SPF, DKIM e DMARC per Help Scout.
Help Scout autentica la tua email di assistenza in uscita con un DKIM delegato tramite CNAME, non con un include SPF condiviso. Quando una casella è impostata per inviare con “Use Help Scout”, i messaggi partono dai server di posta di Help Scout ma vengono firmati DKIM con il tuo dominio, a patto che tu aggiunga due record CNAME che delegano la chiave DKIM a Help Scout. Non c'è volutamente alcun include SPF di Help Scout da aggiungere: i suoi server superano SPF usando un VERP (variable envelope return path) su un dominio di proprietà di Help Scout, quindi è DKIM a darti davvero l'allineamento DMARC. Questa guida copre il percorso esatto nella dashboard di Help Scout, i due record CNAME, il record DMARC che Help Scout si aspetta che tu pubblichi da solo e come verificare il tutto.
Perché autenticare Help Scout?
Google e Yahoo ora rifiutano la posta non autenticata o la mandano nello spam, e Help Scout stesso ricorda che qualsiasi dominio che invia 5.000+ messaggi al giorno (considerando tutte le fonti, non solo Help Scout) ha bisogno di un record DMARC. Senza i CNAME DKIM, le risposte inviate dai server di Help Scout sono firmate solo come helpscout.net “on behalf of” il tuo dominio: non hanno una firma allineata al tuo indirizzo From, quindi non superano DMARC e finiscono nello spam o generano bounce, danneggiando sia la deliverability sia la reputazione del mittente del tuo indirizzo di assistenza.
Come funziona davvero SPF con Help Scout
Help Scout è un caso particolare: NON vuole che tu aggiunga un include SPF, e farlo non ti porta alcun vantaggio per DMARC. Quando invii tramite i server di Help Scout, il Return-Path della busta SMTP è un indirizzo VERP (variable envelope return path) su un dominio di proprietà di Help Scout: lo stesso helpscoutemail.com che il vecchio include SPF serviva ad autorizzare. SPF viene quindi valutato sul dominio di Help Scout e viene superato dalla sua parte ma, poiché quel dominio non è il tuo dominio From, SPF non si “allinea”, e perciò non può mai soddisfare DMARC per la posta inviata in questo modo. È proprio per questo che i CNAME DKIM contano: DKIM firma con il tuo dominio ed è la tua unica strada per l'allineamento DMARC sulla posta inviata da Help Scout. Se in passato hai aggiunto include:helpscoutemail.com (o un meccanismo simile di Help Scout) al tuo record SPF, rimuovilo: Help Scout conferma che è obsoleto e non serve più. Il record SPF già presente sul tuo dominio per il tuo provider di posta (Google Workspace, Microsoft 365 ecc.) resta esattamente com'è: Help Scout non vi aggiunge nulla. L'unica eccezione è il passaggio di una casella a Custom SMTP o Google OAuth: in quel caso la posta parte dai server del tuo provider e si applicano SPF e DKIM del tuo provider, non i CNAME di Help Scout.
Passo dopo passo
- 1
Decidi come invia ogni casella
Help Scout offre tre modalità di invio: Use Help Scout (i suoi server, richiede i CNAME DKIM indicati sotto), Custom SMTP (relay tramite il tuo server di posta) o Google OAuth (invio da Google Workspace). Questa guida copre il percorso predefinito Use Help Scout. Se scegli invece Custom SMTP o Google OAuth, salta i CNAME e affidati a SPF/DKIM del tuo provider per l'allineamento.
- 2
Apri i record CNAME DKIM in Help Scout
Imposta la casella su Use Help Scout in Outgoing Email. Per impostazione predefinita Help Scout firma la tua posta come helpscout.net per tuo conto; per firmare con il tuo dominio mostra due record CNAME basati sui selettori strong1._domainkey e strong2._domainkey, ciascuno dei quali punta a un host corrispondente sotto helpscout.net. Copiali entrambi così come sono. Nota: non ti serve se la casella usa l'indirizzo predefinito di Help Scout (…@helpscoutapp.com), perché la delega DKIM si applica solo ai domini personalizzati.
- 3
Aggiungi i due record CNAME nel tuo provider DNS
Nel tuo provider DNS crea due record CNAME: strong1._domainkey → strong1._domainkey.helpscout.net e strong2._domainkey → strong2._domainkey.helpscout.net. La maggior parte dei provider (GoDaddy, Cloudflare, Namecheap) vuole nel campo Host/Name solo la parte prima del tuo dominio (es. strong1._domainkey), perché aggiunge automaticamente il dominio. I provider basati su cPanel vogliono un punto finale dopo il valore. Aggiungi ENTRAMBI i record: Help Scout usa il secondo selettore per la rotazione delle chiavi.
- 4
Disattiva qualsiasi proxy e imposta i record su DNS only
Se il tuo provider DNS fa passare il traffico da un proxy (la nuvola arancione di Cloudflare o un proxy CDN simile), DISATTIVALO per entrambi i CNAME: un CNAME con proxy attivo si risolve nel proxy invece che in Help Scout e la validazione DKIM fallisce. Su Cloudflare, imposta Proxy status su “DNS only” (nuvola grigia) per strong1._domainkey e strong2._domainkey.
- 5
Rimuovi l'eventuale vecchio include SPF di Help Scout
Se in passato hai aggiunto include:helpscoutemail.com (o un altro meccanismo di Help Scout) al record TXT SPF del tuo dominio, elimina ora solo quel meccanismo. Help Scout conferma che non serve più e non aiuta DMARC. Non toccare il resto del tuo SPF (l'include del tuo provider di posta, es. Google o Microsoft).
- 6
Pubblica un record DMARC se non ne hai uno
Help Scout non genera un record DMARC per te: lo pubblichi tu. Aggiungi un record TXT _dmarc partendo da p=none con un indirizzo di report rua, così puoi osservare i risultati prima di stringere la policy. Quando hai la conferma che DKIM si allinea (dkim=pass, header.d = il tuo dominio), porta gradualmente la policy a p=quarantine e poi a p=reject.
- 7
Attendi la propagazione, poi fai clic su Test Settings
La propagazione delle modifiche ai CNAME può richiedere da pochi minuti a 24-48 ore; lascia passare almeno un'ora prima di fare il test. Torna nella sezione Outgoing Email della casella e fai clic sul pulsante Test Settings (in basso a sinistra). Quando entrambi i CNAME si risolvono, l'indicatore di stato DKIM passa ad Active.
- 8
Verifica dall'esterno con una risposta reale
Invia una risposta dalla casella di Help Scout a un indirizzo che controlli ed esamina le intestazioni grezze. Conferma che Authentication-Results mostri dkim=pass con header.d=yourdomain.com e dmarc=pass. Ricontrolla i CNAME e il record DMARC con uno strumento di controllo esterno, così non ti affidi solo alla spia di stato di Help Scout.
Record da aggiungere
Help Scout genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | strong1._domainkey | strong1._domainkey.helpscout.netPrimo selettore DKIM. Nella maggior parte dei provider DNS inserisci nel campo Host/Name solo la parte prima del tuo dominio; imposta su “DNS only” (nessun proxy). Il valore è fisso: è lo stesso per ogni account Help Scout (delega CNAME, non una chiave per account). |
| CNAME | strong2._domainkey | strong2._domainkey.helpscout.netSecondo selettore DKIM, usato per la rotazione delle chiavi. Aggiungilo anche se il primo sembra bastare: la mancanza di strong2 può interrompere la firma dopo una rotazione delle chiavi. |
| TXT | @ | v=spf1 include:_spf.google.com ~allValore di esempio: questo è il tuo SPF ESISTENTE per il tuo provider di posta (qui Google Workspace). Help Scout non vi aggiunge nulla. NON aggiungere un include di Help Scout; rimuovi include:helpscoutemail.com se è ancora presente. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comRecord DMARC iniziale di esempio. Help Scout non prescrive una policy: parti da p=none, monitora i report aggregati (rua), poi passa a p=quarantine e p=reject quando DKIM si allinea. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Help Scout.
La configurazione consigliata di Help Scout aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è delegato tramite CNAME. Help Scout genera e conserva dalla sua parte la chiave DKIM privata e pubblica la chiave pubblica su strong1._domainkey.helpscout.net e strong2._domainkey.helpscout.net. I tuoi due record CNAME (strong1._domainkey e strong2._domainkey sul tuo dominio) delegano le ricerche a questi host, così i server riceventi recuperano una chiave pubblica valida sotto il TUO dominio. Ogni messaggio inviato da Help Scout viene quindi firmato con una firma d=yourdomain.com: è questo allineamento tra dominio di firma e indirizzo From a permettere a DKIM di soddisfare DMARC. Finché i CNAME non sono presenti, Help Scout firma la posta come helpscout.net “on behalf of” il tuo dominio, e questa firma non è allineata. I due selettori consentono a Help Scout di ruotare le chiavi senza interruzioni, ed è per questo che servono entrambi. Trattandosi di una delega CNAME, non devi mai incollare una lunga stringa di chiave né aggiornarla quando Help Scout esegue la rotazione.
DMARC
Pubblicare DMARC spetta a te: Help Scout firma con DKIM ma non crea un record DMARC per te e invita i clienti a costruire la propria policy. Aggiungi un unico record TXT _dmarc per il dominio. Parti da v=DMARC1; p=none con un indirizzo rua=, così i report aggregati ti mostrano se la posta inviata da Help Scout supera l'allineamento DKIM (e se anche gli altri mittenti del dominio sono allineati). Quando i report confermano dkim=pass / header.d = il tuo dominio sul traffico di Help Scout, passa a p=quarantine e poi a p=reject. Ricorda che sulla posta inviata da Help Scout SPF non si allinea (il Return-Path VERP è un dominio di Help Scout), quindi qui DMARC deve poggiare su DKIM: non applicare una policy rigorosa finché i CNAME DKIM non risultano Active.
Verifica che funzioni davvero
Il controllo è su due livelli. Prima dentro Help Scout: dopo la propagazione, fai clic su Test Settings nella sezione Outgoing Email della casella e conferma che lo stato DKIM sia Active. Poi dimostra l'allineamento sul campo: invia una risposta dalla casella a un indirizzo che controlli, apri il messaggio grezzo e leggi Authentication-Results: devi vedere dkim=pass con header.d=yourdomain.com e dmarc=pass. In modo indipendente, conferma che i due CNAME si risolvano su helpscout.net (con una ricerca CNAME, es. MX Toolbox) e che il tuo TXT _dmarc venga interpretato senza errori da un controllo SPF/DKIM/DMARC esterno. Non affidarti solo alla spia di stato di Help Scout: la spia conferma che i record si risolvono, non che DMARC si stia allineando da un capo all'altro.
Insidie comuni
- Configurazione DNS
I CNAME con proxy attivo rompono DKIM senza alcun avviso. Se il tuo provider DNS fa passare il traffico da un proxy (la nuvola arancione di Cloudflare o un proxy CDN), disattivalo: imposta sia strong1._domainkey sia strong2._domainkey su “DNS only”. Un record con proxy attivo si risolve nel proxy, non in helpscout.net, e Test Settings non passerà mai ad Active.
- Configurazione DNS
Non incollare il dominio completo nel campo Host. GoDaddy, Cloudflare e Namecheap aggiungono automaticamente il dominio, quindi inserisci solo strong1._domainkey / strong2._domainkey. Se il record diventa strong1._domainkey.yourdomain.com.yourdomain.com non si risolve. I provider in stile cPanel fanno il contrario: vogliono un punto finale dopo il valore.
- Fa fallire l'autenticazione
Per Help Scout SPF è una trappola, non un passaggio. Aggiungere include:helpscoutemail.com non serve a nulla per DMARC, perché il Return-Path VERP di Help Scout è sul suo dominio, non sul tuo: SPF viene superato ma non si allinea mai. Help Scout dice di rimuovere l'include se è ancora presente e di affidarti a DKIM.
- Configurazione DNS
Aggiungi ENTRAMBI i CNAME, non solo il primo. strong2._domainkey serve per la rotazione delle chiavi; se manca, la firma può fallire alla successiva rotazione di Help Scout e, settimane dopo, la posta inizierà a non superare DMARC senza alcun avviso.
- Configurazione DNS
DKIM è delegato per dominio, ma “Use Help Scout” si imposta per casella. I due CNAME coprono tutte le caselle di quel dominio, ma per ogni nuova casella devi comunque impostare Outgoing Email su Use Help Scout e rifare il test: il DNS è già a posto, cambia solo l'impostazione della casella.
- Configurazione DNS
Passare una casella a Custom SMTP o Google OAuth cambia tutto il quadro. In quel caso la posta parte dai server del tuo provider, quindi l'allineamento viene da SPF e DKIM del tuo provider e i CNAME di Help Scout non sono più la fonte della firma. Ricontrolla l'autenticazione dopo ogni cambio di questo tipo.
- Configurazione DNS
I ritardi di propagazione causano falsi errori. I CNAME possono richiedere fino a 24-48 ore: aspetta almeno un'ora prima di fare clic su Test Settings e non portare DMARC a quarantine/reject finché DKIM non risulta Active e i report non confermano l'allineamento.
- Copertura
L'indirizzo predefinito …@helpscoutapp.com non richiede nulla di tutto questo. La delega DKIM conta solo per i domini personalizzati che inviano tramite i server di Help Scout: se usi solo l'indirizzo integrato di Help Scout, non c'è niente da configurare.
Crea il tuo record SPF
Help Scout non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Help Scout: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.