SPF, DKIM e DMARC per Intercom.
Intercom è uno dei tuoi canali di invio più attivi: le risposte dell'assistenza dall'Inbox, le risoluzioni di Fin AI, Series e le campagne outbound, e i messaggi del ciclo di vita passano tutti da lì. Perché questi messaggi raggiungano la posta in arrivo e rispettino i requisiti di Google, Yahoo e Microsoft, devono autenticarsi con il TUO dominio, non con intercom-mail.com. Intercom lo fa con un'autenticazione del dominio basata su CNAME: verifichi un indirizzo di invio, poi pubblichi un piccolo gruppo di record CNAME che delegano a Intercom la firma DKIM e il Return-Path, più un record TXT DMARC. Questa guida ripercorre l'esatta configurazione attuale: il percorso nella dashboard, la forma di ogni record, perché non c'è alcun include SPF da incollare e come verificare.
Perché autenticare Intercom?
Se invii posta da Intercom con un indirizzo del tuo dominio senza autenticarlo, i server riceventi vedono un messaggio che dice di provenire da te ma non ha né una firma DKIM allineata al tuo dominio né un Return-Path allineato: non supera DMARC e finisce nello spam o viene rifiutato del tutto. Lasciare come mittente l'indirizzo predefinito intercom-mail.com evita il problema, ma consegna al dominio condiviso di Intercom il tuo brand e la fiducia che ispiri. Da febbraio 2024 Google e Yahoo richiedono formalmente SPF, DKIM e DMARC a chiunque invii grandi volumi (circa 5.000+ messaggi al giorno), e Microsoft ha seguito la stessa strada. Completare l'autenticazione del dominio in Intercom ti dà una firma DKIM allineata al tuo dominio, un Return-Path personalizzato allineato per SPF e un record DMARC che lega il tutto: la combinazione che ti fa guadagnare il posizionamento nella posta in arrivo.
Come funziona davvero SPF con Intercom
Intercom è un provider basato su CNAME, non su include SPF. NON c'è alcuna stringa condivisa come “include:intercom.com” da aggiungere al tuo record SPF radice (v=spf1): pubblicarne una non serve a niente e consuma solo il tuo budget di 10 ricerche SPF. Intercom imposta invece un Return-Path personalizzato (il dominio del mittente della busta, cioè dei bounce) su ogni messaggio che invia: un sottodominio del TUO dominio che deleghi a Intercom con un CNAME. Poiché quel sottodominio punta via CNAME all'host di Return-Path di Intercom, il controllo SPF segue la catena fino al record SPF di Intercom e viene superato sugli IP di invio autorizzati di Intercom; e poiché il dominio della busta è un sottodominio del tuo, soddisfa l'allineamento SPF relaxed di DMARC rispetto al tuo dominio From. In pratica il tuo record SPF radice resta esattamente com'è, e Intercom non vi aggiunge alcuna ricerca DNS. Se invii già tramite Google Workspace, Microsoft 365 o un ESP, lascia stare quegli include: a Intercom bastano i CNAME DKIM e Return-Path.
Passo dopo passo
- 1
Verifica l'indirizzo di invio che userai
Prima di poter autenticare un dominio, Intercom deve confermare che controlli un indirizzo di invio su quel dominio (ad esempio help@yourdomain.com o hello@yourdomain.com). Aggiungi o modifica l'indirizzo e Intercom invia un link di verifica a quella casella: fai clic sul link, poi torna in Intercom. Puoi autenticare solo i domini degli indirizzi verificati in questo modo.
- 2
Apri “Authenticate your domain” per vedere i tuoi record
Con l'indirizzo verificato, seleziona il dominio e fai clic su “Authenticate your domain” (i workspace meno recenti mostrano “Finish setup”). Intercom genera i record esatti per QUESTO workspace e dominio: due CNAME (DKIM + Return-Path personalizzato) e un TXT DMARC. Tieni aperta questa schermata: dovrai copiare alla lettera Name/Host e Value/Target di ogni record.
- 3
Pubblica il CNAME DKIM
Crea un CNAME il cui host è il selettore DKIM di Intercom, intercom._domainkey.yourdomain.com, che punta alla destinazione DKIM indicata da Intercom. In questo modo deleghi a Intercom l'hosting della chiave DKIM: la firma (d=) si allinea al tuo dominio e Intercom può ruotare le chiavi in seguito senza che tu debba più toccare il DNS. È un CNAME, mai un record TXT.
- 4
Pubblica il CNAME del Return-Path personalizzato
Crea il secondo CNAME esattamente come lo indica Intercom: un sottodominio bounce/Return-Path del tuo dominio che punta all'host di Return-Path di Intercom. È questo a far allineare SPF al tuo dominio: Intercom imposta il mittente della busta su questo sottodominio, il controllo SPF segue il CNAME fino all'infrastruttura autorizzata di Intercom e viene superato, e DMARC vede un dominio allineato. Se lo salti, resti con la sola autenticazione DKIM.
- 5
Non toccare il tuo record SPF radice
Non aggiungere un include di Intercom o SendGrid al tuo record v=spf1: Intercom non ne usa per i domini dei clienti e il CNAME del Return-Path gestisce già l'allineamento SPF. Se esiste un record SPF radice per altri mittenti (Google, Microsoft, un ESP), lascialo com'è. Rivedilo solo se in seguito un controllo mostra che superi le 10 ricerche SPF a causa dei tuoi ALTRI mittenti.
- 6
Pubblica o rendi più rigoroso il record DMARC
Se non hai ancora un record DMARC, aggiungi un TXT su _dmarc.yourdomain.com. Intercom offre un valore iniziale con p=none (solo monitoraggio): pubblicalo per iniziare a raccogliere i report e includi sempre una casella rua=, così ricevi i dati aggregati. Se hai già DMARC, non ti serve la copia di Intercom: conferma solo che la tua policy attuale vada ancora bene ora che Intercom è una sorgente allineata.
- 7
Gestisci le particolarità DNS di ogni provider
Su Cloudflare, imposta ogni CNAME su “DNS-only” (nuvola grigia, proxy OFF), altrimenti la risoluzione si rompe. Su GoDaddy e su alcuni registrar, inserisci il Name senza punto finale e senza aggiungere di nuovo il dominio se il pannello lo aggiunge automaticamente; altri pannelli richiedono il nome completo (intercom._domainkey.yourdomain.com). Se esiste già un record con lo stesso host, rimuovilo: un CNAME non può coesistere con un altro record sullo stesso nome.
- 8
Valida in Intercom e conferma l'allineamento
Torna in Domains & addresses e fai clic su “Validate authentication”. La propagazione DNS può richiedere fino a 72 ore (di solito molto meno), quindi se la validazione fallisce aspetta e riprova invece di modificare di nuovo record corretti. Quando lo stato è verde, invia un messaggio di prova e controlla le intestazioni per confermare DKIM=pass e SPF=pass con domini allineati al tuo, e dmarc=pass.
Record da aggiungere
Intercom genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | intercom._domainkey.yourdomain.com | dkim.intercom-mail.comValore di esempio. Delega DKIM tramite il selettore intercom._domainkey. Il Value esatto viene generato per workspace/dominio ed è indicato nella schermata Authenticate your domain: copialo alla lettera. I workspace regionali hanno destinazioni diverse: quelli UE si risolvono su intercom-mail.eu, quelli AU su au.intercom-mail.com. |
| CNAME | <intercom-generated-label>.yourdomain.com | custom-return-path.intercom-mail.comSolo a titolo illustrativo. Questo è il CNAME del Return-Path personalizzato (bounce) che fornisce l'allineamento SPF. Intercom genera l'etichetta host esatta E la destinazione per il tuo specifico workspace/dominio: l'etichetta NON è una parola fissa, quindi copia entrambe alla lettera dalla schermata Authenticate your domain invece di digitare questo esempio. È un CNAME, mai un record TXT/SPF. |
| TXT | _dmarc.yourdomain.com | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIl record DMARC da abbinare. Intercom precompila p=none (solo monitoraggio). Pubblicalo se non hai ancora DMARC, poi passa a quarantine/reject quando i report sono puliti. Se hai già un record DMARC, tieni il tuo. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Intercom.
La configurazione consigliata di Intercom aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Intercom usa un DKIM delegato tramite CNAME invece di una chiave TXT ospitata da te. Pubblichi un solo selettore, intercom._domainkey.yourdomain.com, come CNAME che punta all'host DKIM di Intercom, e Intercom genera, ospita e ruota la chiave sottostante. Poiché il dominio di firma (d=) è il tuo, ogni messaggio è firmato e allineato con DKIM: è il più robusto dei due percorsi di allineamento DMARC e sopravvive alla maggior parte degli inoltri. C'è un solo selettore da aggiungere e non devi mai incollare una lunga stringa di chiave pubblica né aggiornarla quando Intercom ruota le chiavi: il CNAME si risolve nella chiave che Intercom pubblica in quel momento.
DMARC
DMARC è il record che trasforma l'allineamento SPF e DKIM di Intercom in una policy applicata e ti dà i report. Intercom offre un TXT iniziale su _dmarc.yourdomain.com con p=none: pubblicalo (con un indirizzo rua=) se non hai ancora DMARC, così inizi a ricevere i report aggregati senza mettere a rischio la posta legittima. Quando la validazione di Intercom è verde e i tuoi report confermano che sia la firma DKIM sia il Return-Path si allineano al tuo dominio, alza la policy: da p=none a p=quarantine, poi a p=reject quando anche gli altri mittenti legittimi (Google, Microsoft, ESP) superano i controlli. Se invii più di ~5.000 messaggi al giorno dal tuo dominio, Google e Yahoo richiedono come minimo una policy DMARC pubblicata. Un unico record DMARC a livello di dominio organizzativo copre Intercom e ogni altro mittente: non ne aggiungi uno separato per Intercom.
Verifica che funzioni davvero
Fai clic su “Validate authentication” in Intercom > Domains & addresses; lo stato verde significa che entrambi i CNAME si sono risolti e che DKIM e Return-Path sono attivi. Poi verifica in modo indipendente: inviati un messaggio di prova da Intercom e guarda l'originale o le intestazioni. Devi vedere DKIM=pass con d=yourdomain.com, SPF=pass con un mittente della busta/Return-Path che sia un sottodominio di yourdomain.com, e dmarc=pass. Puoi anche analizzare il tuo dominio con un controllo SPF/DKIM/DMARC esterno per confermare che il CNAME intercom._domainkey e il TXT _dmarc siano visibili nel DNS pubblico. Poiché la propagazione può richiedere fino a 72 ore, se i record sono stati copiati correttamente considera un primo errore come “non ancora propagato”, non come un errore di configurazione.
Insidie comuni
- Fa fallire l'autenticazione
NON aggiungere un include SPF per Intercom. Per i domini dei clienti non esiste una stringa include:intercom: Intercom allinea SPF tramite il CNAME del Return-Path personalizzato. Aggiungere un include fasullo (o copiare l'include SendGrid di intercom.com) non serve a nulla e consuma il tuo budget di 10 ricerche SPF.
- Configurazione DNS
Tutti i record di invio sono CNAME, non TXT. Solo il record DMARC è un TXT. Se il tuo pannello DNS ti obbliga a scegliere un tipo, scegli CNAME per il selettore DKIM e per l'host del Return-Path: se li incolli come TXT la validazione fallisce.
- Configurazione DNS
Su Cloudflare, DISATTIVA il proxy (nuvola grigia / “DNS-only”) per entrambi i CNAME. Un CNAME con proxy attivo (nuvola arancione) si risolve in Cloudflare invece che nell'host di posta di Intercom e rompe le ricerche di DKIM e Return-Path.
- Configurazione DNS
Fai attenzione a come il tuo registrar gestisce il campo host. Alcuni pannelli (GoDaddy, Namecheap) aggiungono automaticamente il dominio, quindi inserisci solo intercom._domainkey; altri richiedono il nome completo intercom._domainkey.yourdomain.com. Su GoDaddy non aggiungere punti finali e non raddoppiare il dominio.
- Configurazione DNS
Se salti il CNAME del Return-Path resti con il solo DKIM. La posta può comunque superare DMARC con il solo DKIM, ma perdi la ridondanza dell'allineamento SPF, e la posta inoltrata che perde DKIM a quel punto non supera i controlli. Pubblica entrambi i CNAME.
- Configurazione DNS
Un CNAME non può coesistere con un altro record sullo stesso host. Se esiste un vecchio record intercom._domainkey o del sottodominio bounce (da una configurazione precedente o da un altro strumento), eliminalo prima, altrimenti il nuovo CNAME non verrà accettato.
- Copertura
Il DMARC predefinito di Intercom è p=none: solo monitoraggio. Ti dà i report, ma nessuna protezione dallo spoofing. Una volta confermato l'allineamento, passa a p=quarantine e poi a p=reject.
- Configurazione DNS
La regione conta. I workspace US, UE (intercom-mail.eu) e AU (au.intercom-mail.com) hanno destinazioni CNAME diverse. Copia sempre il Value esatto dalla tua dashboard invece di riusare un valore preso da una guida.
Crea il tuo record SPF
Intercom non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Intercom: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.