SPF, DKIM e DMARC per Groove.
Groove è un help desk con casella condivisa, quindi la posta che invia è rivolta ai clienti: ogni risposta a un ticket di assistenza parte a nome del tuo dominio. In Groove, il “white-labeling” è esattamente il passaggio di autenticazione che dimostra che quelle risposte sono davvero tue. Invece di farti incollare una riga SPF condivisa, il flusso moderno di Groove genera i record CNAME nella scheda di configurazione SMTP di ogni casella (una chiave DKIM sul selettore groove._domainkey più un CNAME Return-Path) insieme a un record TXT DMARC. Aggiungili, aspetta che il controllo “Test DNS” di Groove diventi verde e la tua posta di assistenza sarà firmata DKIM a nome del tuo dominio: DMARC viene superato, Gmail toglie l'avviso “via groovehq.com” e le risposte smettono di scivolare nello spam dei clienti.
Perché autenticare Groove?
Autenticare Groove non è una formalità: per un help desk fa la differenza tra un cliente che vede la tua risposta e una risposta che muore nello spam, il posto peggiore in cui possa finire un messaggio di assistenza. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno, una soglia che una casella condivisa molto attiva supera con le sole risposte ai ticket e le notifiche) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta consumer di Outlook/Hotmail. Finché non attivi il white-labeling, Groove invia sulla propria infrastruttura: i destinatari vedono una nota “via groovehq.com” o “on behalf of”, il tuo indirizzo From non ti appartiene crittograficamente, la posta non può superare DMARC e la tua reputazione finisce in comune con quella di tutti gli altri mittenti Groove non autenticati. Il white-labeling risolve tutto in una mossa: DKIM si allinea al tuo dominio, il tag “via” scompare, DMARC viene superato e la reputazione che costruisci va a beneficio del tuo dominio. Nell'assistenza, dove la fiducia è il prodotto stesso, è questo allineamento a far sì che i clienti continuino a leggere e a rispondere invece di segnalarti come spam.
Come funziona davvero SPF con Groove
Tecnicamente Groove è un provider “include”: esiste davvero un meccanismo condiviso, include:smtp.groovehq.com, ma NON è la strada che fa superare DMARC, né quella consigliata dall'attuale configurazione di Groove. I motivi sono due. Primo, Groove invia ogni messaggio con Return-Path/busta sul proprio dominio di bounce (i bounce li possiede e li elabora Groove), quindi SPF viene sempre valutato sul dominio di Groove, mai sul tuo dominio From. include:smtp.groovehq.com fa superare il controllo SPF grezzo per gli IP di Groove, ma non si ALLINEA al tuo dominio organizzativo, e DMARC considera SPF solo se è allineato. La documentazione di Groove sulla deliverability è esplicita su questo: usa uno dei propri domini per il Return-Path e non offre alcun meccanismo che consenta di superare l'allineamento SPF. Secondo, il flusso di white-labeling di Groove non chiede affatto l'include: nella scheda di configurazione SMTP della casella ti fornisce i record CNAME (una chiave DKIM sul selettore groove._domainkey più un CNAME Return-Path, e un terzo CNAME sugli account più recenti) e un record TXT DMARC. La firma DKIM come d=yourdomain.com è il meccanismo che si allinea e ti fa superare DMARC. Groove dice esplicitamente a chi ha già configurato record DKIM e SPF per l'invio SMTP di “migrare alla nuova e migliorata versione con CNAME”. Quindi l'include esiste ancora e i vecchi tutorial citano ancora v=spf1 include:smtp.groovehq.com ~all, ma nella configurazione moderna è facoltativo: consuma una delle tue 10 ricerche SPF e non offre alcun allineamento DMARC. Una precisazione sull'ambito: il white-labeling vale solo per le caselle che inviano tramite i server SMTP di Groove; se hai collegato una casella tramite OAuth di Gmail/Google Workspace o Microsoft 365, Groove inoltra la posta tramite quel provider e autentichi il dominio lì.
Due modi per configurarlo
White-labeling con CNAME (consigliato)
- Groove genera i CNAME DKIM + Return-Path (selettore groove._domainkey) che firmano la posta a nome del tuo dominio
- DKIM si allinea, quindi DMARC viene superato anche se SPF non può: il Return-Path è di Groove
- Non aggiunge alcuna ricerca DNS al tuo SPF radice; non c'è nulla da unire
- Groove conserva e ruota le chiavi dietro i CNAME, quindi non devi mai reincollare una chiave
Include SPF + record DKIM (legacy)
- Aggiungi tu v=spf1 include:smtp.groovehq.com ~all al tuo SPF radice
- Costa una delle tue 10 ricerche SPF e comunque non si allinea (il Return-Path è di Groove)
- Ora Groove dice a chi usa questo metodo di migrare alla versione con CNAME
- Riguarda solo le vecchie caselle non ancora passate al white-labeling
Passo dopo passo
- 1
Conferma che la casella usi i server SMTP di Groove
Vai su Settings → Channels → Email, scegli la casella e fai clic sull'icona della matita per modificarla. Il white-labeling esiste solo per le caselle che inviano tramite i server SMTP di Groove (l'opzione “recommended”). Se questa casella è collegata tramite Gmail/Google Workspace o Microsoft 365, Groove inoltra la posta tramite quel provider: fermati qui e autentica il dominio in Google/M365.
- 2
Apri la scheda SMTP configuration
Nella schermata di modifica della casella, apri la scheda SMTP configuration. Vedrai i record CNAME (una chiave DKIM sul selettore groove._domainkey più un CNAME Return-Path; alcuni account mostrano 2 CNAME, quelli più recenti 3) e un record TXT DMARC. Copiali esattamente: host e destinazioni sono unici per questa casella e non si possono indovinare.
- 3
Aggiungi il CNAME DKIM
Presso il tuo provider DNS, crea un CNAME con host groove._domainkey che punta alla destinazione mostrata da Groove. Mantieni il tipo su CNAME: non cambiarlo in TXT. È il record che firma la posta come d=yourdomain.com, quindi è quello che si allinea e ti fa superare DMARC; se lo salti, DMARC non può essere superato in alcun modo.
- 4
Aggiungi i CNAME Return-Path
Aggiungi il secondo CNAME elencato da Groove (l'host Return-Path/bounce che soddisfa SPF per gli IP di invio di Groove) e il terzo, se il tuo account ne mostra uno. Copia alla lettera ogni coppia host/destinazione dalla scheda SMTP. Anche questi sono CNAME delegati a Groove: non cambiare il tipo.
- 5
Sistema le etichette host e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (groove._domainkey, non groove._domainkey.yourdomain.com) per evitare la duplicazione. Google Domains richiede inoltre un punto finale sulla destinazione del CNAME. Su Cloudflare, imposta ogni CNAME di Groove su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve e Test DNS resta su Invalid.
- 6
Pubblica il record TXT DMARC
Aggiungi un record TXT con host _dmarc: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Anche il flusso di Groove propone un record DMARC: usalo, ma solo se non ne hai già uno, perché un dominio deve avere esattamente un record _dmarc. p=none è solo monitoraggio, quindi non cambia nulla mentre confermi l'allineamento.
- 7
Fai clic su Test DNS
Torna alla scheda SMTP configuration e fai clic sul pulsante Test DNS sotto l'elenco dei CNAME. Passa da Invalid a Valid quando i record si risolvono: la propagazione richiede di solito pochi minuti, ma può arrivare a 48-72 ore. Una volta su Valid, Groove attiva il white-labeling e inizia a firmare con il selettore groove.
- 8
Invia una risposta reale e leggi le intestazioni
Invia un'email di prova (o una vera risposta a un ticket) a un indirizzo Gmail, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e selettore groove (non groovehq.com) e DMARC: PASS. SPF può mostrare il dominio di Groove: è normale, perché qui è DKIM ad allinearsi.
- 9
Lascia i record al loro posto
Groove ripete la verifica ogni giorno a mezzanotte (ora del Pacifico) e disattiva automaticamente il white-labeling se un record non si risolve più. Non rimuovere né “ripulire” i CNAME in seguito e ripeti l'intera configurazione per ogni casella da cui invii: ogni casella ha la propria scheda SMTP configuration e i propri record.
Record da aggiungere
Groove genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | groove._domainkey | groove.dkim.u1234567.groovehq.comChiave DKIM, gestita da Groove. Destinazione di esempio: copia il valore esatto dalla tua scheda SMTP configuration. È il record che firma a nome del tuo dominio e ti fa superare DMARC. |
| CNAME | em | u1234567.groovehq.comCNAME Return-Path/bounce che Groove elenca accanto al record DKIM (gli account più recenti mostrano anche un terzo CNAME). Host e destinazione di esempio: copia la coppia esatta dalla scheda SMTP. Soddisfa SPF per gli IP di invio di Groove, ma non si allinea al tuo dominio From. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: il flusso di Groove la fornisce come “1 TXT record”. Una per dominio; saltala se pubblichi già _dmarc. Parti da p=none, poi rendila più restrittiva. |
| TXT | @ | v=spf1 include:smtp.groovehq.com ~allInclude SPF radice legacy/facoltativo. Autorizza gli IP di Groove ma NON si allinea al tuo dominio From (il Return-Path è di Groove), quindi da solo non può far superare DMARC: ci pensa il CNAME DKIM. Costa 1 ricerca SPF; il flusso moderno con CNAME non ne ha bisogno. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Groove.
La configurazione consigliata di Groove aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è il cuore dell'autenticazione di Groove, perché è l'unico meccanismo che può allinearsi al tuo dominio: SPF non può, dato che Groove invia dal proprio dominio di Return-Path/bounce. Groove usa un DKIM basato su CNAME sul selettore groove._domainkey (gestito da Groove), quindi non incolli alcuna chiave pubblica: aggiungi un CNAME con host groove._domainkey che punta alla destinazione mostrata da Groove, e la chiave privata la conserva Groove. Poiché è un CNAME delegato a Groove e non un record TXT statico, Groove può ruotare la chiave pubblicata dietro quel selettore senza che tu debba mai rimettere mano al DNS. Trovi il valore nell'app: Settings → Channels → Email → seleziona la casella → matita (modifica) → scheda SMTP configuration. Gli account più vecchi elencano 2 CNAME più un TXT DMARC; quelli più recenti elencano 3 CNAME. Aggiungi ciascuno come CNAME (mai TXT), inserendo solo l'etichetta groove._domainkey se il tuo provider aggiunge il dominio; Google Domains vuole un punto finale sulla destinazione e su Cloudflare devi impostare il record su “DNS only” (nuvola grigia). Poi fai clic su Test DNS. Quando indica Valid, Groove firma la posta di assistenza in uscita come d=yourdomain.com e DKIM inizia ad allinearsi: è questo che ti fa davvero superare DMARC.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio. Il flusso di white-labeling di Groove te ne propone comodamente uno (l'“1 TXT record” elencato accanto ai CNAME), ma pubblicalo solo se non hai già un record _dmarc, perché un dominio deve averne esattamente uno. Aggiungilo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che Groove, e ogni altro mittente del tuo dominio, si autentichi. Il punto specifico di Groove da tenere a mente: poiché il Return-Path è di Groove, il superamento di DMARC dipende interamente da DKIM (il CNAME groove._domainkey), quindi assicurati che quel record risulti Valid e che Show original riporti DKIM d=yourdomain.com prima di rendere più restrittiva la policy. Quando l'allineamento è costante per una o due settimane, passa a p=quarantine e poi a p=reject. Tieni un solo record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: Groove, Google Workspace, uno strumento di marketing fanno tutti riferimento allo stesso record.
Verifica che funzioni davvero
Groove ti offre due livelli di verifica, e non dovresti fidarti di nessuno dei due da solo. Nell'app: il pulsante Test DNS sotto l'elenco dei CNAME nella scheda di configurazione SMTP passa da Invalid a Valid quando i record si risolvono (la propagazione richiede di solito pochi minuti, ma può arrivare a 48-72 ore). Groove ripete inoltre la verifica automaticamente ogni giorno a mezzanotte (ora del Pacifico) e disattiva il white-labeling senza avvisare se in seguito un record smette di risolversi, quindi se la posta mostra di nuovo all'improvviso “via groovehq.com”, quasi certamente è cambiato un CNAME. Non fermarti al badge verde: invia una risposta reale (o un'email di prova) a un account Gmail, aprila e scegli ⋮ → Show original. Conferma DKIM: PASS con d=yourdomain.com e selettore groove (non groovehq.com) e DMARC: PASS; SPF può ancora mostrare il dominio di Groove, ed è normale perché qui è DKIM ad allinearsi. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il CNAME DKIM, i CNAME Return-Path e il record DMARC si risolvano tutti senza problemi e, quando arrivano i report aggregati, caricane uno nell'analizzatore di report DMARC per vedere Groove comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Qui è DKIM a far superare DMARC, non SPF. Il dominio di Return-Path/bounce è di Groove, quindi SPF viene superato sul dominio di Groove ma non si ALLINEA al tuo. Aggiungere include:smtp.groovehq.com non fa superare DMARC: ci riesce il CNAME DKIM groove._domainkey. Non saltarlo pensando che basti l'include SPF.
- Configurazione DNS
Il white-labeling vale solo per le caselle su SMTP di Groove. Se una casella è collegata tramite Gmail/Google Workspace o Microsoft 365, Groove invia tramite quel provider: questi CNAME non si applicano e autentichi il dominio in Google/M365.
- Configurazione DNS
Groove ripete la verifica ogni giorno a mezzanotte (ora del Pacifico) e disattiva il white-labeling senza avvisare se un record si rompe. Se la posta torna a mostrare “via groovehq.com”, un CNAME è stato modificato o rimosso (una modifica nel registrar, un cambio del proxy Cloudflare): aggiungilo di nuovo e fai clic su Test DNS.
- Configurazione DNS
I record sono specifici per ogni casella. Ogni casella collegata ha la propria scheda SMTP configuration e i propri CNAME: autentica ogni casella da cui invii, non solo la prima che hai configurato.
- Configurazione DNS
Dominio duplicato nel campo host e particolarità di Google Domains: inserisci solo groove._domainkey, non groove._domainkey.yourdomain.com; Google Domains richiede inoltre un punto finale sulla destinazione del CNAME.
- Configurazione DNS
Il proxy di Cloudflare rompe la risoluzione dei CNAME. Imposta ogni CNAME di Groove su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve nell'host di Groove e Test DNS resta su Invalid.
- Configurazione DNS
Non aggiungere un include:smtp.groovehq.com ridondante se usi il flusso con CNAME. Consuma una delle tue 10 ricerche SPF e non offre alcun allineamento; è Groove stessa a dire a chi usa il vecchio SPF/DKIM di migrare ai CNAME.
- Fa fallire l'autenticazione
Un solo record DMARC per dominio. Groove propone un TXT DMARC nel suo flusso: saltalo se pubblichi già _dmarc, perché due record DMARC non sono validi e nessuno dei due verrà applicato.
Crea il tuo record SPF
Groove non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Groove: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.