SPF, DKIM e DMARC per HubSpot.
HubSpot autentica il tuo dominio tramite il “collegamento di un dominio di invio email” (connecting an email sending domain), e il cuore di questa procedura è DKIM basato su CNAME, non una riga SPF condivisa. In Settings > Content > Domains & URLs > Email Sending colleghi il dominio usato dall'indirizzo From delle tue email di marketing; HubSpot genera due record CNAME specifici per il tuo account (hs1._domainkey e hs2._domainkey) che delegano a HubSpot chiavi DKIM a rotazione, più un include SPF consigliato e un record DMARC che aggiungi tu. Quando quei CNAME si risolvono, HubSpot firma la posta come d=yourdomain.com, DMARC viene superato grazie all'allineamento DKIM e sparisce l'indicazione “on behalf of” / “via hubspotemail.net” che Gmail aggiunge alla posta HubSpot non autenticata. La sorpresa per molti: con l'invio condiviso HubSpot mantiene il proprio Return-Path su hubspotemail.net, quindi per impostazione predefinita SPF non si allinea mai al tuo dominio. È DKIM il meccanismo che ti fa superare DMARC.
Perché autenticare HubSpot?
Autenticare il dominio di invio di HubSpot non è una formalità: fa la differenza tra posta in arrivo e cartella spam, e ormai HubSpot di fatto lo richiede. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno verso caselle di utenti privati) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso le stesse regole a Outlook.com/Hotmail/Live. HubSpot ha reagito spingendo con decisione il collegamento del dominio: le campagne inviate da indirizzi From pubblici e gratuiti (gmail.com, yahoo.com) vengono bloccate, e un dominio non collegato invia con l'identità di HubSpot, con tanto di indicazione “via hubspotemail.net”, mentre la tua reputazione finisce nello stesso calderone di tutti gli altri mittenti HubSpot non autenticati. C'è poi una particolarità di HubSpot che rende i due CNAME DKIM irrinunciabili: con l'invio condiviso HubSpot gestisce i bounce sul proprio Return-Path (un dominio di bounce hubspotemail.net), quindi SPF viene sempre verificato sul dominio di HubSpot, mai sul tuo dominio From. SPF può dare un “pass” grezzo, ma non si allinea, e DMARC tiene conto di SPF solo quando è allineato. Resta quindi DKIM, firmato come d=yourdomain.com tramite i selettori hs1/hs2, come unico meccanismo allineato che ti fa superare DMARC. Se salti i CNAME non hai alcuna autenticazione allineata, e la reputazione di invio che costruisci non viene mai attribuita al tuo dominio.
Come funziona davvero SPF con HubSpot
HubSpot è un provider con valori specifici per account, più simile ad Amazon SES che a un mittente con un unico include condiviso come Google Workspace o Microsoft 365. Non esiste un unico “include:_spf.hubspotemail.net” che ogni cliente incolla: quando colleghi un dominio di invio email, HubSpot genera valori specifici per il tuo account, cioè due CNAME DKIM le cui destinazioni contengono una versione del selettore specifica del portale (yourdomain-com.hs01a.dkim.hubspotemail.net, hs01b e così via), più un include SPF specifico per account nella forma include:NNNNNN.spfNN.hubspotemail.net (dove NNNNNN è il tuo Hub ID, es. include:123456.spf03.hubspotemail.net). HubSpot consiglia effettivamente di aggiungere quell'include SPF al record SPF radice del dominio del tuo indirizzo From, ed è davvero utile. Ecco però la sfumatura che quasi tutti i vecchi tutorial sbagliano: da solo non ti fa superare DMARC. Poiché il Return-Path è di HubSpot (per i mittenti condivisi i bounce vengono gestiti su hubspotemail.net), SPF viene valutato sul dominio di bounce di HubSpot: dà un pass grezzo per hubspotemail.net ma non si allinea al tuo dominio organizzativo, e DMARC tiene conto solo di un risultato SPF allineato. È proprio per questo che HubSpot mette al primo posto i due CNAME DKIM: DKIM firmato come d=yourdomain.com è il meccanismo che si allinea e ti fa superare DMARC, mentre l'include SPF è una sicurezza in più per il controllo SPF grezzo. Ne derivano due regole. Primo, copia dal portale l'include esatto specifico per il tuo account (Domains & URLs > Advanced Options > Copy SPF record) e non tirare mai a indovinare un valore generico: i segmenti NNNNNN e spfNN sono solo tuoi. Secondo, tieni esattamente un record TXT SPF sul dominio: unisci l'include di HubSpot alla riga v=spf1 esistente invece di pubblicare un secondo record SPF (due sono un PermError), e ricorda che conta nel limite di 10 ricerche. Se vuoi che anche SPF si allinei, HubSpot offre un Return-Path personalizzato (custom Return-Path), ma è una funzione di Marketing Hub Enterprise e, con l'allineamento DMARC rigoroso (strict), funziona solo quando il dominio di invio è un sottodominio (mail.company.com), non il dominio radice company.com.
Due modi per configurarlo
Collegamento del dominio con DKIM (obbligatorio, fa superare DMARC)
- Due CNAME (hs1._domainkey, hs2._domainkey) delegano a HubSpot chiavi DKIM a rotazione
- Firma la posta come d=yourdomain.com, così DKIM si allinea e DMARC viene superato grazie a DKIM
- Non aggiunge alcuna ricerca DNS al tuo SPF radice: i CNAME stanno sui propri selettori
- HubSpot ruota le chiavi dietro i selettori; non devi mai più modificare il DNS
Include SPF + Return-Path personalizzato (complementare)
- L'include specifico per account include:NNNNNN.spfNN.hubspotemail.net soddisfa il controllo SPF grezzo
- Per impostazione predefinita NON si allinea: il Return-Path di HubSpot è su hubspotemail.net
- Costa una delle tue 10 ricerche SPF quando lo unisci al record radice
- SPF si allinea solo se attivi un Return-Path personalizzato (Marketing Hub Enterprise) E invii da un sottodominio
Passo dopo passo
- 1
Apri le impostazioni Email Sending
Fai clic sull'ingranaggio delle impostazioni, poi nella barra laterale sinistra vai su Content > Domains & URLs e apri la scheda Email Sending. (In alcuni portali si trova sotto Website > Domains & URLs.) Qui HubSpot gestisce i domini di invio collegati: SPF e DMARC vanno comunque aggiunti presso il tuo provider DNS, non qui.
- 2
Collega un dominio di invio
Fai clic su Connect a sending domain (o Connect a new domain) e inserisci il dominio usato dall'indirizzo From delle tue email di marketing. Decidi subito tra dominio radice e sottodominio: collega yourdomain.com per la configurazione più semplice, oppure un sottodominio come mail.yourdomain.com se vuoi tenerti l'opzione di un Return-Path personalizzato che allinei anche SPF (una funzione Enterprise).
- 3
Scegli la configurazione DNS automatica o manuale
HubSpot offre un percorso guidato/automatico per i provider DNS supportati, oppure un percorso manuale in cui copi i record e li incolli tu presso il tuo registrar. Entrambi creano gli stessi record. Scegli quello manuale se vuoi controllare i valori esatti prima di pubblicarli.
- 4
Copia i record specifici del tuo account
HubSpot mostra due record CNAME DKIM (Host hs1._domainkey e hs2._domainkey, ciascuno con una destinazione hubspotemail.net) più l'include SPF consigliato. Questi valori sono unici per il tuo portale: copia esattamente Host e destinazione di ciascuno. Alcuni account mostrano i selettori come hs1-<portalID>._domainkey / hs2-<portalID>._domainkey.
- 5
Aggiungi i due CNAME DKIM
Presso il tuo provider DNS crea entrambi i record di tipo CNAME: Host hs1._domainkey -> Valore yourdomain-com.hs01a.dkim.hubspotemail.net e Host hs2._domainkey -> Valore ...hs01b... (usa le destinazioni esatte mostrate da HubSpot). Mantieni il tipo CNAME: non passare a TXT e non accorciare né unire i due valori.
- 6
Sistema le etichette host e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (hs1._domainkey, non hs1._domainkey.yourdomain.com) per evitare che venga duplicato. Su Cloudflare imposta ogni CNAME su DNS only (nuvola grigia): un CNAME in proxy (nuvola arancione) non si risolve su hubspotemail.net e il dominio non si collega.
- 7
Unisci l'include SPF di HubSpot al tuo unico record SPF
HubSpot consiglia di aggiungere il suo include SPF al dominio del tuo indirizzo From. Aggiungi include:NNNNNN.spfNN.hubspotemail.net (il tuo valore esatto) al TXT SPF radice esistente, es. v=spf1 include:_spf.google.com include:123456.spf03.hubspotemail.net ~all. Non creare mai un secondo record SPF: unisci tutto nell'unica riga v=spf1. Ricorda che così soddisfi il controllo SPF grezzo, ma SPF non si allinea.
- 8
Pubblica un record DMARC
HubSpot non crea DMARC e la sua assistenza non può aiutarti: questo record è responsabilità tua. Aggiungi un record TXT con host _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi nel recapito non cambia nulla mentre confermi che HubSpot superi DKIM con allineamento. Tieni un solo record _dmarc; i sottodomini lo ereditano.
- 9
Verifica il dominio in HubSpot
Torna nella scheda Email Sending e lascia che HubSpot ricontrolli il DNS (Continue setup / lo stato si aggiorna). La propagazione di solito richiede pochi minuti, ma può arrivare fino a 24-48 ore; il dominio passa a Connected quando entrambi i CNAME si risolvono. Se resta bloccato, ricontrolla le destinazioni CNAME esatte e che non siano in proxy.
- 10
Invia un'email di prova e imposta l'indirizzo From
Invia un'email di prova da HubSpot a un account Gmail, aprila e dal menu a tre puntini scegli Show original: devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS (SPF probabilmente mostrerà hubspotemail.net: è previsto, è DKIM a garantire l'allineamento). Poi imposta l'indirizzo From delle email di marketing e il dominio delle preferenze email/iscrizioni sul dominio collegato, così la posta lo usa davvero.
Record da aggiungere
HubSpot genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | hs1._domainkey | yourdomain-com.hs01a.dkim.hubspotemail.netChiave DKIM 1, specifica per account. Valore di esempio: copia la destinazione esatta dal tuo portale HubSpot (il segmento hs01a della versione del selettore varia da account ad account; alcuni account indicano l'host come hs1-<portalID>._domainkey). |
| CNAME | hs2._domainkey | yourdomain-com.hs01b.dkim.hubspotemail.netChiave DKIM 2: il selettore abbinato permette a HubSpot di ruotare le chiavi. Valore di esempio: usa la destinazione hs2 esatta mostrata da HubSpot; non accorciarla e non unirla a hs1. |
| TXT | @ | v=spf1 include:123456.spf03.hubspotemail.net ~allSPF è specifico per account (include:NNNNNN.spfNN.hubspotemail.net, dove NNNNNN è il tuo Hub ID) e il valore è solo un esempio: copia il tuo da Domains & URLs > Advanced Options. Consigliato ma complementare: soddisfa il controllo SPF grezzo ma NON si allinea (il Return-Path è di HubSpot). Uniscilo al tuo unico SPF radice; costa ~1 ricerca. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: HubSpot non lo crea mai e l'assistenza non può aiutarti. Uno per dominio; per HubSpot è l'allineamento DKIM a farlo superare. Parti da p=none, poi rendilo più restrittivo. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di HubSpot.
HubSpot occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è l'autenticazione principale di HubSpot, e di fatto obbligatoria: è ciò che ti fa superare DMARC, perché con HubSpot SPF non si allinea. Quando colleghi un dominio di invio email, HubSpot ti fornisce due record CNAME, Host hs1._domainkey e hs2._domainkey, ciascuno dei quali punta a una destinazione hubspotemail.net specifica per il tuo account nella forma yourdomain-com.hsNNa.dkim.hubspotemail.net e ...hsNNb... (il prefisso con il dominio scritto con i trattini e il segmento hsNN della versione del selettore sono unici per il tuo portale; alcuni account indicano gli host come hs1-<portalID>._domainkey e hs2-<portalID>._domainkey). Poiché sono CNAME delegati a HubSpot, non record TXT da incollare, è HubSpot a custodire le chiavi private e a usare i due selettori per ruotarle in automatico, quindi dopo la configurazione iniziale non dovrai mai più modificare il DNS. Pubblicali entrambi (un solo selettore non basta), mantieni il tipo CNAME e non accorciare, riformattare o unire i due valori. Su Cloudflare impostali su DNS only (nuvola grigia), così si risolvono su hubspotemail.net. Quando entrambi si risolvono e HubSpot mostra il dominio come Connected, la posta in uscita viene firmata con d=yourdomain.com tramite i selettori hs1/hs2: è questa firma DKIM allineata a farti superare DMARC, ed è per questo che qui non puoi affidarti solo a SPF.
DMARC
DMARC è un record TXT di policy separato che HubSpot non crea, e l'assistenza di HubSpot dichiara esplicitamente di non poter aiutare con la configurazione di DMARC: questo tocca a te. Pubblicalo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) per confermare che HubSpot superi DKIM con allineamento al tuo dominio. Poiché con HubSpot SPF viene verificato sul suo Return-Path hubspotemail.net e quindi non si allinea, aspettati report in cui HubSpot supera i controlli solo con DKIM: è normale e basta per superare DMARC. Tieni esattamente un record _dmarc per l'intero dominio organizzativo; un sottodominio da cui invii (es. mail.yourdomain.com) è considerato autenticato in base alla policy del dominio radice grazie all'ereditarietà DMARC, anche se puoi sovrascrivere la policy di un sottodominio specifico con un suo record _dmarc o con il tag sp=. Quando ogni mittente legittimo (HubSpot più Google Workspace, Microsoft 365 o qualsiasi relay transazionale) supera i controlli con allineamento, rendi più restrittiva la policy passando a p=quarantine e infine a p=reject, per bloccare davvero lo spoofing.
Verifica che funzioni davvero
Non fidarti solo del badge “Connected” di HubSpot: confermalo su un messaggio reale. Invia un'email di prova da HubSpot a un account Gmail, aprila e dal menu a tre puntini scegli Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com (il segnale tipico di un problema è d=hubspotemail.net o una riga “on behalf of”, che significa che i CNAME non sono verificati o che l'indirizzo From non è sul dominio collegato) e DMARC: PASS. SPF in genere mostrerà hubspotemail.net invece del tuo dominio: è previsto, perché il Return-Path è di HubSpot ed è DKIM a garantire l'allineamento, quindi qui un SPF che supera il controllo ma non è allineato non è un problema. Puoi verificare a campione i record grezzi con dig CNAME hs1._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che entrambi i CNAME DKIM, il tuo SPF unificato e il record DMARC si risolvano correttamente e che SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC per verificare che HubSpot compaia come sorgente allineata tramite DKIM che supera i controlli.
Insidie comuni
- Configurazione DNS
Su HubSpot SPF non si allinea: con l'invio condiviso il Return-Path predefinito è su hubspotemail.net, quindi SPF dà un pass grezzo per HubSpot ma non per il tuo dominio. I due CNAME DKIM (d=yourdomain.com) sono l'UNICO meccanismo allineato: aggiungere solo l'include SPF non ti fa superare DMARC.
- Copertura
Copia i valori esatti specifici del tuo account. Le destinazioni DKIM (yourdomain-com.hsNNa/hsNNb.dkim.hubspotemail.net) e l'include SPF (include:NNNNNN.spfNN.hubspotemail.net) sono unici per il tuo portale. Un include generico inventato come include:_spf.hubspotemail.net o un segmento di versione del selettore sbagliato fanno fallire la verifica.
- Copertura
Il Return-Path personalizzato è solo per Enterprise e solo per sottodomini: il Return-Path personalizzato che allineerebbe SPF è una funzione di Marketing Hub Enterprise e, con l'allineamento DMARC rigoroso (strict), è supportato solo quando invii da un sottodominio come mail.company.com, non dal dominio radice company.com. Se l'allineamento SPF ti interessa, ti servono entrambe le condizioni.
- Configurazione DNS
HubSpot non ti aiuta con DMARC. L'assistenza di HubSpot dichiara esplicitamente di non poter intervenire sul record _dmarc, e HubSpot non lo crea mai: devi pubblicarlo tu e partire da p=none.
- Configurazione DNS
Il proxy di Cloudflare rompe i CNAME: imposta sia hs1._domainkey sia hs2._domainkey su DNS only (nuvola grigia). Un CNAME in proxy (nuvola arancione) non si risolve su hubspotemail.net e il dominio non si collega.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire hs1._domainkey.yourdomain.com produce hs1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (hs1._domainkey, hs2._domainkey) quando il pannello aggiunge il dominio per te.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF. Unisci l'include di HubSpot alla riga v=spf1 esistente (due record SPF sono un PermError) e ricorda che conta nel limite di 10 ricerche DNS previsto dalla RFC 7208.
- Copertura
Collegare il dominio non significa usarlo. Dopo la verifica del DNS, imposta l'indirizzo From delle email di marketing (e il dominio delle preferenze email/iscrizioni) sul dominio collegato, altrimenti la posta continua a partire non allineata, con l'identità di HubSpot.
Crea il tuo record SPF
HubSpot non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per HubSpot: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.