Guida alla configurazione SPF

SPF, DKIM e DMARC per mailbox.org.

mailbox.org, il provider di posta tedesco orientato alla privacy gestito da Heinlein Support, autentica un dominio personalizzato con tre elementi che pubblichi presso il tuo provider DNS: un include SPF condiviso (include:mailbox.org), quattro record CNAME DKIM che delegano a mailbox.org le sue chiavi di firma e un record di policy DMARC che aggiungi tu. Non c'è alcuna generazione di chiavi per account né una procedura guidata che scriva il DNS per te: mailbox.org usa un insieme fisso di selettori DKIM condivisi (da MBO0001 a MBO0004), quindi ogni cliente con dominio personalizzato pubblica gli stessi quattro CNAME. Poiché mailbox.org invia la tua posta in uscita dai propri smart host usando il tuo indirizzo come mittente della busta, una volta attivi questi record, SPF e DKIM si allineano entrambi al tuo dominio, DMARC viene superato con l'uno o con l'altro meccanismo e la posta parte pienamente autenticata a nome tuo, non di mailbox.org.

Include SPF

Your DNSAdd the CNAME / TXT records

mailbox.orgSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Perché autenticare mailbox.org?

Autenticare il tuo dominio su mailbox.org è ciò che decide se le tue email raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail; ma anche per il dominio di una piccola azienda o per un dominio personale, la posta non autenticata è la via più rapida per finire nello spam. mailbox.org è un vero host di caselle e non un ESP per grandi volumi, eppure il meccanismo è lo stesso: firma la posta in uscita del tuo dominio personalizzato come d=yourdomain.com usando i selettori MBO, e un server ricevente verifica quella firma cercando MBO0001._domainkey.yourdomain.com. Se non hai pubblicato i quattro CNAME, quella ricerca fallisce, DKIM non viene mai verificato per il tuo dominio e DMARC non ha nulla di allineato su cui contare. Pubblicare SPF, i CNAME DKIM e DMARC chiude questa lacuna: entrambi i meccanismi si allineano al tuo dominio, la posta supera DMARC anche dopo un inoltro e la reputazione di invio che costruisci si accumula sul tuo dominio invece di finire nello stesso calderone dei mittenti non autenticati.

Come funziona davvero SPF con mailbox.org

mailbox.org è un vero provider a “include”: aggiungi un meccanismo condiviso, include:mailbox.org, all'unico record TXT SPF sul tuo dominio radice; il record completo è v=spf1 include:mailbox.org ~all. È un vero include condiviso che usano tutti i clienti mailbox.org, a differenza del modello a delega CNAME degli ESP per grandi volumi. Qui conta più che con un ESP che gestisce il Return-Path, perché mailbox.org invia con un mittente della busta sul tuo dominio, quindi SPF si ALLINEA davvero al tuo dominio organizzativo e contribuisce da solo a superare DMARC (non solo DKIM). Un dettaglio specifico di questo provider da conoscere: include:mailbox.org costa circa DUE delle tue 10 ricerche DNS SPF, non una. Il record condiviso a cui rimanda è v=spf1 ip4:213.203.238.0/25 ip4:195.10.208.0/24 ip4:91.198.250.0/24 ip4:80.241.56.0/21 ip6:2001:67c:2050::/48 mx ~all: l'include in sé è una ricerca e il meccanismo mx annidato in quel record è la seconda. Resta poco, ma tienine conto nel tuo budget se usi già Google Workspace, uno strumento di marketing o un relay transazionale. mailbox.org consiglia di chiudere con ~all (softfail), lo stesso usato dal suo record; passa a -all solo quando sei certo che ogni mittente sia elencato. E tieni esattamente un record TXT SPF sul dominio: se invii anche da altri provider, unisci ogni meccanismo in quell'unica riga v=spf1 invece di pubblicare un secondo record SPF (avere due record SPF è un PermError).

Passo dopo passo

In mailbox.org

1
Controlla che il tuo piano supporti un dominio personalizzato
Per inviare da un dominio personalizzato serve un piano a pagamento: un account individuale Standard o Premium, oppure un sub-account su un piano Family. Il piano gratuito Lite non può inviare da un dominio personalizzato, quindi, se serve, passa prima a un piano superiore.
2
Aggiungi e verifica il dominio
Accedi alla webmail, fai clic sull'icona a forma di ingranaggio (in alto a destra) → Settings / All settings → Email addresses e registra lì il tuo dominio personalizzato. mailbox.org ti guida nella dimostrazione della proprietà e mostra i record DNS che si aspetta. I quattro selettori DKIM (da MBO0001 a MBO0004) sono le chiavi condivise fisse di mailbox.org e sono documentati nella sua knowledge base (kb.mailbox.org): non c'è alcuna chiave per account da generare.

Nel tuo DNS

3
Punta l'MX su mailbox.org (ricezione)
Per far recapitare la posta in entrata nella tua casella, rimuovi eventuali record MX di un provider precedente, poi aggiungi gli host per domini personalizzati di mailbox.org: mxext1.mailbox.org, mxext2.mailbox.org e mxext3.mailbox.org (alcune configurazioni elencano anche mxext4), tutti con priorità 10. L'MX riguarda la ricezione, non l'autenticazione, ma fa parte della stessa configurazione; lasciare record MX obsoleti divide la tua posta in entrata.
4
Pubblica il record SPF
Aggiungi un record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:mailbox.org ~all. Se esiste già un record v=spf1 per un altro mittente, unisci include:mailbox.org a quell'unico record: non aggiungere mai un secondo TXT SPF. Mantieni il qualificatore ~all (softfail) consigliato da mailbox.org.
5
Aggiungi i quattro CNAME DKIM
Crea quattro record CNAME perché le firme di mailbox.org vengano verificate sul tuo dominio: host MBO0001._domainkey → destinazione MBO0001._domainkey.mailbox.org, e lo stesso schema per MBO0002, MBO0003 e MBO0004. Pubblicali tutti e quattro: MBO0001/MBO0002 contengono chiavi RSA e MBO0003/MBO0004 chiavi Ed25519, e mailbox.org può firmare con l'uno o l'altro algoritmo. Mantieni il tipo CNAME (il metodo consigliato da mailbox.org); non passare ad A o TXT.
6
Aggiungi il record DMARC, con un rua
mailbox.org non crea DMARC per te. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così non cambia nulla mentre confermi l'allineamento. Includi sempre il tag rua: le indicazioni di mailbox.org avvertono che alcuni server riceventi rifiutano la posta quando il record DMARC non ha un indirizzo per i report, anche se questo comportamento non è conforme alla RFC.
7
Metti i CNAME su nuvola grigia ed evita il dominio duplicato
Se il tuo DNS è dietro Cloudflare, imposta ogni CNAME DKIM su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve nell'host di mailbox.org e la verifica DKIM fallisce. Inoltre molti registrar aggiungono automaticamente il dominio, quindi inserisci solo l'etichetta (MBO0001._domainkey, non MBO0001._domainkey.yourdomain.com) per evitare di duplicarlo.

Verifica

8
Invia un'email di prova e leggi le intestazioni
Dopo la propagazione (di solito pochi minuti, fino a 48 ore), invia un messaggio dal tuo indirizzo mailbox.org sul dominio personalizzato a un account Gmail, aprilo e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e uno dei selettori MBO, e DMARC: PASS, tutti allineati al tuo dominio. Poi analizza il dominio con un check-up per confermare che ogni record si risolva.

Record da aggiungere

mailbox.org genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

Tipo	Host	Valore
TXT	@	v=spf1 include:mailbox.org ~allSPF radice: tieni esattamente un record SPF e unisci gli altri mittenti in questa riga. Costa ~2 ricerche DNS (l'include più un mx annidato nel record condiviso di mailbox.org).
CNAME	MBO0001._domainkey	MBO0001._domainkey.mailbox.orgSelettore DKIM 1 (RSA). Valore condiviso fisso: è lo stesso per ogni cliente mailbox.org con dominio personalizzato.
CNAME	MBO0002._domainkey	MBO0002._domainkey.mailbox.orgSelettore DKIM 2 (RSA). Pubblicalo insieme a MBO0001.
CNAME	MBO0003._domainkey	MBO0003._domainkey.mailbox.orgSelettore DKIM 3 (Ed25519). Chiave con algoritmo moderno: pubblica anche questa, così la posta firmata con Ed25519 viene verificata.
CNAME	MBO0004._domainkey	MBO0004._domainkey.mailbox.orgSelettore DKIM 4 (Ed25519). L'ultimo dei quattro selettori fissi; la delega CNAME consente a mailbox.org di ruotare le chiavi senza che tu tocchi il DNS.
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: mailbox.org non lo crea mai. Uno per dominio; includi sempre il tag rua; parti da p=none, poi rendilo più severo.
MX	@	mxext1.mailbox.org (priority 10)Ricezione, non autenticazione. Aggiungi anche mxext2.mailbox.org e mxext3.mailbox.org (alcune configurazioni elencano mxext4) con priorità 10 e prima rimuovi gli MX del vecchio provider.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di mailbox.org.

SPF 10-lookup budget2 used · 8 free

mailbox.org occupa 2 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

Su mailbox.org DKIM funziona per delega CNAME a un insieme fisso di quattro selettori condivisi: non c'è alcuna chiave da generare o copiare. Pubblichi quattro record CNAME (MBO0001._domainkey, MBO0002._domainkey, MBO0003._domainkey e MBO0004._domainkey), ciascuno dei quali punta all'host corrispondente MBO000X._domainkey.mailbox.org. Poiché sono CNAME e non record TXT da incollare, mailbox.org conserva le chiavi private e può ruotare le chiavi pubbliche pubblicate dietro quei selettori senza che tu debba mai rimettere mano al DNS. Due aspetti rendono particolare la configurazione di mailbox.org. Primo, i selettori sono quattro perché mailbox.org pubblica due tipi di chiave: MBO0001 e MBO0002 contengono chiavi RSA, mentre MBO0003 e MBO0004 contengono moderne chiavi Ed25519. mailbox.org può firmare con l'uno o l'altro algoritmo, quindi devi pubblicare tutti e quattro i selettori: omettere la coppia Ed25519 (o anche un solo selettore) causa errori DKIM intermittenti ogni volta che la posta è firmata con una chiave il cui selettore non hai pubblicato. Secondo, mailbox.org consiglia esplicitamente il metodo CNAME rispetto al vecchio approccio TXT: con i CNAME, se mailbox.org deve cambiare le chiavi la delega continua a risolversi, mentre i record TXT copiati una volta diventano non validi appena mailbox.org effettua la rotazione. Pubblica tutti e quattro i CNAME esattamente come mostrato (nuvola grigia/“DNS only” se sei su Cloudflare): DKIM firmerà come d=yourdomain.com e si allineerà.

DMARC

DMARC è un record TXT di policy separato che pubblichi tu: mailbox.org non lo crea. Aggiungi un record TXT in _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli i report aggregati (rua) per confermare che la posta di mailbox.org superi SPF e DKIM con allineamento al tuo dominio. C'è un motivo specifico legato a mailbox.org per non saltare mai il tag rua: la sua knowledge base avverte che alcuni server riceventi rifiutano i messaggi quando il record DMARC non ha un indirizzo rua, un comportamento che in realtà non è conforme alla RFC di DMARC ma che si verifica nella pratica; includi quindi sempre una casella per i report. Poiché mailbox.org allinea entrambi i meccanismi (SPF tramite il tuo dominio della busta, DKIM tramite i selettori MBO), dovresti vedere presto controlli superati senza intoppi. Controlla i report per una o due settimane, assicurati che ogni mittente legittimo si autentichi, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; per riferimento, il dominio di mailbox.org usa p=reject.

Verifica che funzioni davvero

Non affidarti solo alla schermata di configurazione del dominio di mailbox.org: conferma l'autenticazione su un messaggio reale. Invia un'email di prova dal tuo indirizzo sul dominio personalizzato a un account Gmail, aprila e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e uno dei selettori MBO000X (non mailbox.org come dominio di firma) e DMARC: PASS, tutti allineati al tuo dominio. Preferisci un report completo? Invia un'email di prova a check-auth@verifier.port25.com e riceverai in risposta un'analisi completa di SPF/DKIM/DMARC. Puoi controllare i record grezzi con dig TXT yourdomain.com, dig CNAME MBO0001._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: mailbox.org dovrebbe comparire come sorgente allineata che supera i controlli.

Check-up del dominio Analizzatore di report DMARC

Insidie comuni

Copertura
Un dominio personalizzato richiede un piano a pagamento. Solo gli account individuali Standard e Premium (o un sub-account su un piano Family) possono inviare da un dominio personalizzato; il piano gratuito Lite non può, quindi, per quanto il DNS sia corretto, la posta non verrà autenticata finché non passi a un piano superiore.
Configurazione DNS
Pubblica tutti e quattro i CNAME DKIM, non uno solo. MBO0001/MBO0002 sono chiavi RSA e MBO0003/MBO0004 chiavi Ed25519; mailbox.org può firmare con l'uno o l'altro algoritmo, quindi omettere un selettore fa fallire DKIM a intermittenza ogni volta che la posta è firmata con la chiave che non hai pubblicato.
Fa fallire l'autenticazione
include:mailbox.org costa circa due ricerche SPF, non una. Il record SPF condiviso di mailbox.org termina con un meccanismo mx (v=spf1 ip4:… ip6:… mx ~all), quindi l'include è una ricerca e l'mx annidato è la seconda: tienine conto nel limite di 10 ricerche se usi anche Google Workspace, uno strumento di marketing o un relay.
Configurazione DNS
Usa CNAME per DKIM, non TXT. mailbox.org consiglia la delega CNAME per poter ruotare le chiavi in modo trasparente; il vecchio metodo TXT si rompe appena mailbox.org cambia una chiave, perché la chiave pubblica che hai copiato diventa obsoleta.
Copertura
Non omettere mai il tag rua di DMARC. Le indicazioni di mailbox.org avvertono che alcuni server riceventi rifiutano la posta quando il record DMARC non ha un indirizzo per i report (un comportamento non conforme alla RFC che però si verifica), quindi includi sempre rua=mailto:… anche in modalità di monitoraggio.
Copertura
Rimuovi prima i vecchi record MX. Prima di aggiungere mxext1/mxext2/mxext3.mailbox.org (priorità 10), elimina eventuali record MX rimasti da un provider precedente, altrimenti la posta in entrata si dividerà tra i due sistemi.
Configurazione DNS
Metti i CNAME su nuvola grigia e non duplicare il dominio nell'host. Su Cloudflare imposta ogni CNAME DKIM su “DNS only” (un proxy a nuvola arancione impedisce la risoluzione) e inserisci solo l'etichetta (MBO0001._domainkey) se il tuo registrar aggiunge automaticamente il dominio: altrimenti ottieni MBO0001._domainkey.yourdomain.com.yourdomain.com.
Fa fallire l'autenticazione
Tieni esattamente un record SPF e usa ~all. Se invii anche tramite altri provider, unisci include:mailbox.org nell'unica riga v=spf1 invece di pubblicare un secondo TXT SPF (due sono un PermError) e mantieni il softfail ~all consigliato da mailbox.org.

Crea il tuo record SPF

mailbox.org è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Selezionati

mailbox.orginclude:mailbox.orgGuida →

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

a (il record A del dominio)mx (gli host MX del dominio)

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Include aggiuntivi

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

Indirizzi IPv4

Indirizzi IPv6

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

-all (fail)Rigido: i server riceventi dovrebbero rifiutare la posta da qualsiasi server non elencato.~all (softfail)Impostazione consigliata: i mittenti non elencati vengono accettati ma segnalati come sospetti.?all (neutral)Nessuna indicazione: non offre quasi nessuna protezione; usalo solo durante i test.

Il tuo record SPF1/10 ricerche DNS

v=spf1 include:mailbox.org ~all

Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per mailbox.org: domande frequenti

Configurali entrambi, più DMARC. mailbox.org è insolito tra i mittenti perché il suo SPF si allinea davvero (invia con un mittente della busta sul tuo dominio), quindi include:mailbox.org contribuisce da solo a superare DMARC, e i quattro CNAME DKIM offrono un secondo modo per superare DMARC, che resiste all'inoltro. Avere entrambi è ciò che continua a far superare DMARC quando un meccanismo si rompe.

mailbox.org pubblica due tipi di chiave su quattro selettori fissi: MBO0001 e MBO0002 contengono chiavi RSA, MBO0003 e MBO0004 moderne chiavi Ed25519. Poiché mailbox.org può firmare un dato messaggio con una qualsiasi di queste, pubblichi tutti e quattro i CNAME perché un server ricevente possa verificare qualunque chiave sia stata usata: pubblicarne solo alcuni porta a errori DKIM intermittenti.

CNAME: è il metodo consigliato da mailbox.org. La delega CNAME consente a mailbox.org di ruotare le chiavi sottostanti senza che tu debba rimettere mano al DNS. Esiste anche il vecchio metodo TXT, ma si rompe nell'istante in cui mailbox.org cambia una chiave, quindi resta sui quattro CNAME MBO000X._domainkey.

No. Per inviare da un dominio personalizzato serve un account a pagamento Standard o Premium (o un sub-account su un piano Family). Con Lite puoi usare solo indirizzi mailbox.org, quindi passa a un piano superiore prima di configurare il DNS.

Circa due. include:mailbox.org rimanda a un record che termina con un meccanismo mx, quindi l'include conta come una ricerca DNS e l'mx annidato come una seconda. Resta efficiente, ma contalo come due se stai sommando più mittenti sotto il limite di 10 della RFC 7208.

Di solito non c'è ancora un record TXT _dmarc, oppure manca il tag rua, oppure il tuo indirizzo From visibile non è sul dominio autenticato e quindi nulla si allinea. Pubblica v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com in _dmarc, invia dal tuo indirizzo sul dominio personalizzato e controlla Show original per confermare che SPF e DKIM risultino entrambi superati con d=yourdomain.com. DMARC richiede l'allineamento, non solo un pass: il dominio nell'intestazione From deve corrispondere al dominio della busta di SPF o al valore d= di DKIM.

Letture correlate

Autenticazione email: SPF, DKIM e DMARC spiegatiLa guida di base su come si combinano i tre record e perché a mailbox.org servono tutti e tre per raggiungere la posta in arrivo.Come configurare DMARCApprofondisci il record DMARC che mailbox.org non crea per te: dal monitoraggio con p=none a un passaggio sicuro a p=reject.Requisiti per i mittenti di Google e YahooLe regole del 2024 per i mittenti di grandi volumi che rendono l'allineamento SPF, DKIM e DMARC obbligatorio anziché facoltativo.Come leggere i report DMARCInterpreta i report aggregati rua e conferma che mailbox.org compaia come sorgente allineata che supera i controlli prima di rendere più severa la policy.Check-up del dominioVerifica che SPF, i quattro CNAME DKIM e DMARC di mailbox.org si risolvano tutti e che SPF resti sotto il limite di 10 ricerche.Analizzatore di report DMARCCarica un report aggregato per vedere quali sorgenti superano DMARC con allineamento al tuo dominio e quali falliscono.

Altri provider: Workspace e caselle

Tutte le guide SPF

Monitora ogni giorno SPF, DKIM e DMARC di mailbox.orgConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominio SPF: troppe query DNS. Come contarle e correggere il permerror

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare