SPF, DKIM e DMARC per Mailgun.
Mailgun (ora parte di Sinch) autentica il tuo dominio dall'area Sending → Domains, dove aggiungi un piccolo insieme di record DNS a un sottodominio di invio dedicato come mg.yourdomain.com invece che direttamente al dominio radice. A differenza dei provider basati solo su CNAME come SendGrid o Klaviyo, Mailgun è un vero provider con include SPF: pubblichi tu v=spf1 include:mailgun.org ~all, insieme a un record DKIM (una moderna coppia di CNAME a rotazione automatica tramite Automatic Sender Security, oppure un classico TXT statico) e a un CNAME di tracking facoltativo. Gli hostname e i valori esatti delle chiavi dipendono dall'account e sono mostrati nella tua dashboard. Quando ogni record mostra un segno di spunta verde, Mailgun invia a nome del tuo dominio con SPF e DKIM allineati, quindi DMARC viene superato.
Perché autenticare Mailgun?
Autenticare il tuo dominio Mailgun è ciò che porta le tue email nella posta in arrivo, invece di farle finire nello spam o generare un bounce. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare requisiti simili ai mittenti di grandi volumi verso Outlook/Hotmail/Live. Finché non aggiungi e verifichi il tuo dominio, Mailgun ti consente di inviare solo dal suo dominio sandbox (sandboxXXXX.mailgun.org), limitato a una manciata di destinatari preautorizzati e privo di una reputazione tua: inutile in produzione. Verificare il dominio ti porta all'invio vero e proprio, dove SPF e DKIM si allineano entrambi al tuo dominio organizzativo, DMARC viene superato e la reputazione di invio che costruisci si accumula sul tuo dominio invece che su un'infrastruttura condivisa. Poiché Mailgun nasce per API/SMTP ed è molto usato per la posta transazionale (reset delle password, ricevute, avvisi), un record errato qui fa perdere in silenzio email che i tuoi utenti stanno aspettando.
Come funziona davvero SPF con Mailgun
Mailgun è un vero provider con include SPF, quindi c'è un record reale da aggiungere: v=spf1 include:mailgun.org ~all. Non esiste un CNAME che soddisfi SPF per te come fa il sottodominio em di SendGrid: questo TXT lo pubblichi tu, e vale sia che usi la moderna Automatic Sender Security sia il metodo DKIM classico (quell'opzione cambia solo il DKIM, mai SPF). Il problema è che include:mailgun.org è insolitamente pesante. Verificato sul DNS reale, si risolve in cinque ricerche annidate: mailgun.org pubblica v=spf1 include:_spf.mailgun.org include:_spf.eu.mailgun.org -all, _spf.mailgun.org annida a sua volta include:_spf1.mailgun.org e include:_spf2.mailgun.org, così una sola riga copre sia la regione di invio US sia quella EU. È metà del budget di dieci ricerche previsto dall'RFC 7208 in un solo include. La mossa giusta, consigliata dalla stessa Mailgun, è mettere Mailgun su un sottodominio di invio dedicato come mg.yourdomain.com. L'include si trova così nel record SPF di quel sottodominio e non pesa sull'SPF del dominio radice, quindi non entra mai in collisione con Google Workspace, Microsoft 365 o altri mittenti già presenti sul dominio radice. Se invii solo dalla regione EU, puoi restringere il meccanismo a include:_spf.eu.mailgun.org, che è puro ip4 e costa una sola ricerca.
Due modi per configurarlo
Automatic Sender Security: DKIM via CNAME (consigliata)
- Due CNAME (etichette mostrate nella tua dashboard, es. pdk1._domainkey e pdk2._domainkey) delegano il DKIM all'infrastruttura di Mailgun
- Mailgun genera chiavi a 2048 bit e le ruota automaticamente secondo una pianificazione propria (puoi forzare una rotazione in qualsiasi momento)
- Nessuna chiave pubblica da incollare e nulla da rimodificare nel DNS quando le chiavi cambiano
- Attiva l'opzione quando aggiungi il dominio: è disattivata per impostazione predefinita
- SPF resta v=spf1 include:mailgun.org ~all; Automatic Sender Security cambia solo il modo in cui viene gestito il DKIM
Classico: singolo TXT DKIM (predefinito / legacy)
- Un record TXT sull'host <selector>._domainkey mostrato da Mailgun, che contiene k=rsa; p=<long base64>
- La chiave è statica: devi ruotarla in Mailgun e modificare di nuovo il DNS a mano
- Le chiavi a 2048 bit superano spesso il limite della stringa singola dei TXT e vanno divise in due stringhe tra virgolette
- È ciò che ottieni se lasci disattivata Automatic Sender Security: funziona, ma senza rotazione automatica
Passo dopo passo
- 1
Apri Sending → Domains
Accedi su app.mailgun.com (US) o app.eu.mailgun.com (EU), poi vai su Sending → Domains nel menu a sinistra e fai clic su Add New Domain.
- 2
Usa un sottodominio di invio, non il dominio radice
Inserisci un sottodominio come mg.yourdomain.com (vanno bene anche mail. o email.) invece del semplice yourdomain.com. Così la reputazione di invio di Mailgun resta separata dalle tue caselle aziendali, eviti conflitti MX con Google/Microsoft e tieni il pesante include SPF fuori dal dominio radice.
- 3
Scegli la regione corretta
Scegli US o EU quando crei il dominio. La regione decide se i tuoi record di tracking/MX puntano a host mailgun.org o eu.mailgun.org e quale URL dell'app gestisce il dominio. I record della regione sbagliata non verranno mai verificati.
- 4
Attiva Automatic Sender Security
Durante la configurazione, attiva Automatic Sender Security (è disattivata per impostazione predefinita). In questo modo il DKIM viene gestito con due CNAME a 2048 bit a rotazione automatica e non dovrai mai rimodificare le chiavi. Lasciala disattivata solo se vuoi espressamente un TXT DKIM statico gestito da te.
- 5
Apri l'elenco dei record DNS
Dopo aver creato il dominio, aprilo e vai su Domain Settings → DNS records (il pannello Domain Verification & DNS). Mailgun elenca il TXT SPF, i record DKIM, il CNAME di tracking facoltativo e l'MX facoltativo, con i valori esatti del tuo account da copiare.
- 6
Aggiungi il record TXT SPF
Sul sottodominio di invio, aggiungi un record TXT: host mg (cioè mg.yourdomain.com), valore v=spf1 include:mailgun.org ~all. Se per qualche motivo quel sottodominio ha già un record SPF, unisci include:mailgun.org a quello esistente: non pubblicare mai due record SPF sullo stesso host.
- 7
Aggiungi i record DKIM
Con Automatic Sender Security attiva, aggiungi i due CNAME mostrati da Mailgun (etichette come pdk1._domainkey.mg e pdk2._domainkey.mg) che puntano alle rispettive destinazioni dkim1.mailgun.com ospitate da Mailgun. Con l'opzione disattivata, aggiungi il singolo TXT DKIM sul selettore mostrato (un host <selector>._domainkey.mg) contenente k=rsa; p=…; dividi una chiave a 2048 bit in due stringhe tra virgolette se il tuo provider DNS lo richiede.
- 8
Aggiungi il CNAME di tracking (consigliato)
Aggiungi un CNAME: host email.mg → valore mailgun.org (US) o eu.mailgun.org (EU). Riscrive i link di tracking di aperture e clic perché usino il tuo dominio invece di quello di Mailgun. È facoltativo per il recapito, ma consigliato per il branding e la deliverability.
- 9
Aggiungi l'MX solo se ricevi posta
Se Mailgun deve ricevere o instradare la posta in entrata sul sottodominio, aggiungi due record MX con priorità 10: mxa.mailgun.org e mxb.mailgun.org (EU: mxa.eu.mailgun.org / mxb.eu.mailgun.org). Salta del tutto l'MX se usi Mailgun solo per inviare, e non reindirizzare mai l'MX del dominio radice a Mailgun se le tue caselle sono su Google o Microsoft.
- 10
Disattiva il proxy di Cloudflare sui CNAME
Se il tuo DNS è su Cloudflare, imposta i CNAME DKIM _domainkey e il CNAME di tracking email su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve su Mailgun e la verifica fallisce. (SPF, TXT DKIM e DMARC sono record TXT e il proxy non li riguarda.)
- 11
Fai clic su Verify DNS Settings
Torna in Domain Settings di Mailgun, fai clic su Verify DNS Settings e attendi un segno di spunta verde su ogni record. Di solito la propagazione richiede pochi minuti, ma può arrivare a 24-48 ore; Mailgun ricontrolla anche in automatico, quindi fai di nuovo clic se un record è ancora in giallo.
- 12
Invia dal dominio verificato
Nelle impostazioni della tua app o SMTP, invia da un indirizzo del sottodominio verificato (es. no-reply@mg.yourdomain.com), mai dal dominio sandbox. Invia un'email di prova e conferma che si autentichi (SPF, DKIM e DMARC tutti PASS, allineati al tuo dominio) prima di indirizzare lì il traffico di produzione.
Record da aggiungere
Mailgun genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | mg | v=spf1 include:mailgun.org ~allSPF sul sottodominio di invio (mg.yourdomain.com). Se esiste già un record, uniscilo a quello: un solo SPF per host. Chi invia solo dalla regione EU può usare include:_spf.eu.mailgun.org (una sola ricerca). |
| CNAME | pdk1._domainkey.mg | pdk1._domainkey.<hash>.dkim1.mailgun.comChiave DKIM 1: Automatic Sender Security (rotazione automatica). Etichetta host e destinazione sono mostrate per account nella tua dashboard. |
| CNAME | pdk2._domainkey.mg | pdk2._domainkey.<hash>.dkim1.mailgun.comChiave DKIM 2: ruotata automaticamente insieme alla chiave 1 per transizioni fluide e senza interruzioni. |
| TXT | <selector>._domainkey.mg | k=rsa; p=MIGfMA0GCSqGSIb3DQEB...IDAQABSingolo TXT DKIM classico: SOLO se Automatic Sender Security è disattivata. Selettore e chiave dipendono dall'account; dividi le chiavi a 2048 bit in due stringhe tra virgolette se il tuo provider lo richiede. |
| CNAME | email.mg | mailgun.orgTracking di aperture e clic sul tuo dominio. La regione EU usa eu.mailgun.org. Facoltativo. |
| MX | mg | mxa.mailgun.orgPriorità 10. Solo se Mailgun riceve posta in entrata. Aggiungi anche mxb.mailgun.org (priorità 10). EU: mxa/mxb.eu.mailgun.org. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comPolicy DMARC sul dominio ORGANIZZATIVO (non sul sottodominio mg): una per dominio. Parti da p=none. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Mailgun.
Mailgun occupa 5 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Mailgun offre due metodi DKIM, e la scelta riguarda solo il DKIM, mai SPF. La strada consigliata è Automatic Sender Security: attivala quando aggiungi il dominio e Mailgun ti fornisce due record CNAME (le etichette sono mostrate per account, es. pdk1._domainkey.mg.yourdomain.com e pdk2._domainkey.mg.yourdomain.com), ciascuno dei quali punta a una destinazione ospitata da Mailgun su dkim1.mailgun.com, unica per il tuo account. Poiché sono CNAME delegati a Mailgun, Mailgun detiene le chiavi private, pubblica chiavi pubbliche a 2048 bit dietro quei selettori e le ruota automaticamente secondo una pianificazione propria (puoi anche forzare una rotazione in qualsiasi momento): non copi mai una chiave e non modifichi più il DNS. I selettori sono due perché una nuova chiave possa essere pubblicata prima che la vecchia venga ritirata, senza interruzioni nella firma. L'alternativa classica (l'impostazione predefinita se lasci disattivata Automatic Sender Security) è un singolo record TXT DKIM statico sul selettore mostrato da Mailgun, un host <selector>._domainkey.mg.yourdomain.com, che contiene k=rsa; p=<long base64 public key>. Quella chiave è statica: per ruotarla devi rigenerarla in Mailgun e modificare di nuovo il DNS, e un valore a 2048 bit supera spesso il limite di 255 caratteri per stringa singola dei TXT, quindi dovrai dividerlo in due stringhe tra virgolette (Mailgun mostra la suddivisione). In entrambi i casi il d= del DKIM è il tuo sottodominio di invio, che si allinea in modalità relaxed al tuo dominio organizzativo, quindi DMARC viene superato.
DMARC
DMARC è un record TXT separato e non è tra quelli generati da Mailgun. Pubblicalo una sola volta su _dmarc.yourdomain.com, sul dominio organizzativo (radice) e non sul sottodominio mg, partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non incide sul recapito mentre verifichi che la posta Mailgun superi SPF e DKIM allineati al tuo dominio. L'allineamento DMARC funziona anche quando il tuo From visibile è you@yourdomain.com e Mailgun firma con d=mg.yourdomain.com, perché l'allineamento relaxed considera un sottodominio e il suo dominio padre come lo stesso dominio organizzativo (e il Return-Path di Mailgun sta sullo stesso sottodominio di invio, quindi si allinea anche SPF). Poiché un record DMARC sul dominio radice copre anche i sottodomini, il tuo record _dmarc esistente governa già mg.yourdomain.com; aggiungi una policy specifica per il sottodominio (con sp= nel record radice o con un record _dmarc.mg dedicato) solo se vuoi che venga trattato diversamente. Osserva i report aggregati (rua) per una o due settimane, poi passa a p=quarantine e infine a p=reject quando Mailgun risulta stabilmente una sorgente allineata che supera i controlli. Tieni esattamente un record _dmarc per il dominio, a prescindere da quanti mittenti usi.
Verifica che funzioni davvero
Non fidarti dei soli segni di spunta verdi nel pannello DNS di Mailgun: confermano che i record si risolvono, non che un messaggio reale si autentichi. Inviati un'email di prova da un indirizzo del sottodominio verificato (Mailgun ha un pulsante Send test email, oppure usa la tua app), aprila in Gmail e scegli il menu a tre puntini → Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con il tuo dominio, più DMARC: PASS, e il d= della firma DKIM deve essere mg.yourdomain.com. Analizza il sottodominio di invio con il check-up del dominio di Qualisend per confermare che i record SPF, DKIM e DMARC si risolvano tutti e che l'include SPF non ti faccia superare le dieci ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Mailgun dovrebbe comparire come sorgente allineata che supera i controlli. Anche la scheda Logs di Mailgun segnala per ogni messaggio gli errori di recapito e di autenticazione.
Insidie comuni
- Configurazione DNS
include:mailgun.org è pesante: verificato sul DNS reale, si risolve in cinque ricerche DNS perché una sola riga copre entrambe le regioni (mailgun.org → _spf.mailgun.org, che annida _spf1 e _spf2, più _spf.eu.mailgun.org). È metà del budget di dieci ricerche previsto dall'RFC 7208. Mettere Mailgun su un sottodominio di invio dedicato tiene l'include del tutto fuori dal tuo SPF radice; chi invia solo dalla regione EU può restringerlo a include:_spf.eu.mailgun.org (una ricerca).
- Copertura
Le regioni US ed EU sono separate: i domini EU si gestiscono su app.eu.mailgun.com e i loro record di tracking/MX puntano a host eu.mailgun.org. Se copi i record dalla regione sbagliata, o accedi alla dashboard sbagliata, il dominio non viene mai verificato.
- Copertura
Il dominio sandbox (sandboxXXXX.mailgun.org) serve solo per i test: invia a una manciata di destinatari preautorizzati e non costruisce reputazione. Non usarlo mai in produzione: aggiungi e verifica il tuo dominio.
- Copertura
Non reindirizzare l'MX del dominio radice a Mailgun se le tue caselle sono su Google Workspace o Microsoft 365: bloccheresti la posta in entrata. Usa un sottodominio dedicato per Mailgun, oppure salta del tutto l'MX se ti serve solo inviare.
- Configurazione DNS
Lunghezza del TXT DKIM a 2048 bit: una singola stringa p= lunga supera spesso il limite di 255 caratteri dei TXT e viene rifiutata o troncata. Dividila in due stringhe tra virgolette esattamente come mostra Mailgun. I CNAME di Automatic Sender Security evitano del tutto il problema.
- Configurazione DNS
Il proxy di Cloudflare rompe i CNAME: imposta i CNAME DKIM _domainkey e il CNAME di tracking email su “DNS only” (nuvola grigia). Un record con proxy attivo (nuvola arancione) non si risolve su Mailgun e la verifica fallisce.
- Fa fallire l'autenticazione
Tieni un solo TXT SPF per host: se il sottodominio di invio ha già un record SPF, unisci include:mailgun.org a quello invece di aggiungere un secondo TXT SPF. Due record SPF sullo stesso host sono un PermError che fa fallire SPF del tutto.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire mg.yourdomain.com produce mg.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta prevista dal pannello (mg, pdk1._domainkey.mg, email.mg).
Crea il tuo record SPF
Mailgun è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Mailgun: domande frequenti
Letture correlate
Altri provider: Transazionali e API
- Mailjet
- Mailtrap
- Mandrill (Mailchimp Transactional)
- Postmark
- Resend
- Scaleway Transactional Email
- SendGrid
- SMTP.com
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.