SPF, DKIM e DMARC per MailerSend.
MailerSend autentica il tuo dominio di invio con un piccolo insieme fisso di record DNS da copiare dalla sua dashboard: un record TXT SPF radice che include _spf.mailersend.net, una chiave DKIM delegata tramite CNAME e un CNAME per il Return-Path personalizzato su un sottodominio mta. A differenza dei provider basati solo su CNAME, MailerSend vuole davvero l'include SPF sul dominio radice, ma è il CNAME del Return-Path a far allineare SPF per DMARC. Aggiungili tutti e tre (più il tuo record DMARC) e MailerSend potrà inviare a nome del tuo dominio, con SPF, DKIM e DMARC tutti superati e allineati.
Perché autenticare MailerSend?
Autenticare il dominio in MailerSend è ciò che decide se le tue email transazionali e di marketing raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme. Finché non verifichi un dominio, MailerSend non ti consente affatto di inviare da quel dominio, e anche la sandbox di prova invia solo ai tuoi destinatari di test verificati. Una volta attivi l'include SPF, il CNAME DKIM e il CNAME del Return-Path, sia SPF (tramite il sottodominio mta) sia DKIM (tramite il selettore mlsend) si allineano al tuo dominio organizzativo, DMARC viene superato e la reputazione di invio che costruisci si accumula sul tuo dominio invece che su un pool condiviso. Per chi gestisce reset delle password, ricevute o campagne con MailerSend, è la differenza tra la posta in arrivo e lo spam.
Come funziona davvero SPF con MailerSend
MailerSend è un vero provider basato su include: aggiungi un include SPF condiviso al dominio radice, v=spf1 include:_spf.mailersend.net ~all. Oggi quell'include si riduce a un singolo record (v=spf1 ip4:212.11.79.0/24 ~all), quindi costa esattamente una delle tue 10 ricerche DNS SPF, senza include annidati di cui preoccuparsi. Ma ciò che fa davvero superare con allineamento il controllo SPF di DMARC è il CNAME del Return-Path personalizzato: MailerSend imposta il MAIL FROM della busta su mta.yourdomain.com, quindi SPF viene valutato su quel sottodominio, che tramite CNAME punta allo spazio autorizzato dall'SPF di MailerSend e, essendo un sottodominio del tuo dominio, si allinea al tuo indirizzo From: con l'allineamento relaxed. In breve, l'include radice autorizza MailerSend sul tuo dominio organizzativo, e il CNAME del Return-Path mta è ciò che fa allineare SPF per DMARC. Pubblicali entrambi. Se salti il CNAME del Return-Path, MailerSend ripiega sul proprio dominio di bounce, SPF smette di allinearsi al tuo e DMARC può fallire il controllo SPF anche se l'SPF grezzo viene ancora superato su mailersend.net (l'allineamento DKIM può comunque far superare DMARC, ma hai buttato via una delle tue due vie di allineamento).
Passo dopo passo
- 1
Aggiungi il tuo dominio di invio in MailerSend
Nella dashboard di MailerSend apri Email > Domains e fai clic su Add domain. Inserisci il dominio (o, meglio, un sottodominio di invio: vedi sotto). MailerSend genera subito i valori esatti di SPF, DKIM e Return-Path per quel dominio e mostra una schermata di configurazione DNS specifica per provider. Lascia aperta questa pagina: copierai da qui.
- 2
Scegli preferibilmente un sottodominio di invio
MailerSend supporta e consiglia l'invio da un sottodominio come mail.yourdomain.com o news.yourdomain.com. Un sottodominio isola la tua reputazione di invio MailerSend dal dominio principale delle tue caselle (Google Workspace / Microsoft 365) e mantiene ordinato il DNS di ogni flusso di invio. Se usi un sottodominio, tutti i record qui sotto vanno pubblicati nel tuo DNS relativamente a quel sottodominio.
- 3
Pubblica il record TXT SPF sul dominio radice (o di invio)
Aggiungi un record TXT su @ (o sul tuo sottodominio di invio) con il valore mostrato da MailerSend: v=spf1 include:_spf.mailersend.net ~all. Se invii già da quel dominio tramite un altro provider, NON creare un secondo record SPF: unisci include:_spf.mailersend.net alla tua unica riga v=spf1 esistente e tieni un solo ~all alla fine.
- 4
Aggiungi il CNAME DKIM
Tra i record CNAME, aggiungi il record DKIM esattamente come te lo fornisce MailerSend: un host del tipo mlsend2._domainkey che punta a mlsend2._domainkey.mailersend.net. È un CNAME, non una chiave pubblica TXT: la chiave vera e propria sta dalla parte di MailerSend. Copia host e destinazione alla lettera, senza ridigitare il selettore.
- 5
Aggiungi il CNAME Return-Path
Aggiungi un CNAME con host mta che punta a mailersend.net. Imposta il tuo Return-Path personalizzato (dominio di bounce/della busta) su mta.yourdomain.com: è ciò che consente a SPF di allinearsi al tuo dominio per DMARC e riporta a MailerSend gli eventi di bounce e feedback.
- 6
(Facoltativo) Aggiungi i record di tracking e di posta in entrata
Se attivi un dominio di tracking personalizzato in MailerSend, aggiungi il CNAME che mostra (host email che punta a links.mailersend.net), così i link di tracking di aperture e clic usano il tuo dominio invece di mailersend.net. Se prevedi di ricevere risposte tramite inbound routing, aggiungi il record MX fornito da MailerSend (host del tipo inbound, valore inbound.mailersend.net, priorità 10). Sono entrambi facoltativi: saltali se non usi queste funzioni.
- 7
Pubblica il record DMARC
MailerSend non crea DMARC per te. Aggiungi un record TXT su _dmarc con valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none per raccogliere i report, poi passa a quarantine e reject dopo aver confermato che la posta MailerSend supera i controlli con allineamento.
- 8
Verifica il dominio in MailerSend
Torna alla pagina DNS del dominio, spunta “I have added DNS records” e fai clic su Verify domain (nell'interfaccia precedente: Finish verification). Di solito i record si risolvono in pochi minuti, ma la propagazione può arrivare a 48 ore. MailerSend ricontrolla SPF, DKIM e Return-Path e segna in verde ciascun record quando si risolve.
- 9
Controlla su un messaggio reale e ottieni l'approvazione all'invio
Invia un'email di prova a un indirizzo Gmail, apri Show original e conferma SPF: PASS, DKIM: PASS, DMARC: PASS, con il dominio di firma e quello del Return-Path sul tuo dominio. Ricorda che la verifica DNS è necessaria ma non sufficiente: i nuovi account MailerSend devono anche essere approvati manualmente prima di poter inviare al di fuori dei destinatari di test, quindi invia la richiesta di approvazione se ti viene chiesto.
Record da aggiungere
MailerSend genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.mailersend.net ~allValore di esempio. Tieni esattamente un record SPF per dominio: se hai già una riga v=spf1, unisci include:_spf.mailersend.net a quella invece di aggiungere un secondo record. Su un sottodominio di invio, pubblicalo sul sottodominio invece che su @. |
| CNAME | mlsend2._domainkey | mlsend2._domainkey.mailersend.netSelettore di esempio: MailerSend assegna mlsend o mlsend2 per dominio. Copia host e destinazione esatti dalla tua pagina Domains. Il DKIM è delegato tramite CNAME, quindi non c'è alcuna chiave pubblica TXT da incollare. |
| CNAME | mta | mailersend.netReturn-Path personalizzato. Imposta il MAIL FROM della busta su mta.yourdomain.com, così SPF si allinea per DMARC e i bounce tornano a MailerSend. Non saltarlo. |
| CNAME | links.mailersend.netFacoltativo: aggiungilo solo se attivi un dominio di tracking personalizzato in MailerSend, così i link di tracking di aperture e clic usano il tuo dominio. Il sottodominio (email) è configurabile. | |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo pubblichi tu. Un solo record DMARC per dominio. Parti da p=none, poi passa a quarantine e reject quando i report sono puliti. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di MailerSend.
MailerSend occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
MailerSend delega il DKIM con un CNAME invece che con una chiave pubblica TXT da incollare. L'host del record è del tipo mlsend2._domainkey.yourdomain.com e punta a mlsend2._domainkey.mailersend.net; la vera chiave pubblica RSA sta dalla parte di MailerSend, quindi quando ruotano le chiavi non devi più toccare il DNS. Copia il selettore esatto (MailerSend assegna mlsend o mlsend2 a seconda del dominio) e la destinazione esatta dalla pagina Domains: non ridigitarli e non tirare a indovinare. Trattandosi di un CNAME, i soliti problemi di suddivisione dei TXT in stringhe da 255 caratteri non si pongono, ma restano due stranezze dei pannelli. Primo, alcuni editor DNS aggiungono automaticamente il tuo dominio alla destinazione del CNAME, producendo il valore errato mlsend2._domainkey.mailersend.net.yourdomain.com: inserisci la destinazione con un punto finale, o esattamente come richiede il tuo provider, in modo che si risolva su MailerSend. Secondo, se il tuo DNS passa dal proxy di Cloudflare, imposta questo CNAME su “DNS only” (nuvola grigia); un CNAME DKIM con proxy attivo si risolve sull'edge di Cloudflare invece che sulla chiave di MailerSend e il DKIM non verrà mai verificato.
DMARC
DMARC è un record di policy separato che pubblichi tu: MailerSend non lo crea durante la verifica, anche se la sua dashboard offre il monitoraggio DMARC sui piani a pagamento (e 30 giorni gratis su Starter). Aggiungi un record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti i report aggregati, così puoi confermare che la posta MailerSend superi SPF e DKIM allineati al tuo dominio. Poiché MailerSend allinea entrambi i meccanismi (SPF tramite il sottodominio Return-Path mta, DKIM tramite il selettore mlsend sul tuo dominio), dovresti vedere presto controlli superati senza intoppi. Osserva i report rua per una o due settimane, assicurati che ogni mittente legittimo (MailerSend più eventuali altri strumenti sul dominio) sia autenticato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi. Le regole per i mittenti di grandi volumi di Gmail e Yahoo richiedono almeno p=none, ma è p=reject a fermare davvero lo spoofing.
Verifica che funzioni davvero
Non fidarti del solo badge verde: MailerSend può essere in ritardo sul DNS e indicare ancora “up to 48 hours” quando i record sono già attivi. Controlla su un messaggio reale: invia un'email di prova dal tuo dominio MailerSend a un indirizzo Gmail, aprila e scegli Show original. Devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, con il dominio di firma DKIM e il dominio del Return-Path (mailed-by / SPF) che riportano entrambi yourdomain.com e non mailersend.net. Dalla riga di comando: dig TXT yourdomain.com (include SPF presente), dig CNAME mlsend2._domainkey.yourdomain.com (si risolve in mlsend2._domainkey.mailersend.net), dig CNAME mta.yourdomain.com (si risolve in mailersend.net) e dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando arriva il primo report aggregato DMARC, caricalo nell'analizzatore di report DMARC: MailerSend dovrebbe comparire come sorgente pienamente allineata che supera i controlli. Ricorda: la verifica del DNS consente a MailerSend di inviare con il tuo dominio, ma un account di prova ha comunque bisogno di un'approvazione manuale prima di poter inviare a chiunque non sia tra i tuoi destinatari di test.
Insidie comuni
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio. Se invii già tramite Google Workspace, Microsoft 365 o un altro ESP, unisci include:_spf.mailersend.net a quell'unica riga v=spf1: due record SPF separati sono un PermError e compromettono del tutto SPF.
- Configurazione DNS
Non saltare il CNAME del Return-Path (mta → mailersend.net). Imposta il dominio della busta su mta.yourdomain.com, ed è questo che fa allineare SPF al tuo dominio per DMARC. Senza di esso SPF risulta ancora “pass” su mailersend.net ma non è più allineato, quindi DMARC può fallire sul lato SPF.
- Configurazione DNS
Il DKIM è un CNAME, non una chiave pubblica TXT. Se il tuo pannello DNS mostra solo un campo TXT per i record “_domainkey”, stai usando il tipo di record sbagliato: usa un CNAME che punta a mlsend2._domainkey.mailersend.net e copia esattamente il selettore (mlsend o mlsend2 viene assegnato per dominio).
- Configurazione DNS
Alcuni editor DNS aggiungono automaticamente il tuo dominio alle destinazioni dei CNAME, producendo valori errati come mlsend2._domainkey.mailersend.net.yourdomain.com o mailersend.net.yourdomain.com. Inserisci le destinazioni con un punto finale, o esattamente come richiede il tuo provider, in modo che si risolvano su MailerSend.
- Configurazione DNS
Se il tuo DNS passa dal proxy di Cloudflare, imposta i CNAME di DKIM, Return-Path ed eventuale tracking su “DNS only” (nuvola grigia). I CNAME con proxy attivo (nuvola arancione) si risolvono sull'edge di Cloudflare invece che su MailerSend e la verifica fallisce.
- Copertura
Verificare il DNS non significa avere il permesso di inviare. I nuovi account MailerSend restano in prova e raggiungono solo i tuoi destinatari di test verificati finché MailerSend non approva manualmente l'account: invia la richiesta di approvazione a parte.
- Configurazione DNS
Aggiungi il CNAME di tracking (email → links.mailersend.net) solo se attivi davvero un dominio di tracking personalizzato, e l'MX per la posta in entrata solo se usi l'inbound routing. Aggiungere record per funzioni che non usi serve solo a ingombrare il DNS.
- Copertura
Ogni dominio o sottodominio di invio ha bisogno dei propri record SPF, DKIM e Return-Path. Autenticare yourdomain.com non copre mail.yourdomain.com: verifica in MailerSend il dominio esatto da cui invii.
Crea il tuo record SPF
MailerSend è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per MailerSend: domande frequenti
Letture correlate
Altri provider: Transazionali e API
- Mailgun
- Mailjet
- Mailtrap
- Mandrill (Mailchimp Transactional)
- Postmark
- Resend
- Scaleway Transactional Email
- SendGrid
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.