Guida alla configurazione SPF

SPF, DKIM e DMARC per Hostinger.

Su Hostinger, “autenticare la tua email” non è un'unica configurazione: dipende da chi invia davvero la tua posta. Hostinger Email (le caselle native incluse nella maggior parte dei piani) ha un proprio include SPF e, cosa insolita, fornisce DKIM sotto forma di record CNAME di cui Hostinger gestisce le chiavi. Hostinger Reach (il prodotto per newsletter e marketing) usa un include e selettori completamente diversi. E se il tuo sito è su Hostinger ma le tue caselle sono su Google Workspace, Microsoft 365 o un ESP, nessuno dei record di Hostinger si applica: pubblichi invece quelli di quel provider. La buona notizia è che tutto si trova in un'unica schermata (l'editor DNS Zone in hPanel) e, quando gestisce il tuo DNS, Hostinger può aggiungere per te la maggior parte dei record con un solo clic. Questa guida copre per intero il percorso nativo di Hostinger Email, segnala dove Reach e la posta di terze parti differiscono e ti aiuta a configurare correttamente il record DMARC, l'unico elemento che Hostinger non aggiunge mai automaticamente.

Include SPF

Your DNSAdd the CNAME / TXT records

HostingerSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Perché autenticare Hostinger?

SPF, DKIM e DMARC permettono a un server ricevente di verificare che un messaggio che dice di provenire dal tuo dominio sia davvero tuo. SPF elenca i server autorizzati a inviare per te; DKIM firma crittograficamente ogni messaggio; DMARC collega entrambi all'indirizzo From visibile e indica ai server riceventi cosa fare in caso di esito negativo. Da febbraio 2024 Google e Yahoo richiedono tutti e tre a chiunque invii grandi volumi ai loro utenti: la posta dei domini non autenticati viene rallentata o scartata. Anche con volumi bassi, un dominio senza record DMARC è banale da falsificare, e una sola campagna di phishing a tuo nome può avvelenare la reputazione del mittente per mesi. Pubblicare questi tre record è il biglietto d'ingresso per la posta in arrivo; saltarli è il motivo per cui la posta legittima di Hostinger finisce così spesso nello spam.

Come funziona davvero SPF con Hostinger

L'SPF di Hostinger Email è un singolo record TXT sul dominio radice che include `_spf.mail.hostinger.com`. Quell'include non finisce lì: prosegue a catena attraverso `relay.mail.hostinger.com` (gli IP di invio di Hostinger) e `relay.mailchannels.net` (Hostinger instrada la posta in uscita tramite MailChannels), quindi aggiungere questo solo include consuma in realtà tre delle dieci ricerche DNS che sono il limite massimo di SPF. Resta comunque molto margine, ma conta quando accumuli più mittenti. La regola fondamentale è un solo record SPF per dominio: un secondo record TXT che inizia con `v=spf1` fa fallire SPF con un PermError per tutto. Quindi, se invii tramite Hostinger Email, un ESP di terze parti e Hostinger Reach, non pubblichi tre record SPF: unisci tutti gli include in un'unica stringa, ad esempio `v=spf1 include:_spf.mail.hostinger.com include:_spf.reach.hostinger.com include:sendgrid.net ~all`. Attenzione: la schermata di configurazione di Hostinger Reach può dirti di sostituire il tuo SPF esistente con il solo valore di Reach. Non seguirla alla lettera, altrimenti perdi l'include `_spf.mail.hostinger.com` e rompi SPF per le tue caselle native. Unisci, non sostituire mai. Mantieni `~all` (soft fail) mentre monitori; passa a `-all` solo quando sei certo che ogni fonte legittima sia in elenco.

Passo dopo passo

hPanel → Domains → il tuo dominio → DNS / Nameservers

1
Conferma che il tuo DNS sia davvero servito da Hostinger
Modificare i record in hPanel ha effetto solo se il tuo dominio si risolve tramite i nameserver di Hostinger. Apri il tuo dominio e controlla la sezione Nameservers: quelli di Hostinger sono di solito ns1.dns-parking.com e ns2.dns-parking.com. Se vedi Cloudflare, Route 53, il tuo registrar o chiunque altro, è quel provider a essere autorevole e devi aggiungere lì SPF, DKIM e DMARC; i record aggiunti in Hostinger verranno ignorati senza alcun avviso.

hPanel → Emails (per vedere cosa è attivo sul dominio)

2
Decidi quale prodotto di posta stai autenticando
Hostinger Email nativa, Hostinger Reach e una casella di terze parti (Google Workspace, Microsoft 365, un ESP) richiedono ciascuno record diversi. Se le tue caselle sono altrove, ignora del tutto i valori di Hostinger e usa quelli di quel provider: ospitare il sito su Hostinger non significa che la tua email usi i server di Hostinger. I record di questa guida sono per Hostinger Email nativa; quelli di Reach sono diversi (vedi le note su SPF e DKIM).

hPanel → Emails → il tuo dominio → Connect automatically

3
Prova prima la connessione automatica con un clic
Se il tuo DNS è gestito da Hostinger, apri il dominio in Emails, usa Connect automatically e conferma. Hostinger scrive per te i record MX, SPF e DKIM nella tua zona DNS: niente copia e incolla, niente errori di battitura. È il percorso consigliato per il prodotto email nativo. NON aggiunge DMARC, quindi devi comunque completare a mano il passaggio DMARC. Se il tuo dominio usa nameserver esterni, salta questo passaggio e aggiungi ogni record manualmente.

DNS Zone → Manage DNS records → Add record (Type: TXT)

4
Aggiungi o unisci il record SPF
Se la connessione automatica non è stata eseguita, aggiungi un record TXT: Type TXT, Name @, valore v=spf1 include:_spf.mail.hostinger.com ~all. Punto cruciale: se esiste già un TXT v=spf1 (dall'hosting web di Hostinger, da un provider precedente o da Reach), non aggiungerne un secondo. Modifica quello esistente e unisci il nuovo include a quel record. Un solo record SPF.

DNS Zone → Manage DNS records → Add record (Type: CNAME)

5
Aggiungi i tre record CNAME DKIM
Il DKIM di Hostinger Email non è una chiave pubblica da incollare: sono tre record CNAME che puntano a chiavi ospitate da Hostinger e ruotate automaticamente. Aggiungili con Type CNAME: hostingermail-a._domainkey → hostingermail-a.dkim.mail.hostinger.com, hostingermail-b._domainkey → hostingermail-b.dkim.mail.hostinger.com e hostingermail-c._domainkey → hostingermail-c.dkim.mail.hostinger.com. Inserisci in Name solo l'etichetta breve dell'host (Hostinger aggiunge il tuo dominio) e l'host di destinazione nel campo Points to / Target. Non racchiudere la destinazione tra virgolette e non convertire questi record in TXT.

DNS Zone → Manage DNS records → Add record (Type: TXT, Name: _dmarc)

6
Aggiungi il record DMARC, quello che Hostinger non aggiunge mai
Su Hostinger DMARC è sempre manuale, anche dopo la connessione automatica. Aggiungi un record TXT: Name _dmarc, valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none, così non applichi nulla mentre raccogli i report; punta rua a una casella che leggi davvero. Costruisci la stringa con il generatore DMARC, così i tag sono validi, poi incollala.

DNS Zone → Manage DNS records

7
Se usi anche Reach o un ESP di terze parti, unifica l'SPF
Hostinger Reach usa include:_spf.reach.hostinger.com più i propri CNAME reach-a._domainkey e reach-b._domainkey (con destinazioni sotto dkim.reach.hostinger.com); anche un ESP ha i propri include e DKIM. Aggiungi i record DKIM di ogni provider come voci separate (i DKIM si sommano senza problemi), ma unisci tutti gli include SPF nel tuo unico record SPF radice. La schermata di Reach può invitarti a sostituire il tuo SPF con il solo valore di Reach: ignorala e unisci, altrimenti elimini l'include di Hostinger Email nativa. Non pubblicare mai una seconda riga v=spf1.

Controllo esterno / la casella dei tuoi report DMARC

8
Verifica, poi porta DMARC verso l'applicazione della policy
Quando i record hanno avuto il tempo di propagarsi (Hostinger dice di attendere fino a 24-72 ore, anche se di solito è molto più rapido), conferma che tutti e tre si risolvano. Poi osserva i report aggregati DMARC per una o due settimane, finché ogni flusso legittimo non supera SPF o DKIM con allineamento, e solo allora alza la policy a p=quarantine e infine a p=reject.

Record da aggiungere

Hostinger genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

Tipo	Host	Valore
MX	@	mx1.hostinger.comPriorità 5. Server di posta in entrata standard di Hostinger Email: serve solo se le tue caselle sono ospitate da Hostinger.
MX	@	mx2.hostinger.comPriorità 10. Il server di posta in entrata di riserva; aggiungilo insieme a mx1.
TXT	@	v=spf1 include:_spf.mail.hostinger.com ~allL'SPF nativo di Hostinger Email. Pubblica esattamente un record SPF: unisci a questa riga gli include degli altri mittenti invece di aggiungerne un secondo.
CNAME	hostingermail-a._domainkey	hostingermail-a.dkim.mail.hostinger.comSelettore DKIM 1 di 3. Hostinger gestisce e ruota la chiave sottostante; tu pubblichi solo il CNAME.
CNAME	hostingermail-b._domainkey	hostingermail-b.dkim.mail.hostinger.comSelettore DKIM 2 di 3. Aggiungi tutti e tre i CNAME: la firma resta valida mentre Hostinger ruota le chiavi tra i selettori.
CNAME	hostingermail-c._domainkey	hostingermail-c.dkim.mail.hostinger.comSelettore DKIM 3 di 3. Hostinger Reach usa selettori diversi (reach-a / reach-b): non confonderli.
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comValore di esempio: sostituisci l'indirizzo rua con una casella che leggi. Hostinger non lo aggiunge mai automaticamente: è sempre manuale.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Hostinger.

SPF 10-lookup budget3 used · 7 free

Hostinger occupa 3 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

Hostinger Email gestisce DKIM in modo diverso dalla maggior parte dei registrar, ed è il dettaglio su cui ci si sbaglia più spesso. Invece di generare una coppia di chiavi e darti una lunga chiave pubblica TXT da incollare, Hostinger pubblica DKIM come tre record CNAME (hostingermail-a._domainkey, hostingermail-b._domainkey e hostingermail-c._domainkey), ciascuno dei quali punta a una destinazione ospitata da Hostinger (…dkim.mail.hostinger.com). Le chiavi vere e proprie restano presso Hostinger, che può quindi ruotarle senza che tu debba più toccare il DNS. Quando il tuo DNS è gestito da Hostinger, la connessione automatica li aggiunge tutti e tre per te; con un DNS esterno li aggiungi tu come CNAME (non TXT), inserendo l'etichetta breve del selettore nel campo Name e l'host di destinazione in Points to / Target, senza virgolette. Nel pannello di deliverability delle email c'è anche un'opzione Custom DKIM per gli utenti esperti che vogliono usare una propria chiave come record TXT, ma il percorso predefinito e consigliato sono i tre CNAME gestiti. Se invii anche tramite Hostinger Reach, aggiungi anche i suoi CNAME reach-a._domainkey e reach-b._domainkey (puntano a …dkim.reach.hostinger.com): i record DKIM si sommano, quindi ogni prodotto di invio ha i propri selettori accanto agli altri.

DMARC

DMARC è l'unico record che Hostinger non crea mai per te, né con la connessione automatica né con la procedura guidata per le email, quindi lo aggiungi sempre a mano come record TXT su _dmarc. Parti su ogni dominio da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La policy p=none non applica nulla: attiva semplicemente i report aggregati XML giornalieri che ti dicono quali server inviano con il tuo dominio e se superano SPF o DKIM con allineamento. Punta rua a una casella che puoi leggere davvero (o a un servizio di reportistica DMARC). Lascia la policy su none finché i report non confermano che ogni flusso legittimo (Hostinger Email, Reach, qualsiasi ESP, il tuo CRM) si autentica correttamente, poi passa a p=quarantine, osserva di nuovo e infine passa a p=reject. Saltare subito a reject senza monitorare è il modo più rapido per mandare nello spam le tue stesse fatture e newsletter. Poiché l'allineamento DMARC dipende dalla corrispondenza tra il dominio From e il tuo dominio autenticato, è questo record a trasformare il tuo lavoro su SPF e DKIM in una vera protezione dallo spoofing, invece che in semplici controlli superati.

Verifica che funzioni davvero

Prima lascia ai record il tempo di propagarsi: Hostinger applica rapidamente le modifiche alla zona, ma con le cache sparse su internet una ricerca può tornare vuota per un periodo che va da pochi minuti fino alle 24-72 ore indicate da Hostinger. Quando tutto si è assestato, conferma i tre record insieme con un controllo SPF/DKIM/DMARC esterno: incolla il tuo dominio e un selettore DKIM (usa hostingermail-a per Hostinger Email nativa) e il controllo ti dirà se ogni record è stato trovato ed è formato correttamente. Dal terminale puoi fare un controllo a campione con dig: dig TXT yourdomain.com per SPF, dig CNAME hostingermail-a._domainkey.yourdomain.com per DKIM e dig TXT _dmarc.yourdomain.com per DMARC. Se manca qualcosa, controlla in quest'ordine: che i nameserver di Hostinger servano davvero il dominio, che nel campo Name tu abbia inserito etichette brevi (non l'hostname completo), che ci sia un solo record v=spf1 e che i record DKIM siano CNAME e non TXT, senza virgolette di troppo.

Check-up del dominio Analizzatore di report DMARC

Insidie comuni

Copertura
Nameserver che puntano altrove. Se il tuo dominio usa Cloudflare, Route 53 o il DNS del tuo registrar (non ns1/ns2.dns-parking.com), i record aggiunti in hPanel non hanno alcun effetto: aggiungili invece presso il provider autorevole. È il motivo più comune in assoluto per cui i record di Hostinger “non funzionano”.
Configurazione DNS
Trattare DKIM come una chiave TXT. Il DKIM di Hostinger Email nativa è composto da tre record CNAME che puntano a chiavi ospitate da Hostinger, non da una chiave pubblica da incollare. Non convertirli in TXT, non mettere la destinazione tra virgolette e aggiungi tutti e tre i selettori, non uno solo.
Configurazione DNS
Dare per scontato che la connessione automatica abbia finito il lavoro. Connect automatically aggiunge MX, SPF e DKIM, ma mai DMARC. Se ti fermi lì, il tuo dominio non ha una policy DMARC ed è ancora falsificabile. Aggiungi sempre a mano il record TXT _dmarc.
Fa fallire l'autenticazione
Due record SPF. L'hosting web di Hostinger, un provider di posta precedente o Reach possono aver già lasciato un TXT v=spf1 sul dominio radice. Aggiungerne un secondo fa fallire SPF con un PermError per l'intero dominio: modifica quello esistente e unisci gli include in un solo record.
Copertura
Lasciare che Reach sostituisca il tuo SPF. La schermata di configurazione di Reach può invitarti a sostituire il tuo SPF esistente con il suo solo valore: così facendo perdi l'include _spf.mail.hostinger.com e rompi SPF per le tue caselle native. Unisci invece entrambi gli include in una sola riga.
Configurazione DNS
Confondere Hostinger Email con Hostinger Reach. Usano include diversi (_spf.mail e _spf.reach) e selettori DKIM diversi (hostingermail-a/b/c e reach-a/b). Se li usi entrambi, unisci gli include SPF in una sola riga ma pubblica entrambi i gruppi di CNAME DKIM.
Configurazione DNS
Usare i record di Hostinger quando la tua posta è in realtà su Google Workspace o Microsoft 365. Ospitare il sito su Hostinger non fa passare la tua email da Hostinger. Pubblica SPF e DKIM del tuo provider di posta, non questi.
Copertura
Digitare l'hostname completo in Name. Hostinger aggiunge il tuo dominio, quindi inserisci _dmarc, @ o hostingermail-a._domainkey, mai _dmarc.yourdomain.com, che si risolve in un hostname raddoppiato e inutilizzabile.
Copertura
Applicare DMARC fin dal primo giorno. Con p=reject prima di aver letto i report aggregati seppellisci la tua stessa posta legittima. Parti da p=none e stringi la policy solo quando il monitoraggio conferma l'allineamento.

Crea il tuo record SPF

Hostinger è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Selezionati

Hostingerinclude:_spf.mail.hostinger.comGuida →

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

a (il record A del dominio)mx (gli host MX del dominio)

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Include aggiuntivi

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

Indirizzi IPv4

Indirizzi IPv6

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

-all (fail)Rigido: i server riceventi dovrebbero rifiutare la posta da qualsiasi server non elencato.~all (softfail)Impostazione consigliata: i mittenti non elencati vengono accettati ma segnalati come sospetti.?all (neutral)Nessuna indicazione: non offre quasi nessuna protezione; usalo solo durante i test.

Il tuo record SPF1/10 ricerche DNS

v=spf1 include:_spf.mail.hostinger.com ~all

Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per Hostinger: domande frequenti

In hPanel vai su Domains, seleziona il tuo dominio, apri DNS / Nameservers e usa il modulo Manage DNS records / Add record dell'editor DNS Zone. SPF e DMARC sono record TXT (Name @ e _dmarc); il DKIM di Hostinger Email è composto da tre record CNAME. Le diciture di hPanel cambiano nel tempo, quindi se un'etichetta non corrisponde cerca i campi equivalenti Type / Name / Value.

Per Hostinger Email nativa è un CNAME, anzi tre: hostingermail-a._domainkey, hostingermail-b._domainkey e hostingermail-c._domainkey, ciascuno dei quali punta a una destinazione …dkim.mail.hostinger.com. Hostinger conserva e ruota la chiave effettiva. Esiste un'opzione Custom DKIM che permette agli utenti esperti di pubblicare una propria chiave come TXT, ma il percorso gestito predefinito sono i tre CNAME.

Se il tuo DNS è gestito da Hostinger, il pulsante Connect automatically in Emails aggiunge per te i record MX, SPF e DKIM. Non aggiunge DMARC: quello è sempre manuale. Con nameserver esterni non c'è nulla di automatico e aggiungi tu tutti e quattro i tipi di record presso il provider autorevole.

v=spf1 include:_spf.mail.hostinger.com ~all, pubblicato come singolo record TXT sul dominio radice (Name @). Quell'include prosegue a catena attraverso il relay di Hostinger e MailChannels, usando tre delle dieci ricerche di SPF. Se invii anche tramite altri servizi, unisci i loro include in questo record invece di pubblicare un secondo SPF.

Quelli di Google Workspace, non quelli di Hostinger. Dove è ospitato il tuo sito non ha nulla a che vedere con i server che inviano la tua posta. Pubblica l'include SPF di Google (include:_spf.google.com), la chiave DKIM di Google dalla console di amministrazione di Gmail e il tuo record DMARC, tutti nel DNS autorevole per il dominio.

Reach è il prodotto di Hostinger per marketing e newsletter e si autentica separatamente: include SPF _spf.reach.hostinger.com e CNAME DKIM reach-a._domainkey e reach-b._domainkey (con destinazioni sotto dkim.reach.hostinger.com). Se usi sia Reach sia Hostinger Email nativa, aggiungi entrambi i gruppi DKIM e unisci entrambi gli include SPF nel tuo unico record SPF radice: non lasciare che la procedura guidata di Reach sostituisca il tuo SPF esistente.

Il più delle volte il dominio non è davvero sui nameserver di Hostinger, quindi le tue modifiche non sono autorevoli: conferma prima che il dominio sia servito da ns1/ns2.dns-parking.com. Altrimenti, di solito è un hostname completo digitato nel campo Name (usa _dmarc o hostingermail-a._domainkey, non la versione con il dominio aggiunto), un DKIM inserito come TXT invece che come CNAME, un secondo record v=spf1 che provoca un PermError o semplicemente la propagazione: Hostinger applica le modifiche in fretta, ma i resolver pubblici possono mantenere la cache fino a 24-72 ore. Ricontrolla con dig o con un controllo esterno quando le cache si sono svuotate.

Letture correlate

SPF, DKIM e DMARC nell'hPanel di HostingerLa guida passo passo all'editor DNS: come aggiungere i tre record TXT in hPanel, con il valore del campo Name per ciascuno.Come funzionano insieme SPF, DKIM e DMARCLe basi, spiegate in parole semplici, di ogni record di questa guida: cosa dimostra ciascuno e perché i server riceventi li controllano tutti e tre.Come configurare DMARCUna guida completa al record DMARC che Hostinger non aggiunge mai per te, da p=none all'applicazione della policy.Come leggere i report DMARCTrasforma l'XML aggregato in un elenco dei tuoi veri mittenti, così puoi andare oltre p=none in sicurezza.Requisiti per i mittenti di Google e YahooPerché SPF, DKIM e DMARC sono diventati obbligatori nel 2024 e cosa devono avere in regola i mittenti di grandi volumi.Controllo autenticazione emailIncolla il tuo dominio e il selettore hostingermail-a per confermare che tutti e tre i record si risolvano e siano validi.Generatore di record DMARCCostruisci una stringa TXT _dmarc valida, con i tag giusti, prima di incollarla nell'editor DNS Zone.

Altri provider: Hosting e siti web

Tutte le guide SPF

Monitora ogni giorno SPF, DKIM e DMARC di HostingerConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominio SPF: troppe query DNS. Come contarle e correggere il permerror

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare