SPF, DKIM e DMARC per IONOS.
IONOS è un caso particolare perché spesso è sia il tuo provider DNS sia il tuo provider di posta, quindi “autenticare il dominio su IONOS” dipende interamente da dove puntano i tuoi nameserver. Se il dominio usa i nameserver IONOS (l'impostazione predefinita quando registri il dominio o lo ospiti su IONOS) e invii da caselle IONOS, IONOS ha già pubblicato per te la maggior parte dei record: una voce “IONOS SPF (TXT)” aggiornata in automatico e tre record CNAME che delegano DKIM. Il tuo vero compito è confermare che esistano, aggiungere l'unico record che IONOS non crea mai (DMARC) e verificare tutto su un messaggio reale. Se invece il DNS è altrove (Cloudflare, GoDaddy, Route 53) ma le caselle sono su IONOS, aggiungi tutto a mano: l'include SPF condiviso, i tre CNAME DKIM e DMARC. In ogni caso, “inviare con il tuo dominio” qui significa caselle IONOS Mail, webmail IONOS e moduli di contatto ospitati su IONOS. Tieni presente che Microsoft 365/Exchange rivenduto tramite IONOS si autentica in tutt'altro modo.
Perché autenticare IONOS?
Su IONOS la posta in gioco è la stessa di qualsiasi altro provider: Gmail e Yahoo mandano nello spam o rifiutano la posta ad alto volume non autenticata dall'introduzione delle regole per i mittenti di febbraio 2024, e qualsiasi casella considera sospetto un messaggio non allineato. IONOS però nasconde una trappola specifica. Quando è sia il tuo registrar sia il tuo nameserver, pubblica SPF e DKIM per te senza dirti nulla, quindi spesso la posta supera questi due controlli fin da subito e tutto sembra a posto. Quello che IONOS non pubblica mai è DMARC, e senza un record _dmarc non hai alcuna policy, nessuna applicazione dell'allineamento e nessun report aggregato: non puoi quindi accorgerti, per esempio, che il tuo strumento di marketing o il tuo modulo di contatto stanno inviando senza allineamento, e non soddisfi il requisito DMARC che Gmail e Yahoo oggi applicano ai grandi volumi. Su IONOS il lavoro raramente è “configurare tutti e tre da zero”: si tratta di confermare i due che IONOS ha già configurato, aggiungere quello che manca e dimostrare che tutti e tre si allineano al tuo dominio e non a ionos.com.
Come funziona davvero SPF con IONOS
IONOS usa il modello a include condiviso: ogni casella IONOS invia attraverso un pool fisso di server di posta IONOS pubblicati dietro un unico include, include:_spf-eu.ionos.com per la piattaforma europea o include:_spf-us.ionos.com per quella statunitense. Questo include si risolve in un elenco piatto di intervalli ip4: di IONOS, senza include annidati, quindi consuma esattamente una delle tue 10 ricerche SPF. Il modo in cui lo pubblichi dipende da chi gestisce il tuo DNS. Se il nameserver è IONOS, non devi mai digitare v=spf1 a mano: l'editor DNS ha un tipo di record dedicato, “IONOS SPF (TXT)”, che IONOS aggiunge per impostazione predefinita e mantiene aggiornato al variare dei suoi IP di invio. Devi solo confermare che ci sia. Se il DNS è altrove, inserisci a mano l'include nel tuo SPF radice esistente, mantenendo un solo record TXT (v=spf1 include:_spf-eu.ionos.com ~all), e unisci gli altri mittenti su quella stessa riga. Due record v=spf1 separati generano un PermError che rompe SPF per l'intero dominio, ed è il modo più comune in cui l'SPF di IONOS viene disattivato per errore.
Due modi per configurarlo
IONOS ospita il tuo DNS (gestione per lo più automatica)
- IONOS pubblica l'SPF in automatico con il tipo di record “IONOS SPF (TXT)” e lo mantiene aggiornato
- I tre CNAME DKIM vengono creati per te quando usi i nameserver IONOS + IONOS Mail
- Più che altro confermi che i record esistano e aggiungi l'unico che IONOS non crea mai: DMARC
- Consuma una ricerca DNS SPF; niente da unire, a meno che tu non aggiunga altri mittenti
DNS ospitato altrove (manuale)
- Aggiungi tu include:_spf-eu.ionos.com (o _spf-us) al tuo SPF radice
- Crei a mano tutti e tre i CNAME DKIM: s1-ionos, s2-ionos e il selettore numerico specifico dell'account
- Aggiungi tu DMARC e unisci l'include agli altri mittenti
- Il pannello DNS di IONOS non è autoritativo: modifica i record presso il tuo vero provider DNS
Passo dopo passo
- 1
Apri l'editor DNS
Accedi su ionos.com, apri Menu → Domains & SSL, trova il dominio, poi in Actions fai clic sull'icona a forma di ingranaggio (o dei tre puntini) e scegli DNS. Si apre l'elenco dei record DNS del dominio.
- 2
Verifica su quale piattaforma (UE o USA) si trova la tua posta
Prima di toccare SPF, annota la regione del data center del tuo account: le caselle europee usano la piattaforma UE, gli account sulla piattaforma statunitense ionos.com usano quella USA. Da questo dipende se ti serve _spf-eu.ionos.com o _spf-us.ionos.com. Se hai dubbi, controlla l'host del server SMTP/di posta che IONOS ti ha assegnato o chiedi al supporto IONOS: se tiri a indovinare e sbagli, tutta la tua posta finisce in softfail senza alcun avviso.
- 3
Controlla cosa pubblica già IONOS
Se il dominio usa i nameserver IONOS e invii da IONOS Mail, scorri prima l'elenco dei record: di solito trovi già una voce IONOS SPF (TXT) più tre CNAME chiamati s1-ionos._domainkey, s2-ionos._domainkey e un selettore numerico come sXXXXXXXX._domainkey. Se ci sono, non duplicarli: passa direttamente ad aggiungere DMARC e a verificare.
- 4
Pubblica o conferma SPF
Su DNS IONOS: fai clic su Add record → IONOS SPF (TXT) e poi su Save. IONOS mantiene il valore corretto e lo unisce a qualsiasi SPF esistente. Su DNS esterno: aggiungi un record TXT con host @ e valore v=spf1 include:_spf-eu.ionos.com ~all (usa _spf-us.ionos.com se sei sulla piattaforma USA). Se esiste già un record SPF, unisci l'include su quella riga: non creare mai un secondo record SPF.
- 5
Aggiungi i tre CNAME DKIM
Su DNS IONOS vengono creati in automatico; su DNS esterno aggiungili tutti e tre come record CNAME: host s1-ionos._domainkey → s1.dkim.ionos.com, host s2-ionos._domainkey → s2.dkim.ionos.com e host sXXXXXXXX._domainkey → sXXXXXXXX.dkim.ionos.com. Il selettore numerico è unico per il tuo account: copialo esattamente dal pannello IONOS, non inventarlo. Inserisci solo l'etichetta dell'host; IONOS aggiunge il dominio in automatico.
- 6
Disattiva qualsiasi proxy esterno sui CNAME
Se il tuo DNS è dietro Cloudflare, imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un proxy a nuvola arancione riscrive la destinazione del CNAME e la verifica DKIM fallisce.
- 7
Aggiungi il record DMARC
IONOS non crea mai DMARC per te. Aggiungi un record TXT con host _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non incide sul recapito mentre confermi l'allineamento: più avanti renderai la policy più restrittiva.
- 8
Attendi la propagazione
IONOS indica che le modifiche possono richiedere fino a 48 ore per propagarsi a livello globale, anche se di solito ci vuole molto meno. Il TTL predefinito dei record IONOS è di un'ora. Non giudicare la configurazione prima che il DNS abbia avuto il tempo di aggiornarsi.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un messaggio dalla tua casella IONOS a un account Gmail, aprilo e usa ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con firma di yourdomain.com (selettore s1-ionos o s2-ionos) e DMARC: PASS, tutti allineati al tuo dominio e non a ionos.com.
- 10
Ripeti per ogni dominio di invio
SPF, DKIM e DMARC valgono per singolo dominio. Se invii da più domini ospitati su IONOS, ognuno ha bisogno del proprio IONOS SPF, dei propri CNAME DKIM e del proprio record _dmarc.
Record da aggiungere
IONOS genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf-eu.ionos.com ~allSPF radice per le caselle sulla piattaforma UE. Gli account sulla piattaforma USA usano invece include:_spf-us.ionos.com. Se IONOS ospita il tuo DNS, aggiungilo con Add record → “IONOS SPF (TXT)”, che lo aggiorna in automatico. Tieni un solo record SPF e unisci gli altri mittenti su questa riga. |
| CNAME | s1-ionos._domainkey | s1.dkim.ionos.comSelettore DKIM 1: delegato a IONOS tramite CNAME. Creato in automatico quando il nameserver è IONOS; aggiungilo a mano su DNS esterno. |
| CNAME | s2-ionos._domainkey | s2.dkim.ionos.comSelettore DKIM 2: si alterna a s1-ionos nella rotazione. |
| CNAME | sXXXXXXXX._domainkey | sXXXXXXXX.dkim.ionos.comValore di esempio: il selettore numerico è unico per il tuo account (es. s42582890). Copia il valore esatto dal pannello DNS di IONOS; non tirare a indovinare. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: IONOS non la crea mai. Una per dominio. Parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di IONOS.
IONOS occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Su IONOS DKIM è delegato tramite CNAME, mai con una chiave incollata. Pubblichi tre record CNAME: s1-ionos._domainkey e s2-ionos._domainkey (una coppia a rotazione) che puntano a s1.dkim.ionos.com e s2.dkim.ionos.com, più un selettore numerico specifico dell'account come s42582890._domainkey, che punta al corrispondente s42582890.dkim.ionos.com. Poiché le vere chiavi pubbliche stanno da IONOS dietro quei CNAME, IONOS può ruotare le chiavi senza che tu debba mai toccare il DNS: è proprio questo lo scopo della delega, ed è il motivo per cui non devi mai provare a pubblicare una chiave DKIM TXT grezza per una casella IONOS. Quando il nameserver è IONOS, tutti e tre vengono creati in automatico non appena il dominio ha IONOS Mail; su un DNS esterno li aggiungi tutti e tre a mano e devi copiare il selettore numerico esattamente dal pannello DNS di IONOS, perché è unico per il tuo account e non si può indovinare. Fanno eccezione le caselle Microsoft 365 rivendute da IONOS: il loro DKIM si gestisce in Microsoft, non con questi CNAME.
DMARC
DMARC è l'unico record che IONOS non pubblica per te, nemmeno quando gestisce SPF e DKIM in automatico: su quasi tutti i domini IONOS, quindi, manca finché non lo aggiungi tu. Crea un solo record TXT sull'host _dmarc con una policy di solo monitoraggio per iniziare: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma attiva i report aggregati che mostrano quali sorgenti (IONOS Mail, il tuo ESP, il tuo modulo di contatto) superano i controlli e sono allineate. Quando i report confermano che la tua posta IONOS legittima si autentica senza problemi, irrigidisci la policy passando a p=quarantine e poi a p=reject. È quest'ultimo passaggio a soddisfare davvero il requisito di una policy DMARC applicata posto da Gmail e Yahoo; SPF e DKIM da soli non bastano.
Verifica che funzioni davvero
Non fidarti del pannello DNS: verifica su un messaggio reale. Invia un'email dalla tua casella IONOS a un indirizzo Gmail, aprila e scegli ⋮ → Show original. Devi vedere tre righe PASS, tutte allineate al tuo dominio (non a ionos.com): SPF: PASS da un IP IONOS, DKIM: PASS con firma di yourdomain.com e selettore s1-ionos o s2-ionos, e DMARC: PASS. Dalla riga di comando, dig TXT yourdomain.com deve restituire esattamente una riga v=spf1, e dig CNAME s1-ionos._domainkey.yourdomain.com deve risolversi in s1.dkim.ionos.com. Ricorda che su IONOS la propagazione può richiedere fino a 48 ore con un TTL predefinito di un'ora, quindi un controllo che fallisce subito dopo il salvataggio di solito è solo questione di tempi. Il nostro check-up del dominio esegue tutti questi controlli insieme e segnala tutto ciò che non è allineato.
Insidie comuni
- Copertura
Confondere UE e USA è l'errore n. 1 su IONOS: le caselle sulla piattaforma europea richiedono include:_spf-eu.ionos.com, gli account sulla piattaforma USA richiedono include:_spf-us.ionos.com. Quello sbagliato autorizza gli IP del data center sbagliato e manda in softfail ogni messaggio, anche se il record sembra corretto. Scegli in base alla regione dell'account, non a dove ti trovi tu.
- Fa fallire l'autenticazione
Se IONOS ospita il tuo DNS, non incollare una riga SPF manuale: IONOS ne pubblica e mantiene già una con il tipo di record “IONOS SPF (TXT)”. Aggiungere anche la tua riga v=spf1 crea due record SPF, il che genera un PermError e rompe SPF del tutto.
- Copertura
Il record _spf-eu.ionos.com di IONOS termina con ?all (neutrale), non con ~all. Non puoi cambiarlo, perché è il record di IONOS, ma mantieni su ~all il tuo record, quello che contiene l'include e non copiare il qualificatore neutrale nel tuo SPF.
- Configurazione DNS
DKIM è delegato tramite CNAME, quindi non provare mai a incollare una chiave DKIM TXT per le caselle IONOS. Se hai eliminato i CNAME, aggiungi di nuovo s1-ionos._domainkey, s2-ionos._domainkey e il selettore numerico specifico dell'account, copiando quest'ultimo esattamente dal tuo pannello: è unico per il tuo account.
- Configurazione DNS
Microsoft 365 o Exchange acquistati tramite IONOS si autenticano in Microsoft, non con i CNAME s1-ionos. Per quei domini DKIM si configura nel portale Microsoft 365 Defender (e ora Exchange Online applica in automatico una firma DKIM predefinita alla posta in uscita, anche prima che tu configuri un selettore personalizzato). I CNAME s1-ionos/s2-ionos di IONOS coprono solo le caselle di IONOS.
- Configurazione DNS
Se i tuoi nameserver puntano altrove, il pannello DNS di IONOS non è autoritativo e il suo SPF/DKIM gestito in automatico non si applica: devi aggiungere l'include e i CNAME presso il tuo vero provider DNS.
- Configurazione DNS
Su Cloudflare o su qualsiasi DNS con proxy, imposta i CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME con proxy attivo riscrive la destinazione e la verifica DKIM fallisce.
- Copertura
Dai tempo al DNS: IONOS indica che la propagazione può richiedere fino a 48 ore e il suo TTL predefinito è di un'ora. Un test che fallisce subito dopo il salvataggio di solito dipende dalla propagazione, non da un record rotto.
Crea il tuo record SPF
IONOS è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per IONOS: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.