SPF, DKIM e DMARC per Loops.
Loops (loops.so) è un mittente con configurazione per account basato su Amazon SES, quindi non c'è una riga SPF condivisa da incollare sul dominio radice né una procedura guidata che modifica il DNS al posto tuo. Apri invece Settings → Domain, fai clic su View records e Loops genera un set di record DNS specifico per il tuo account (tre CNAME DKIM più un TXT SPF e un record MX su un sottodominio envelope dedicato) che copi nel tuo provider DNS e poi confermi con Verify Records. Poiché Loops predispone per te di default un MAIL FROM personalizzato (Return-Path) su envelope.yourdomain.com, SPF e DKIM risultano entrambi allineati al tuo dominio fin da subito: è questo che fa superare DMARC e porta le tue campagne e la tua posta transazionale di Loops nella posta in arrivo.
Perché autenticare Loops?
Autenticare il tuo dominio su Loops non è una formalità facoltativa: Loops non invia con il tuo dominio finché i record non vengono verificati, e quella verifica è l'autenticazione. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare gli stessi requisiti ai mittenti di grandi volumi. Loops gira su un'infrastruttura Amazon SES condivisa e gestisce per te l'account SES sottostante, la reputazione e i limiti di invio: a differenza di SES puro, quindi, non hai mai a che fare con una sandbox né devi richiedere l'accesso in produzione. Ma l'autenticazione che lega quella posta al tuo dominio devi comunque pubblicarla tu. Finché non aggiungi e verifichi i record, la posta è firmata solo con la chiave condivisa amazonses.com di SES, nulla si allinea al tuo dominio From, DMARC fallisce e la tua reputazione di invio finisce nello stesso calderone di tutti gli altri tenant SES non autenticati. Pubblicare i record di Loops risolve tutto in un colpo solo: SES firma come d=yourdomain.com, quindi DKIM si allinea, il MAIL FROM della busta allinea SPF, DMARC viene superato e la reputazione che costruisci si accumula sul tuo dominio.
Come funziona davvero SPF con Loops
Loops è un provider con configurazione per account, non un provider a include: non esiste un include:loops.so e NON devi aggiungere include:amazonses.com al tuo record SPF RADICE. Loops imposta invece un MAIL FROM personalizzato su un sottodominio dedicato, envelope.yourdomain.com, e pubblica lì il meccanismo SPF: un record TXT sull'host envelope con valore v=spf1 include:amazonses.com ~all, più un record MX sullo stesso host envelope che punta a feedback-smtp.{region}.amazonses.com. Poiché questi due record stanno su quel sottodominio envelope dedicato e mai direttamente sul dominio radice, aggiungono ZERO ricerche DNS al tuo SPF radice e non possono entrare in conflitto con un record SPF radice esistente: non devi quindi unire nulla alla tua riga SPF di Google Workspace o Microsoft 365, e non dovresti provarci. E poiché envelope.yourdomain.com condivide il dominio organizzativo yourdomain.com con il tuo indirizzo From visibile, SPF si allinea automaticamente in modalità relaxed. Questa è la differenza chiave rispetto a una configurazione Amazon SES pura: Loops predispone per te il MAIL FROM personalizzato, quindi ottieni fin da subito l'allineamento SPF, invece di un SPF che viene superato solo per amazonses.com. L'unico record che resta singolo e sul dominio radice è DMARC.
Passo dopo passo
- 1
Apri le impostazioni del dominio
Nella dashboard di Loops (app.loops.so), fai clic sull'icona a forma di ingranaggio → Settings → Domain. Inserisci il nome della tua azienda e il dominio da cui vuoi inviare, poi prosegui fino alla schermata dei record DNS.
- 2
Scegli il dominio di invio
Inserisci il dominio esatto con cui Loops deve inviare: il dominio radice (yourdomain.com) o un sottodominio come send.yourdomain.com o updates.yourdomain.com. Loops genera i record DKIM, SPF/MX di envelope e DMARC proprio per quel dominio, quindi sceglilo prima di copiare qualsiasi cosa.
- 3
Fai clic su View records
Apri l'elenco dei record (Settings → Domain → View records). Loops mostra ogni record con una colonna Type (TXT, CNAME, MX). Crea ogni record in base al suo Type, non al titolo descrittivo (SPF, DKIM, MX), perché il titolo è solo un'etichetta.
- 4
Aggiungi i tre record CNAME DKIM
Loops elenca tre voci DKIM della forma host <token>._domainkey → valore <token>.dkim.amazonses.com. Aggiungile come CNAME esattamente come mostrato. Non trasformarle in TXT: delegano a SES le chiavi DKIM a rotazione, quindi non c'è alcuna chiave pubblica da incollare.
- 5
Aggiungi il TXT SPF sul sottodominio envelope
Aggiungi un record TXT con host envelope e valore v=spf1 include:amazonses.com ~all. Va su envelope.yourdomain.com, mai sul dominio radice. NON devi creare prima il sottodominio envelope con un record A o CNAME: basta aggiungere il TXT (e l'MX qui sotto) su quell'etichetta host.
- 6
Aggiungi il record MX sul sottodominio envelope
Aggiungi un record MX con host envelope, priorità 10 e valore feedback-smtp.{region}.amazonses.com (la regione è già inclusa nel valore che ti mostra Loops, es. us-east-1). Alcuni registrar vogliono la priorità in un campo a parte, altri la aspettano in linea come “10 feedback-smtp.…”: inseriscila come richiede il tuo pannello, altrimenti la verifica fallisce.
- 7
Tieni un solo record DMARC sul dominio radice
Pubblica (o conserva) un record TXT in _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Anche Loops elenca una voce DMARC, solo perché tu ne abbia una, ma te ne serve una sola sul dominio radice: evita di ritrovarti con due.
- 8
Su Cloudflare, imposta i CNAME su “DNS only”
Se il tuo DNS è su Cloudflare, imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in *.dkim.amazonses.com e DKIM resta non verificato.
- 9
Fai clic su Verify Records in Loops
Torna alla pagina del dominio in Loops e fai clic su Verify Records in fondo. Ogni riga diventa verde con una spunta di verifica quando si risolve. Di solito la propagazione richiede meno di un'ora, ma può arrivare a 24-48 ore; se dopo questo tempo un record continua a fallire, è un errore di configurazione DNS, non un problema di propagazione.
- 10
Invia un'email di prova e leggi le intestazioni
Invia un messaggio reale dal tuo dominio Loops, aprilo in Gmail e scegli ⋮ → Show original. Conferma SPF: PASS con envelope.yourdomain.com, DKIM: PASS con d=yourdomain.com e DMARC: PASS, tutti allineati al tuo dominio, non ad amazonses.com.
Record da aggiungere
Loops genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | token1._domainkey | token1.dkim.amazonses.comA titolo illustrativo: chiave DKIM 1. Il token è unico per il tuo account; copia host/valore esatti da Loops → View records. SES ruota la chiave che ci sta dietro. |
| CNAME | token2._domainkey | token2.dkim.amazonses.comA titolo illustrativo: chiave DKIM 2 (token specifico dell'account mostrato nella dashboard di Loops). |
| CNAME | token3._domainkey | token3.dkim.amazonses.comA titolo illustrativo: chiave DKIM 3 (token specifico dell'account mostrato nella dashboard di Loops). |
| TXT | envelope | v=spf1 include:amazonses.com ~allSPF del MAIL FROM personalizzato: sta sul sottodominio envelope, NON sul dominio radice. Aggiunge 0 ricerche al tuo SPF radice e allinea SPF al tuo dominio. |
| MX | envelope | feedback-smtp.us-east-1.amazonses.comMX del MAIL FROM personalizzato: priorità 10; la regione (es. us-east-1) è già inclusa nel valore esatto che ti mostra Loops. Un solo MX su questo sottodominio. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio, sul dominio radice. Parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Loops.
La configurazione consigliata di Loops aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Su Loops DKIM è il record portante e, poiché Loops gira su Amazon SES Easy DKIM, non richiede alcuna gestione manuale. Loops genera tre record CNAME della forma token1._domainkey.yourdomain.com → token1.dkim.amazonses.com (e lo stesso per token2 e token3). Pubblicali tutti e tre come CNAME esattamente come li mostra la schermata View records. Poiché sono CNAME che delegano a SES e non record TXT da incollare, Loops e SES conservano le chiavi private e possono ruotare le chiavi DKIM pubblicate dietro quei selettori senza che tu debba più toccare il DNS: non c'è alcuna chiave pubblica da copiare né una lunghezza di chiave da scegliere. Ogni messaggio Loops viene quindi firmato con d=yourdomain.com, che è ciò che si allinea al tuo indirizzo From e consente di superare DMARC con l'allineamento DKIM. I nomi host esatti dei token sono unici per il tuo account, quindi copiali dalla dashboard di Loops invece di riutilizzare quelli di un altro dominio; e se il tuo DNS è su Cloudflare, imposta tutti e tre su “DNS only” (nuvola grigia), altrimenti non verranno mai verificati.
DMARC
DMARC è un record di policy separato sul tuo dominio radice, non qualcosa che Loops gestisce per te. Aggiungi un record TXT in _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com: p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi che la posta di Loops supera i controlli con allineamento. Loops include una voce DMARC nel suo elenco di record perché tu ne abbia una, ma ti serve sempre un solo record DMARC sul dominio radice: se ne pubblichi già uno per Google Workspace, Microsoft 365 o un altro mittente, tieni quello e salta la copia di Loops invece di pubblicarne due (due record DMARC non sono validi). Il bello di Loops è che non devi scegliere tra i meccanismi: il MAIL FROM della busta allinea SPF e Easy DKIM allinea DKIM, quindi hai due modi indipendenti per superare DMARC. Quando i report aggregati (rua) confermano per una o due settimane che Loops è una sorgente costante e allineata, passa da p=none a p=quarantine e infine a p=reject.
Verifica che funzioni davvero
Non fidarti solo della dashboard: controlla su un messaggio reale. In Loops, dopo aver fatto clic su Verify Records, ogni riga della pagina del dominio deve mostrare una spunta verde di verifica. Poi inviati un'email di prova dal tuo dominio Loops, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS con envelope.yourdomain.com (non solo amazonses.com), DKIM: PASS con d=yourdomain.com e DMARC: PASS. Preferisci un report completo? Invia un'email di prova a check-auth@verifier.port25.com e riceverai in risposta un'analisi completa. Puoi anche analizzare il tuo dominio con il check-up del dominio di Qualisend per confermare che tutti e tre i CNAME DKIM e l'SPF/MX di envelope si risolvano e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Loops (tramite Amazon SES) dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
I record non vanno dove penseresti: SPF e MX stanno sul sottodominio envelope.yourdomain.com (il MAIL FROM personalizzato di Loops), quindi non toccano mai il tuo SPF radice né entrano in conflitto con esso. Non aggiungere mai include:amazonses.com al tuo SPF radice: va solo sul sottodominio envelope, e sul dominio radice non serve a niente e consuma una ricerca SPF.
- Configurazione DNS
Non creare prima il sottodominio envelope. NON devi aggiungere prima un record A o CNAME per envelope: basta pubblicare il TXT SPF e l'MX su quell'etichetta host e si risolveranno.
- Configurazione DNS
Il formato della priorità MX trae spesso in inganno. L'MX di envelope deve avere priorità 10; alcuni registrar vogliono la priorità in un campo separato, altri la aspettano in linea come “10 feedback-smtp.…”. Inseriscila come richiede il tuo pannello e tieni esattamente un MX sul sottodominio envelope.
- Configurazione DNS
Usa la colonna Type, non il titolo descrittivo. Loops etichetta le righe SPF / DKIM / MX, ma devi creare ogni record in base al suo Type effettivo (TXT, CNAME o MX). Creare un CNAME DKIM come TXT, o l'SPF come CNAME, è il motivo più comune per cui Verify Records fallisce.
- Configurazione DNS
Il proxy di Cloudflare rompe DKIM. Imposta tutti e tre i CNAME DKIM su “DNS only” (nuvola grigia); un CNAME con proxy attivo (nuvola arancione) non si risolve in *.dkim.amazonses.com e il record resta non verificato.
- Fa fallire l'autenticazione
Tieni un solo DMARC sul dominio radice. Loops elenca una voce DMARC perché tu ne abbia una, ma due record DMARC sullo stesso dominio non sono validi: se hai già _dmarc.yourdomain.com da un altro mittente, tienilo e salta la copia di Loops.
- Copertura
I valori sono specifici dell'account: copiali, non tirare a indovinare. I token DKIM e la regione feedback-smtp nell'MX (es. us-east-1) sono specifici del tuo dominio Loops; incolla le stringhe esatte da View records invece di riutilizzare quelle di un altro dominio o di un'altra guida.
- Fa fallire l'autenticazione
Attenzione al dominio duplicato e ai punti finali. Inserisci solo l'etichetta (envelope, token1._domainkey) se il pannello aggiunge automaticamente il dominio e, dove un provider vuole un FQDN come valore del CNAME/MX, usa un punto finale, così feedback-smtp.us-east-1.amazonses.com non viene storpiato in …amazonses.com.yourdomain.com.
Crea il tuo record SPF
Loops non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Loops: domande frequenti
Letture correlate
Altri provider: Transazionali e API
- MailerSend
- Mailgun
- Mailjet
- Mailtrap
- Mandrill (Mailchimp Transactional)
- Postmark
- Resend
- Scaleway Transactional Email
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.