SPF, DKIM e DMARC per Mailchimp.
Mailchimp autentica il tuo dominio con un DKIM basato su CNAME, non chiedendoti di incollare una riga SPF condivisa. In Account & billing → Domains prima verifichi il dominio con un codice ricevuto via email, poi avvii la “domain authentication”, che ti fornisce due record CNAME (k2._domainkey e k3._domainkey) per delegare a Mailchimp le chiavi DKIM a rotazione, più un record TXT DMARC. Quando questi record si risolvono, Mailchimp firma la posta con il tuo dominio, DMARC viene superato grazie all'allineamento DKIM e l'avviso “on behalf of” che Gmail aggiunge alla posta Mailchimp non autenticata sparisce. Non c'è nessun include SPF condiviso da aggiungere al dominio radice e, cosa importante, aggiungerne uno non aiuterebbe a superare DMARC.
Perché autenticare Mailchimp?
Autenticare il dominio in Mailchimp non è una formalità: è la differenza tra la posta in arrivo e lo spam, e ora Mailchimp lo impone. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso le stesse regole dei 5.000 messaggi al giorno alle sue caselle consumer (Outlook, Hotmail, Live). In risposta, Mailchimp ha reso l'autenticazione del dominio di fatto obbligatoria e ha iniziato a bloccare le campagne inviate da indirizzi From pubblici gratuiti (gmail.com, yahoo.com ecc.). Finché non autentichi il dominio, Mailchimp invia con il proprio dominio: i destinatari vedono che la posta non arriva davvero da te, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione di invio finisce nello stesso calderone di tutti gli altri mittenti Mailchimp non autenticati. C'è poi una particolarità di Mailchimp che rende il DKIM irrinunciabile: Mailchimp mantiene il proprio Return-Path sul suo dominio di bounce, quindi SPF non si allinea mai al tuo dominio e il DKIM è l'*unico* meccanismo che ti fa superare DMARC. Se salti i CNAME, non hai alcuna autenticazione allineata.
Come funziona davvero SPF con Mailchimp
Mailchimp è un provider DKIM basato su CNAME, quindi sul dominio radice NON c'è alcun “include:servers.mcsv.net” da aggiungere. Ed è il punto che quasi tutti i vecchi tutorial sbagliano: aggiungerlo non farebbe comunque superare DMARC. Ecco perché. Mailchimp invia ogni campagna con un mittente della busta / Return-Path sul proprio dominio di bounce (un sottodominio di mcsv.net o mailchimpapp), perché è Mailchimp, non tu, a gestire i bounce. SPF viene sempre controllato su quel dominio della busta, quindi si risolve sui server di Mailchimp e mai sul tuo dominio From. Può dare un pass grezzo, ma non si *allinea* al tuo dominio organizzativo, e DMARC considera SPF solo quando è allineato. È esattamente per questo che la procedura di autenticazione del dominio di Mailchimp chiede due CNAME DKIM e un record DMARC e non cita mai SPF: il DKIM firmato come d=yourdomain.com (tramite i selettori k2/k3) è il meccanismo che si allinea e ti fa superare DMARC. Troverai ancora guide che ti dicono di aggiungere include:servers.mcsv.net al tuo SPF radice: così si ottiene solo un pass del controllo SPF grezzo sugli IP di Mailchimp, senza alcun effetto sull'allineamento DMARC. La procedura moderna con i CNAME non lo richiede, l'include consuma una delle tue 10 ricerche SPF e puoi tranquillamente farne a meno. Riserva il record SPF radice ai mittenti che mettono davvero il tuo dominio nel Return-Path (Google Workspace, Microsoft 365, un relay transazionale) e lascia che per Mailchimp faccia il lavoro il DKIM.
Due modi per configurarlo
Connessione automatica con Entri (consigliata)
- Mailchimp accede al tuo provider DNS e aggiunge per te i CNAME e il record DMARC
- Riduce al minimo il rischio di sbagliare un'etichetta host o un tipo di record
- L'ideale se il tuo DNS è presso un provider supportato (Cloudflare, GoDaddy, Namecheap e altri supportati da Entri)
- Richiede l'accesso al tuo provider DNS tramite il pop-up di Entri
Inserimento manuale nel DNS
- Mailchimp mostra CNAME 1, CNAME 2 e il record DMARC, che copi tu
- Funziona con qualsiasi registrar, compresi i provider non supportati da Entri
- Controlli esattamente cosa viene pubblicato e puoi unire il record DMARC a uno esistente
- Produce record identici: solo che li aggiungi a mano invece che tramite Entri
Passo dopo passo
- 1
Apri la pagina Domains
Fai clic sull'icona del tuo profilo (in basso a sinistra) → Account & billing → Domains. Questa pagina gestisce da sola sia la verifica sia l'autenticazione del dominio: sono due passaggi distinti.
- 2
Verifica prima il dominio
Fai clic su Add & Verify Domain, inserisci un indirizzo email del dominio (es. you@yourdomain.com) e fai clic su Send Verification Email. Apri il messaggio ricevuto da accountservices@mailchimp.com e fai clic su Verify Domain Access, oppure incolla il codice in Mailchimp e fai clic su Verify. Così dimostri di essere il proprietario e puoi usare indirizzi From del dominio: link e codici scadono dopo 7 giorni, e i domini pubblici come gmail.com non possono essere verificati.
- 3
Avvia l'autenticazione
Accanto al dominio appena verificato, fai clic su Start authentication. Scegli il tuo provider DNS dal menu a tendina (serve solo ad adattare le istruzioni a schermo) e fai clic su Next.
- 4
Scegli la modalità automatica (Entri) o manuale
Fai clic su Continue per lasciare che Entri acceda a un provider DNS supportato e aggiunga i record per te, oppure fai clic su “Or manually authenticate your domain” per copiare i record e incollarli tu stesso presso il tuo registrar. In entrambi i casi vengono creati esattamente gli stessi record DNS.
- 5
Copia i record mostrati
Nella schermata manuale Mailchimp mostra CNAME 1 e CNAME 2 (ciascuno con Name/Host e Value) più un record TXT DMARC (Host _dmarc e un Value). Copiali esattamente: selettori e destinazioni sono quelli del tuo account.
- 6
Aggiungi i due CNAME DKIM
Crea due record CNAME: Host k2._domainkey → Value dkim2.mcsv.net e Host k3._domainkey → Value dkim3.mcsv.net (usa esattamente host e destinazioni mostrati dal tuo account; alcuni account meno recenti mostrano invece un unico k1._domainkey → dkim.mcsv.net). Lascia il tipo su CNAME: non cambiarlo in A o TXT.
- 7
Aggiungi il record TXT DMARC
Crea un record TXT sull'host _dmarc con un valore come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Salta questo passaggio se hai già un record _dmarc: un dominio deve averne esattamente uno.
- 8
Sistema le etichette host e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (k2._domainkey, non k2._domainkey.yourdomain.com) per evitare la duplicazione. Su Cloudflare imposta ogni CNAME su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in mcsv.net e la verifica fallisce.
- 9
Esegui il controllo DNS di Mailchimp
Torna in Mailchimp e avvia la verifica (gli account meno recenti mostrano un pulsante Test DNS Settings). Di solito la propagazione richiede pochi minuti, ma può arrivare a 24-48 ore; poi lo stato passa a “Authenticated”. Se resta bloccato, usa Resolve / Restart authentication e ricontrolla i valori dei record.
- 10
Invia dal dominio autenticato
Nelle impostazioni di ogni audience e in ogni campagna, imposta l'indirizzo From su uno del dominio autenticato (es. news@yourdomain.com), così la posta viene davvero firmata con DKIM a nome del tuo dominio: la sola verifica del DNS non cambia una campagna già impostata su un altro indirizzo From.
Record da aggiungere
Mailchimp genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | k2._domainkey | dkim2.mcsv.netChiave DKIM 1: gestita da Mailchimp; il selettore e la destinazione esatti sono mostrati nel tuo account |
| CNAME | k3._domainkey | dkim3.mcsv.netChiave DKIM 2: abbinata a k2; gli account meno recenti possono mostrare invece un unico k1._domainkey → dkim.mcsv.net |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: tieni esattamente un record _dmarc per dominio |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Mailchimp.
La configurazione consigliata di Mailchimp aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Con Mailchimp il DKIM è tutto, e passa dai due record CNAME: di solito k2._domainkey.yourdomain.com e k3._domainkey.yourdomain.com, che puntano a dkim2.mcsv.net e dkim3.mcsv.net. Poiché sono CNAME delegati a Mailchimp e non chiavi TXT da incollare, Mailchimp detiene le chiavi private e può ruotare ciò che è pubblicato dietro quei selettori senza che tu debba più toccare il DNS; non crei mai un record TXT DKIM e non copi mai una chiave. La firma applicata da Mailchimp è d=yourdomain.com con selettore k2 (o k3), quindi si *allinea* al tuo dominio From: è questo che fa superare DMARC. Un limite onesto: le destinazioni (dkim2/dkim3.mcsv.net) sono endpoint condivisi di Mailchimp, quindi il materiale crittografico sottostante è gestito sulla piattaforma di Mailchimp e non da te. Per l'allineamento DMARC va bene, perché la tua firma riporta comunque d=yourdomain.com, ma è il motivo per cui non puoi ruotare o esportare la chiave in autonomia. Aggiungi entrambi i CNAME esattamente come mostrati (nuvola grigia / “DNS only” se usi Cloudflare) e lascia che il controllo di Mailchimp li confermi.
DMARC
DMARC è un record di policy separato sul dominio radice, un singolo TXT su _dmarc.yourdomain.com che inizia con v=DMARC1, e la procedura di Mailchimp ti invita ad aggiungerlo. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com: p=none è solo monitoraggio, quindi non incide sul recapito mentre verifichi che la posta Mailchimp superi i controlli. C'è un motivo specifico di Mailchimp per andarci con cautela prima di irrigidire la policy: poiché con Mailchimp SPF non si allinea mai, il DKIM è l'*unica* cosa che ti fa superare DMARC, quindi non passare a p=quarantine o p=reject finché non hai visto la posta Mailchimp superare il DKIM con allineamento nelle intestazioni reali di Show original e nei report aggregati (rua). Osserva i report per una o due settimane, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungerne mai un secondo solo per Mailchimp.
Verifica che funzioni davvero
Non fidarti del solo badge “Authenticated” di Mailchimp: controlla su un messaggio reale. Inviati una campagna di prova (o un'anteprima) da un indirizzo del dominio autenticato, aprila in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con signed-by: yourdomain.com e DMARC: PASS. Aspettati una stranezza: SPF mostrerà “pass”, ma con “mailed-by” su un dominio mcsv.net / mailchimpapp, e NON sarà allineato. Con Mailchimp è normale, e DMARC viene superato comunque perché il DKIM si allinea. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che entrambi i CNAME e il record DMARC si risolvano e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Mailchimp dovrebbe comparire come sorgente con DKIM allineato che supera i controlli.
Insidie comuni
- Configurazione DNS
SPF non si allinea con Mailchimp, ed è previsto. Mailchimp mantiene il proprio Return-Path (un dominio di bounce mcsv.net), quindi SPF viene controllato sul dominio di Mailchimp, non sul tuo. Non inseguire l'allineamento SPF e non aggiungere include:servers.mcsv.net sperando che DMARC venga superato con SPF: DMARC viene superato con il solo allineamento DKIM. La procedura moderna con i CNAME non richiede alcuna modifica a SPF.
- Configurazione DNS
Verifica e autenticazione sono due passaggi diversi. La verifica è un codice via email che dimostra che il dominio è tuo (e sblocca gli indirizzi From su di esso); l'autenticazione sono i due CNAME DKIM più DMARC. Devi prima verificare, e codici e link scadono dopo 7 giorni.
- Configurazione DNS
Non puoi più inviare campagne da un indirizzo From pubblico gratuito. Yahoo e AOL pubblicano p=reject, e le regole per i mittenti di grandi volumi di Gmail e Yahoo vietano a terzi di inviare a nome dei loro utenti: una campagna “da” gmail.com, yahoo.com o aol.com non può allineare il DKIM a quel dominio e non supera DMARC. Ora Mailchimp blocca del tutto questi indirizzi From: invia invece dal tuo dominio verificato e autenticato.
- Configurazione DNS
Il proxy di Cloudflare rompe tutto: imposta entrambi i CNAME su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in mcsv.net e il controllo di Mailchimp fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire k2._domainkey.yourdomain.com produce k2._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (k2._domainkey / k3._domainkey) se il pannello aggiunge il dominio per te.
- Configurazione DNS
Selettori vecchi e nuovi: gli account Mailchimp legacy usavano un unico CNAME k1._domainkey → dkim.mcsv.net; l'autenticazione attuale usa la coppia k2/k3. Aggiungi ciò che mostra la schermata del tuo account: non mescolare i valori di un tutorial con i tuoi.
- Copertura
I sottodomini si autenticano separatamente. Se invii da mail.yourdomain.com, verifica e autentica quel sottodominio per conto suo: i record del dominio radice non lo coprono.
- Fa fallire l'autenticazione
Tieni un solo record SPF e un solo record DMARC. Se invii già tramite Google Workspace o Microsoft 365, non pubblicare un secondo TXT SPF né un secondo record _dmarc: averne due è di per sé un errore (SPF PermError / DMARC non valido).
Crea il tuo record SPF
Mailchimp non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Mailchimp: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.