secondo record SPF.
Passo dopo passo
- 1
Apri Domain verification dell'integrazione email
Fai clic sull'icona Settings (ingranaggio), poi apri Integrations → Email (la navigazione più recente mostra Channels → Email). Seleziona l'indirizzo collegato da cui invii e apri Domain verification. Vale solo per le integrazioni con inoltro in cui Gorgias trasmette tramite il suo ESP: una casella Gmail o Outlook collegata con OAuth si autentica invece presso Google/Microsoft e non mostra questi record.
- 2
Genera la chiave e individua il tuo backend
Se richiesto, scegli la dimensione della chiave supportata dal tuo registrar DNS (2048 bit dove possibile), poi generala. Ciò che compare ti indica il tuo percorso: tre righe CNAME (due selettori gor._domainkey più un host em) corrispondono al flusso moderno con backend SendGrid; una coppia di righe TXT che iniziano con v=spf e k=rsa corrisponde al vecchio flusso con backend Mailgun. Segui il percorso che Gorgias ti mostra davvero, senza mescolarli.
- 3
Copia i valori esatti dei record
Copia ogni Host/Name e Value esattamente come vengono mostrati: le destinazioni dei selettori e il sottodominio em sono unici per il tuo account. Lascia aperta questa scheda per tornarci e ripetere il controllo quando i record saranno attivi.
- 4
Aggiungi i due CNAME dei selettori DKIM (percorso CNAME)
Presso il tuo provider DNS crea due record CNAME, con host gor._domainkey e host gor2._domainkey, ciascuno dei quali punta alla destinazione esatta mostrata da Gorgias. Due selettori consentono all'ESP di ruotare le chiavi senza interruzioni. Mantieni il tipo di record su CNAME: non cambiarlo in TXT o A.
- 5
Aggiungi il CNAME Return-Path em (percorso CNAME)
Crea un CNAME il cui host inizia con em (es. em1234) e che punta al valore fornito da Gorgias. È il tuo sottodominio Return-Path/bounce ed è ciò che soddisfa SPF: si risolve nello spazio autorizzato SPF dell'ESP, quindi non serve alcun include nell'SPF radice. Su Cloudflare impostalo (insieme ai due CNAME DKIM) su “DNS only” / nuvola grigia.
- 6
Account vecchi/TXT: aggiungi i record TXT SPF e DKIM
Se Gorgias ha mostrato valori TXT anziché CNAME, aggiungi il TXT SPF esattamente come mostrato (contiene l'include dell'ESP, es. v=spf1 include:mailgun.org ~all, quindi unisci quell'include al tuo SPF radice esistente invece di pubblicare un secondo record) e il TXT DKIM sul selettore indicato. Particolarità fondamentale di Gorgias: l'ESP emette queste chiavi DKIM SENZA il tag iniziale v=DKIM1; (il valore spesso inizia con k=rsa;): pubblicalo esattamente come mostrato e non aggiungere tu v=DKIM1, altrimenti la validazione può non riuscire.
- 7
Aggiungi il record DMARC
Gorgias non crea DMARC per te (la sua documentazione mostra un esempio con p=quarantine, ma è meglio partire con una policy più morbida). Aggiungi un record TXT con host _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourbrand.com. p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi l'allineamento. Tieni esattamente un record _dmarc per l'intero dominio.
- 8
Correggi il dominio duplicato e le impostazioni del proxy
Molti registrar aggiungono automaticamente il dominio, quindi inserire gor._domainkey.yourbrand.com produce gor._domainkey.yourbrand.com.yourbrand.com: inserisci solo l'etichetta (gor._domainkey, gor2._domainkey, em1234). Se il tuo DNS è dietro Cloudflare, ogni CNAME deve essere “DNS only” (nuvola grigia); un CNAME con proxy attivo (nuvola arancione) non si risolve nell'ESP e la verifica fallisce.
- 9
Avvia la verifica e attendi
Torna in Gorgias e fai clic su Check Status. Di solito i record si risolvono in pochi minuti, ma Gorgias concede fino a 72 ore per completare la procedura; in genere SPF viene confermato prima di DKIM. Se si blocca, ricontrolla ogni Host/Value per trovare errori di battitura o un dominio duplicato, poi rilancia Check Status.
- 10
Invia una risposta reale e leggi le intestazioni
Da Gorgias, rispondi a un ticket che puoi controllare (o inviati un'email), apri il messaggio in Gmail e scegli ⋮ → Show original. Conferma DKIM: PASS con firma d=yourbrand.com (selettore gor, non il dominio dell'ESP), SPF: PASS e DMARC: PASS, tutti allineati al tuo dominio. Verificare il DNS non basta: l'invio deve partire davvero tramite l'integrazione Gorgias autenticata.
Record da aggiungere
Gorgias genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | gor._domainkey | gor.domainkey.u1234567.wl123.sendgrid.netChiave DKIM 1 (ruotata automaticamente dall'ESP). Valore di esempio: copia la destinazione esatta da Gorgias; gli account più vecchi con backend Mailgun mostrano invece un TXT DKIM. |
| CNAME | gor2._domainkey | gor2.domainkey.u1234567.wl123.sendgrid.netChiave DKIM 2: il secondo selettore consente all'ESP di ruotare le chiavi senza interruzioni. Valore di esempio; copia la destinazione esatta mostrata da Gorgias. |
| CNAME | em1234 | u1234567.wl123.sendgrid.netSottodominio Return-Path/bounce: è questo CNAME a soddisfare SPF (si risolve nello spazio autorizzato SPF dell'ESP). Valore di esempio; usa l'host em e la destinazione esatti mostrati da Gorgias. |
| TXT | @ | v=spf1 include:mailgun.org ~allSolo per account vecchi/TXT (con backend Mailgun): non serve nel percorso CNAME. Pubblica il valore SPF esatto mostrato da Gorgias (contiene l'include dell'ESP, es. include:mailgun.org) e uniscilo al tuo SPF radice esistente; non pubblicare mai un secondo record SPF. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourbrand.comQuesto lo aggiungi tu: Gorgias non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Gorgias.
La configurazione consigliata di Gorgias aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
In Gorgias è DKIM a farti superare DMARC, e la configurazione dipende da ciò che mostra la tua schermata Domain verification. Nel flusso moderno con CNAME, DKIM è composto da due record CNAME (gor._domainkey e gor2._domainkey) che delegano le chiavi pubbliche all'ESP di backend. Poiché sono CNAME (non un valore da incollare), l'ESP conserva le chiavi private e le ruota automaticamente sui due selettori senza che tu debba mai rimettere mano al DNS; pubblicali entrambi esattamente come vengono mostrati, poi avvia la verifica. Una volta verificato il dominio, Gorgias firma le tue risposte come d=yourbrand.com con il selettore gor, quindi DKIM si allinea al tuo dominio organizzativo. Nel vecchio flusso con TXT, invece, DKIM è un singolo record TXT sul selettore fornito da Gorgias, ed ecco l'insidia tipica di Gorgias in cui cadono quasi tutti: l'ESP ti consegna la chiave SENZA il tag iniziale v=DKIM1;. Devi pubblicare il valore esattamente come lo mostra Gorgias (di solito inizia con k=rsa; p=…) e NON anteporre tu v=DKIM1, anche se quasi tutti gli altri record DKIM che hai visto iniziano così. Lo stesso vale se appiattisci questi record tramite un servizio di delega come Valimail, dove potresti dover chiedere all'assistenza di memorizzare la chiave senza il tag. Nel percorso puramente CNAME il problema non si presenta mai, perché deleghi tramite CNAME invece di incollare una chiave grezza. In ogni caso, DKIM si configura per ogni dominio di invio collegato: verifica separatamente ogni integrazione email da cui invii.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio che Gorgias non pubblica per te: la sua documentazione mostra addirittura un esempio con p=quarantine, ma è meglio partire con una policy più morbida. Aggiungi un record TXT su _dmarc.yourbrand.com con v=DMARC1; p=none; rua=mailto:dmarc@yourbrand.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che Gorgias, e ogni altro strumento che invia a nome del tuo dominio, superi SPF e DKIM con allineamento. Poiché il percorso CNAME allinea sia SPF (tramite il sottodominio Return-Path em sul tuo dominio) sia DKIM (tramite il selettore gor), un dominio Gorgias verificato correttamente supera DMARC con entrambi i meccanismi: è la configurazione resiliente che regge anche all'inoltro. Controlla i report per una o due settimane, assicurati che il tuo helpdesk, la posta aziendale (Google Workspace, Microsoft 365) e gli eventuali strumenti di marketing si autentichino tutti, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC solo per Gorgias.
Verifica che funzioni davvero
Non fidarti solo del badge “verified” di Gorgias: confermalo su un messaggio reale, perché il badge può essere in ritardo rispetto al DNS e non ti dice quale dominio ha davvero firmato la posta. Rispondi a un ticket di prova da Gorgias (o inviati un'email), apri il messaggio in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con firma d=yourbrand.com e selettore gor (il segnale tipico del problema è una firma del dominio dell'ESP, che significa che i CNAME non sono stati verificati), SPF: PASS e DMARC: PASS, tutti allineati a yourbrand.com. Preferisci un report completo? Invia una risposta da Gorgias a check-auth@verifier.port25.com e riceverai via email un'analisi dettagliata. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che i due CNAME DKIM, il CNAME Return-Path em e il tuo record DMARC si risolvano senza problemi e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che Gorgias (tramite SendGrid o Mailgun) compaia come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Gorgias ha due ESP di backend e al tuo account ne è assegnato esattamente uno: SendGrid (predefinito per gli account creati da ~febbraio 2023) in genere mostra record CNAME; gli account più vecchi con backend Mailgun possono mostrare invece record TXT. Segui il tipo di record indicato dalla tua schermata Domain verification: una guida scritta per l'altro backend ti farebbe pubblicare il tipo sbagliato.
- Configurazione DNS
Una chiave DKIM di Gorgias incollata va pubblicata SENZA il prefisso v=DKIM1;. Entrambi gli ESP di Gorgias emettono queste chiavi senza il tag v=DKIM1, quindi nel percorso TXT (o quando appiattisci i CNAME tramite un servizio di delega come Valimail) incolla il valore esattamente come mostrato (può iniziare con k=rsa;) e non aggiungere v=DKIM1. È in assoluto l'errore più comune specifico di Gorgias. Nel percorso puramente CNAME non tocchi mai la chiave grezza, quindi il problema non si pone.
- Configurazione DNS
La maggior parte delle guide di terze parti (PowerDMARC, Skysnag, OnDMARC) documenta solo il vecchio approccio SPF con include:mailgun.org e alcune sostengono persino che Gorgias non supporti DKIM: sono informazioni superate. Se il tuo account mostra i CNAME gor._domainkey / gor2._domainkey, usali e ignora l'include.
- Configurazione DNS
Nel percorso CNAME non c'è nulla da aggiungere all'SPF radice: il CNAME Return-Path em soddisfa SPF da solo. Non incollare anche include:mailgun.org o include:sendgrid.net sul dominio radice: non serve e spreca una delle tue 10 ricerche SPF.
- Configurazione DNS
Il proxy di Cloudflare rompe la risoluzione dei CNAME: imposta gor._domainkey, gor2._domainkey e l'host em su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve nell'ESP e la verifica fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire gor._domainkey.yourbrand.com produce gor._domainkey.yourbrand.com.yourbrand.com. Inserisci solo l'etichetta (gor._domainkey, gor2._domainkey, em1234).
- Copertura
Le caselle Gmail/Outlook collegate con OAuth non usano affatto questi record: quella posta viene autenticata in Google Workspace o Microsoft 365. La verifica del dominio di Gorgias riguarda solo le integrazioni con inoltro in cui Gorgias invia tramite il suo ESP. Verifica la cosa giusta per il tipo di connessione giusto.
- Copertura
La verifica può richiedere fino a 72 ore per completarsi e di solito SPF viene confermato prima di DKIM. Un dominio con SPF verificato e DKIM in sospeso non ha problemi: si sta ancora propagando. Ricontrolla i valori dei record solo se resta bloccato ben oltre i tempi di propagazione.
Crea il tuo record SPF
Gorgias non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Gorgias: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.