SPF, DKIM e DMARC per MailerLite.
MailerLite autentica il tuo dominio da Account settings → Domains, con una configurazione basata su CNAME/DKIM anziché su una riga SPF da incollare. Il record che fa davvero il lavoro è un unico CNAME DKIM (litesrv._domainkey.yourdomain.com che punta a litesrv._domainkey.mlsend.com), che permette a MailerLite di firmare crittograficamente la posta a nome del tuo dominio, affiancato da un TXT di verifica del dominio, da pubblicare una sola volta, che dimostra che l'indirizzo di invio è tuo. Poiché MailerLite invia tramite il proprio dominio di bounce mlsend.com e non ti permette mai di cambiare il Return-Path, è l'allineamento DKIM (non SPF) a far superare DMARC. La funzione Automatic Domain Authentication di MailerLite può persino accedere al tuo provider DNS e scrivere i record per te; se non può farlo (ad esempio quando accedi a quel provider con un login social, o se semplicemente preferisci farlo a mano), copi tre record dalla pagina Domains e fai clic su Check DNS records per verificarli.
Perché autenticare MailerLite?
Autenticare il dominio in MailerLite decide se le tue campagne raggiungono davvero la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a spostare nella cartella spam, e poi a rifiutare, la posta di massa non conforme su Outlook/Hotmail. Finché non autentichi il dominio, MailerLite firma la tua posta e ne gestisce i bounce sulla propria infrastruttura mlsend.com: Gmail mostra la nota “via mlsend.com”, il tuo indirizzo From non è crittograficamente tuo, DMARC non può essere superato e la tua reputazione finisce in comune con quella di tutti gli altri mittenti MailerLite non autenticati su quel dominio condiviso. In base a quelle stesse regole, MailerLite ora blocca del tutto l'invio da indirizzi From di posta gratuita (you@gmail.com, you@yahoo.com), quindi devi inviare da un dominio di tua proprietà e autenticarlo. Completare l'autenticazione del dominio fa sì che MailerLite firmi a nome del tuo dominio (DKIM allineato), elimina l'indicazione “via”, permette di superare DMARC e costruisce la reputazione di invio a nome tuo anziché nel pool condiviso.
Come funziona davvero SPF con MailerLite
MailerLite è un provider con autenticazione CNAME/DKIM, non un provider con include nel record SPF radice, e c'è una sfumatura importante che quasi tutte le guide sbagliano. MailerLite ti fornisce sì un record TXT SPF da pubblicare (v=spf1 include:_spf.mlsend.com ~all, da unire al tuo unico SPF radice), ma quel record NON crea l'allineamento SPF per DMARC sul tuo dominio. MailerLite non consente un Return-Path personalizzato: il mittente della busta (l'indirizzo di bounce) di ogni messaggio resta su mlsend.com. SPF viene sempre valutato su quel dominio della busta, quindi si autentica rispetto al record SPF di mlsend.com di MailerLite (che viene superato lato MailerLite) e non coincide mai con lo yourdomain.com del tuo indirizzo From visibile. Il superamento di DMARC dipende quindi interamente dall'allineamento DKIM del CNAME litesrv._domainkey, e SPF in pratica fa solo da comparsa. Pubblica pure il valore SPF di MailerLite se vuoi una pagina Domains pulita e tutta verde (MailerLite lo controlla), ma considera il CNAME DKIM il record portante: se DKIM non è verificato, DMARC fallisce qualunque cosa dica il tuo SPF. Un'altra trappola: esistono due piattaforme MailerLite. L'attuale “new MailerLite” usa include:_spf.mlsend.com e il selettore litesrv._domainkey; la precedente “MailerLite Classic” usava include:_spf.mailerlite.com e il selettore mailerlite._domainkey. Copia sempre i valori esatti dalla pagina Domains del tuo account invece che da un blog, e tieni esattamente un record TXT v=spf1 sul dominio radice.
Due modi per configurarlo
Automatic Domain Authentication (consigliata)
- MailerLite analizza il dominio, rileva il tuo provider DNS e (dopo che hai effettuato l'accesso a quel provider) scrive per te il CNAME DKIM, l'SPF e i record di verifica
- Meno errori di battitura: niente domini duplicati nel campo host né tipi di record sbagliati
- Di solito la verifica richiede da pochi minuti a qualche ora
- Non funziona se accedi al tuo provider DNS/hosting con un login social come Gmail: MailerLite non può accedere al posto tuo, quindi scegli Manual
Record DNS manuali
- Copi tu i tre record direttamente dalla pagina Domains nel tuo registrar o provider DNS
- Necessari quando il provider DNS usa un login social (ad es. Gmail) o quando MailerLite non riesce a rilevarlo in automatico
- Controlli esattamente dove finisce ogni record (dominio radice o sottodominio di invio)
- Su Cloudflare devi impostare a mano il CNAME DKIM su DNS only (nuvola grigia)
Passo dopo passo
- 1
Apri la pagina Domains
Accedi e vai su Account settings (menu del profilo in basso a sinistra) → Domains. Fai clic su Add domain oppure, se stai impostando un'email mittente, MailerLite ti chiede di autenticare il dominio di quell'indirizzo.
- 2
Inserisci l'indirizzo di invio
Digita l'indirizzo email da cui invierai le campagne (ad es. news@yourdomain.com). MailerLite ricava da lì il dominio da autenticare e crea la voce del dominio.
- 3
Scegli l'autenticazione automatica o manuale
MailerLite offre Automatic Domain Authentication (rileva il tuo provider DNS e, dopo che hai effettuato l'accesso a quel provider, scrive i record per te) oppure Manual. La modalità automatica è la più semplice; scegli Manual se accedi al provider DNS con un login social come Gmail (MailerLite non può accedere al posto tuo), se il provider non viene rilevato o se preferisci aggiungere tu i record.
- 4
Copia i tre record
Nella pagina Domains, MailerLite mostra i record DKIM (CNAME), SPF (TXT) e Domain verification (TXT) con i campi Name e Value esatti. Non sono modificabili in MailerLite, quindi vanno aggiunti al DNS esattamente come sono. Tieni aperta questa scheda.
- 5
Aggiungi il CNAME DKIM
Crea un record CNAME: Name litesrv._domainkey, Value litesrv._domainkey.mlsend.com (la stessa destinazione per ogni account MailerLite). È il record portante: delega DKIM a MailerLite, che così può firmare a nome del tuo dominio. Non aggiungerlo come record TXT.
- 6
Unisci il record TXT SPF
Aggiungi o aggiorna l'unico TXT SPF radice in modo che contenga include:_spf.mlsend.com, ad es. v=spf1 include:_spf.mlsend.com ~all. Se hai già un record SPF per altri mittenti, unisci l'include a quell'unica riga: non pubblicare mai un secondo record v=spf1.
- 7
Aggiungi il TXT di verifica del dominio
Pubblica il record TXT di verifica esattamente come lo mostra MailerLite (un valore specifico del tuo account sul dominio radice). Dimostra che l'indirizzo di invio è tuo e abilita l'invio da quell'indirizzo.
- 8
Aggiungi il tuo record DMARC
MailerLite non crea DMARC per te. Aggiungi un record TXT su _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com per raccogliere i report prima di applicare la policy.
- 9
Fai clic su Check DNS records
Torna alla pagina Domains di MailerLite e fai clic su Check DNS records. Spesso la propagazione richiede pochi minuti, ma può arrivare fino a 24-48 ore; quando i record si risolvono, MailerLite contrassegna il dominio come Authenticated.
- 10
Invia un'email di prova e conferma l'allineamento DKIM
Inviati una campagna o un test, aprilo in Gmail e usa Show original: devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. SPF mostrerà mlsend.com e non si allineerà: per MailerLite è previsto.
Record da aggiungere
MailerLite genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | litesrv._domainkey | litesrv._domainkey.mlsend.comDKIM: il record portante; permette a MailerLite di firmare con d=yourdomain.com, così DMARC viene superato. Stessa destinazione per ogni account. Aggiungilo come CNAME, non TXT. |
| TXT | @ | mailerlite-verification=abc123def456… (account-specific)Verifica della proprietà del dominio, pubblicata sul dominio radice. Valore di esempio: copia Name e Value esatti dalla pagina Domains. |
| TXT | @ | v=spf1 include:_spf.mlsend.com ~allInclude SPF fornito da MailerLite: uniscilo al tuo unico SPF radice. Non crea l'allineamento DMARC (il Return-Path è mlsend.com). Valore di esempio (nuova piattaforma). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: MailerLite non la aggiunge. Una per dominio. Valore di esempio. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di MailerLite.
MailerLite occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è il record che fa davvero superare DMARC alla posta MailerLite. Pubblichi un unico CNAME (Name litesrv._domainkey.yourdomain.com, Value litesrv._domainkey.mlsend.com), che è una delega, non una chiave da incollare. Poiché è un CNAME che punta a MailerLite, è MailerLite a conservare la chiave privata e a firmare ogni messaggio con d=yourdomain.com; s=litesrv, mentre i server riceventi seguono il tuo CNAME per recuperare la chiave pubblica corrispondente da mlsend.com. È quel d= che coincide con il tuo dominio From a darti l'allineamento DKIM e, dato che il mittente della busta di MailerLite resta su mlsend.com (quindi SPF non può allinearsi), questo allineamento DKIM è l'unica base per il superamento di DMARC. La destinazione è la stessa per ogni account MailerLite (è l'host di delega, non una chiave per account), quindi non stupirti se non è univoca per te. Aggiungilo come CNAME (mai come TXT), inserisci solo l'etichetta litesrv._domainkey così il registrar non raddoppia il dominio e, su Cloudflare, impostalo su DNS only (nuvola grigia), altrimenti non si risolve. Se questo record non è verde, DMARC fallisce indipendentemente dal tuo SPF.
DMARC
DMARC è un record di policy separato sul dominio radice che MailerLite non crea per te: lo aggiungi tu. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non influisce sul recapito mentre verifichi che la posta MailerLite superi l'autenticazione. C'è un dettaglio specifico di MailerLite: poiché per MailerLite SPF non può mai allinearsi (il Return-Path è su mlsend.com), il superamento di DMARC dipende interamente da DKIM. Prima di passare a p=quarantine o p=reject, quindi, verifica nei report aggregati (rua) che MailerLite compaia come sorgente con DKIM allineato che supera i controlli; altrimenti l'applicazione della policy inizierà a mettere in quarantena o a rifiutare le tue stesse campagne. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non pubblicarne un secondo per MailerLite.
Verifica che funzioni davvero
Non fidarti solo del badge “Authenticated” della pagina Domains: confermalo su un messaggio reale. Inviati una campagna o un'email di prova, aprila in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con yourdomain.com come dominio di firma (tramite il selettore litesrv) e DMARC: PASS. SPF riporterà mlsend.com e non si allineerà al tuo dominio: per MailerLite è normale e previsto, perché è DKIM a far superare DMARC. La nota “via mlsend.com” dovrebbe essere sparita. Preferisci una pagella completa? Invia un'email di prova a check-auth@verifier.port25.com per un'analisi dettagliata, oppure analizza il tuo dominio con il check-up del dominio e il controllo autenticazione email di Qualisend per confermare che il CNAME si risolva e che DKIM sia allineato. Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: MailerLite dovrebbe comparire come sorgente con DKIM allineato che supera i controlli (con SPF non allineato, il che va bene).
Insidie comuni
- Copertura
MailerLite Classic e la nuova piattaforma MailerLite usano valori diversi. Se una guida ti dice di aggiungere mailerlite._domainkey o include:_spf.mailerlite.com, si riferisce alla vecchia piattaforma MailerLite Classic. La nuova piattaforma usa litesrv._domainkey e include:_spf.mlsend.com. Copia sempre i record esatti dalla pagina Domains del tuo account.
- Configurazione DNS
Con MailerLite SPF non può mai allinearsi. Poiché non c'è un Return-Path personalizzato, il mittente della busta resta su mlsend.com, quindi SPF autentica MailerLite, non il tuo dominio. Non contare su SPF per DMARC: se il CNAME DKIM non è verificato, DMARC fallisce qualunque sia il tuo SPF.
- Configurazione DNS
Il proxy di Cloudflare rompe il CNAME DKIM. Imposta litesrv._domainkey su DNS only (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in mlsend.com e il controllo Check DNS records di MailerLite continuerà a fallire.
- Configurazione DNS
Dominio duplicato nel campo host. Molti registrar aggiungono automaticamente il dominio, quindi inserire litesrv._domainkey.yourdomain.com produce litesrv._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta litesrv._domainkey se il pannello aggiunge il dominio per te.
- Configurazione DNS
Aggiungi DKIM come CNAME, non come TXT. Un errore frequente è incollare il valore litesrv._domainkey in un record TXT. Deve essere un CNAME che punta a litesrv._domainkey.mlsend.com.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF sul dominio radice. Se invii già tramite Google, Microsoft 365 o un altro strumento, unisci include:_spf.mlsend.com a quell'unica riga v=spf1: due record TXT SPF separati sono di per sé un PermError.
- Copertura
MailerLite non crea DMARC per te. Senza un record _dmarc non rispetti le regole di Gmail/Yahoo per i mittenti di grandi volumi: aggiungilo tu e parti da p=none.
- Copertura
Gli indirizzi From di posta gratuita vengono rifiutati. In MailerLite non puoi autenticare you@gmail.com o you@yahoo.com: invia da un dominio di tua proprietà che hai autenticato.
- Copertura
L'autenticazione automatica non funziona con un login social al provider DNS. Se accedi al registrar o al provider DNS con Google/Gmail o un altro login social, la procedura automatica di MailerLite non può accedere al posto tuo: passa a Manual e aggiungi tu i record.
Crea il tuo record SPF
MailerLite non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per MailerLite: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.