SPF, DKIM e DMARC per Kit (ConvertKit).
Kit (ex ConvertKit) autentica il tuo dominio con la procedura Verified Sending Domain (VSD), in Settings e poi Email, non facendoti incollare una riga SPF condivisa. Kit genera due record CNAME: uno su un sottodominio ckespa, che gestisce la delega SPF/Return-Path, e uno su cka._domainkey, che si occupa della firma DKIM. Li aggiungi presso il tuo provider DNS (oppure lasci che l'automazione Entri di Kit, “Set this up for me”, li aggiunga per te), fai clic su Validate e da quel momento Kit firma con DKIM ogni broadcast e automazione a nome del tuo dominio. Il tuo record SPF radice non cambia mai, la nota “via convertkit-mail.com” scompare e DMARC può essere superato grazie a un DKIM allineato.
Perché autenticare Kit (ConvertKit)?
Configurare un Verified Sending Domain in Kit non è un dettaglio estetico: decide se le tue newsletter raggiungono la posta in arrivo. Kit è una piattaforma di newsletter ad alto volume, e un creator con qualche migliaio di iscritti è esattamente il “mittente di grandi volumi” che i provider di posta ora controllano: da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole su Outlook/Hotmail. Finché non verifichi il dominio, Kit invia sulla propria infrastruttura condivisa convertkit-mail.com / convertkit-mail2.com: i destinatari Gmail vedono l'etichetta “via convertkit-mail.com” accanto al tuo nome, il tuo indirizzo From non è crittograficamente tuo, DMARC non può dare un pass allineato e la tua reputazione finisce in comune con quella di tutti gli altri creator non autenticati su quel pool condiviso. Un Verified Sending Domain risolve tutto con una sola mossa: DKIM firma come d=yourdomain.com e quindi si allinea, l'etichetta “via” sparisce, DMARC viene superato e la reputazione di invio che costruisci si accumula sul tuo dominio anziché sull'infrastruttura condivisa di Kit.
Come funziona davvero SPF con Kit (ConvertKit)
Kit è un provider a delega CNAME, quindi NON c'è alcun “include:convertkit-mail.com” (o simile) da aggiungere al tuo SPF radice, per nessuno. Quando configuri un Verified Sending Domain, Kit ti dà due CNAME su sottodomini del tuo dominio: ckespa.yourdomain.com (che delega la parte SPF/Return-Path allo spazio autorizzato SPF di Kit) e cka._domainkey.yourdomain.com (che delega la firma DKIM). Il record TXT SPF del tuo dominio radice resta intatto e la procedura di Kit non ti chiede mai di modificarlo: la risoluzione SPF per la posta di Kit avviene interamente sul sottodominio ckespa, indipendentemente dal tuo record radice. La sfumatura importante, quella che quasi tutti i tutorial generici sbagliano: con Kit il percorso affidabile per l'allineamento DMARC è DKIM, non SPF. Kit gestisce i bounce sulla propria infrastruttura di busta, quindi non contare sull'allineamento SPF per superare DMARC: è il CNAME cka._domainkey, che firma ogni messaggio come d=yourdomain.com, a garantire l'allineamento e il superamento dei controlli. Ecco perché la schermata di configurazione di Kit mostra solo CNAME e un invito a configurare DMARC, e mai una riga v=spf1. In sintesi: nessun include SPF condiviso, zero ricerche DNS aggiunte al tuo SPF radice e DKIM come meccanismo su cui contare per DMARC.
Passo dopo passo
- 1
Apri la configurazione del Verified Sending Domain
Accedi su app.kit.com, fai clic sul nome del tuo account (in alto a destra), poi su Settings, e scegli Email nella barra laterale sinistra. Scorri fino alla sezione Verified Sending Domains e fai clic su “Set up your Verified Sending Domain”.
- 2
Inserisci il dominio da cui invii
Digita il dominio usato dal tuo indirizzo From: va bene un dominio di primo livello come yourdomain.com (Kit non richiede un sottodominio dedicato), oppure inserisci un sottodominio se invii da lì. Fai clic su Next e Kit genera i record specifici del tuo account.
- 3
Scegli la configurazione automatica o manuale
Scegli “Set this up for me” per usare l'integrazione Entri di Kit, che rileva automaticamente il tuo provider DNS, ti fa accedere e scrive i record per te: è la strada più rapida. Oppure scegli la configurazione manuale per copiare i due record CNAME e aggiungerli tu presso il tuo provider DNS.
- 4
Aggiungi il CNAME ckespa (delega SPF/Return-Path)
Crea un record CNAME con Host/Name = ckespa e Value/Target = l'hostname esatto mostrato da Kit (specifico dell'account, nello spazio convertkit-mail di Kit). Così deleghi a Kit la parte SPF/busta. Lascia il tipo di record su CNAME: non cambiarlo in TXT o A.
- 5
Aggiungi il CNAME cka._domainkey (DKIM)
Crea un secondo CNAME con Host/Name = cka._domainkey e Value/Target = l'hostname DKIM indicato da Kit. È ciò che firma la tua posta come d=yourdomain.com e ti fa superare DMARC con allineamento. L'underscore in _domainkey è obbligatorio.
- 6
Disattiva il proxy di Cloudflare
Se il tuo DNS è su Cloudflare, imposta entrambi i CNAME su “DNS only” (nuvola grigia, non arancione). Un CNAME con proxy attivo non si risolve in Kit e la verifica DKIM fallisce. Inserisci inoltre solo l'etichetta (ckespa, cka._domainkey) se il pannello aggiunge il dominio automaticamente.
- 7
Fai clic su Validate
Torna nella schermata Verified Sending Domain in Kit e fai clic su Validate. Di solito la propagazione richiede pochi minuti, ma può arrivare a 48 ore; se la convalida fallisce subito dopo l'aggiunta dei record, aspetta e riprova prima di cercare il problema. Il dominio risulta verificato quando entrambi i CNAME si risolvono.
- 8
Invia dal dominio verificato
Verificare il dominio non cambia da solo il tuo indirizzo From. Nelle impostazioni dell'account/email di Kit, assicurati che il tuo indirizzo di invio (From) sia un indirizzo del dominio verificato, es. hello@yourdomain.com, così i broadcast passano davvero dal percorso autenticato.
- 9
Pubblica una policy DMARC
Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Mantienilo su p=none (solo monitoraggio) finché non confermi che il DKIM di Kit si allinea, poi rendilo più restrittivo. È il record complementare che la procedura di Kit ti invita ad aggiungere ed è separato dai due CNAME.
Record da aggiungere
Kit (ConvertKit) genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | ckespa | ckespa.convertkit-mail2.comValore di esempio: Kit mostra una destinazione specifica dell'account. Delega SPF/Return-Path sul tuo sottodominio; è il motivo per cui il tuo SPF radice resta intatto. |
| CNAME | cka._domainkey | cka._domainkey.convertkit-mail2.comValore di esempio: il valore specifico dell'account è mostrato in Kit. Firma DKIM (d=yourdomain.com); è il percorso allineato per DMARC. Aggiungilo come CNAME, non TXT. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio, separata dai CNAME. Parti da p=none, poi rendila più restrittiva. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Kit (ConvertKit).
La configurazione consigliata di Kit (ConvertKit) aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è delegato a Kit tramite il CNAME cka._domainkey.yourdomain.com, non è una chiave da incollare. Punta a un record DKIM ospitato da Kit (il valore specifico dell'account è mostrato nella schermata di configurazione), Kit conserva la chiave privata corrispondente e firma ogni broadcast e automazione come d=yourdomain.com. Poiché firma con il tuo dominio, è questo il meccanismo che si allinea per DMARC e ti fa superare i controlli: con Kit ti affidi a DKIM, non a SPF, per l'allineamento. Due cose mettono spesso in difficoltà: l'host contiene un underscore (cka._domainkey), che alcuni pannelli DNS rifiutano nei record CNAME (l'underscore è obbligatorio, quindi usa un provider che lo accetti o chiedi al supporto di Kit), e il record va aggiunto come CNAME, mai come TXT. Se incolli il valore in un record TXT, DKIM fallisce senza alcun avviso. Kit ruota in autonomia la chiave associata al selettore cka, quindi una volta che il CNAME si risolve non devi più modificarlo.
DMARC
DMARC è un record di policy separato sul dominio radice, non uno dei CNAME, anche se la procedura di Kit ti invita ad aggiungerlo. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non incide sul recapito mentre confermi che il DKIM di Kit si allinea. Controlla i report aggregati (rua) per una o due settimane, verifica che Kit compaia come sorgente allineata tramite DKIM che supera i controlli, poi avanza verso l'applicazione della policy: p=quarantine (eventualmente prima con pct=25) e poi p=reject. Un avvertimento specifico per Kit: se hai già una policy DMARC applicata (p=quarantine o p=reject) prima che il tuo Verified Sending Domain sia attivo, la tua posta Kit può finire in quarantena o essere rifiutata in quell'intervallo. Quindi, se configuri DMARC da zero insieme a Kit, aggiungilo con p=none e rendilo più restrittivo solo dopo la convalida di DKIM. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungerne un secondo per Kit.
Verifica che funzioni davvero
Non fidarti solo del segno di spunta “verified” di Kit: confermalo su un messaggio reale. Inviati un broadcast di prova da un indirizzo del dominio verificato, aprilo in Gmail e scegli il menu a tre puntini, poi Show original. Devi vedere DKIM: PASS con signed-by: yourdomain.com e DMARC: PASS, e la nota “via convertkit-mail.com” non deve più comparire accanto al tuo nome. Aspettati una particolarità di Kit: SPF può risultare superato ma con “mailed-by” su un host di busta di Kit anziché allineato al tuo dominio From. Con Kit è normale, e DMARC viene comunque superato perché DKIM è allineato. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il CNAME ckespa, il CNAME DKIM cka._domainkey e il tuo record DMARC si risolvano, controlla i singoli record con il controllo SPF/DKIM/DMARC e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Kit dovrebbe comparire come sorgente allineata tramite DKIM che supera i controlli.
Insidie comuni
- Configurazione DNS
Il proxy di Cloudflare rompe tutto: imposta entrambi i CNAME di Kit su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve nell'infrastruttura di Kit e la verifica DKIM fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire ckespa.yourdomain.com produce ckespa.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (ckespa e cka._domainkey) se il pannello aggiunge il dominio per te.
- Configurazione DNS
Aggiunti come TXT anziché CNAME: entrambi i record sono CNAME. Se incolli il valore DKIM in un record TXT, fallisce senza alcun avviso: il tipo deve essere CNAME.
- Fa fallire l'autenticazione
Non inventare un include SPF per Kit: il tuo SPF radice resta intatto e non si aggiunge alcuna ricerca. Kit delega SPF sul sottodominio ckespa e si affida a DKIM per l'allineamento DMARC: aggiungere un include:convertkit... fasullo non serve a nulla e spreca una delle tue 10 ricerche SPF.
- Copertura
DMARC già applicato in precedenza: se p=quarantine o p=reject è già attivo prima che il tuo Verified Sending Domain finisca la convalida, nel frattempo la tua posta Kit può finire nello spam o rimbalzare. Usa p=none finché DKIM non si allinea, poi rendi la policy più restrittiva.
- Copertura
Ritardo di propagazione: le modifiche DNS possono richiedere fino a 48 ore. Il controllo Validate di Kit può fallire subito dopo l'aggiunta dei record: aspetta e riprova prima di pensare che ci sia qualcosa che non va.
- Copertura
Verificare non equivale a inviare dal dominio: un Verified Sending Domain autentica il tuo dominio, ma devi comunque impostare il tuo From di Kit su un indirizzo di quel dominio, altrimenti la tua posta non userà il percorso autenticato.
- Copertura
Calo temporaneo del tasso di apertura: Kit avverte che i tassi di apertura possono oscillare per 2-3 settimane dopo la configurazione, mentre i provider di posta ricalcolano la reputazione del mittente sul dominio appena autenticato. È previsto, non è un errore di configurazione.
Crea il tuo record SPF
Kit (ConvertKit) non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Kit (ConvertKit): domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.