SPF, DKIM e DMARC per Mailjet.
Mailjet (ora parte di Sinch) autentica il tuo dominio di invio dall'area Senders & Domains, e il record che ti fa davvero superare DMARC è DKIM, non SPF. Quando aggiungi e convalidi un dominio, Mailjet genera un record TXT DKIM sul selettore mailjet._domainkey con la tua chiave pubblica e mostra una riga SPF (v=spf1 include:spf.mailjet.com ?all). Il dettaglio che condiziona tutta la configurazione: per impostazione predefinita Mailjet gestisce i bounce sul proprio dominio Return-Path (bnc3.mailjet.com), quindi quell'include SPF viene controllato sull'infrastruttura di Mailjet e non si allinea mai al tuo dominio From: è la firma DKIM (d=yourdomain.com) a far superare DMARC. Pubblica il record mailjet._domainkey, aggiungi una policy DMARC e la posta che prima veniva attribuita all'infrastruttura condivisa di Mailjet si autentica invece come il tuo dominio.
Perché autenticare Mailjet?
Autenticare il tuo dominio Mailjet non è una formalità: decide se i tuoi messaggi raggiungono la posta in arrivo. Dal 1° febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Finché non ti autentichi, Mailjet invia su infrastruttura condivisa con firma mailjet.com: i destinatari vedono che la posta non è crittograficamente tua, il tuo indirizzo From non si allinea, DMARC non può essere superato e la tua reputazione finisce nello stesso calderone di tutti gli altri mittenti Mailjet non autenticati. C'è poi una particolarità di Mailjet che rende DKIM irrinunciabile: poiché Mailjet mantiene il proprio dominio Return-Path (di bounce), per impostazione predefinita SPF non si allinea mai al tuo dominio, quindi DKIM è l'unico meccanismo che può farti superare DMARC. Se salti il record mailjet._domainkey, non hai alcuna autenticazione allineata. Configuralo (Mailjet crea automaticamente chiavi a 2048 bit per i domini aggiunti da aprile 2024) e la reputazione di firma che costruisci va a vantaggio del tuo dominio.
Come funziona davvero SPF con Mailjet
Mailjet è classificato come provider “include” e spf.mailjet.com è un record SPF reale, attivo e piatto: un unico elenco di intervalli ip4 che termina con ~all, quindi costa una sola ricerca DNS, non le due o tre dichiarate dalle guide più vecchie. Ecco però la realtà specifica di Mailjet che rende quell'include quasi inutile: SPF viene sempre valutato sul mittente della busta / Return-Path e, per impostazione predefinita, Mailjet usa come Return-Path il PROPRIO dominio di bounce (bnc3.mailjet.com), non il tuo. Quindi, quando un server ricevente esegue il controllo SPF su un messaggio Mailjet, controlla l'SPF del dominio di bounce di Mailjet: l'include:spf.mailjet.com che pubblichi sul tuo dominio radice non viene mai consultato per quel messaggio e, anche quando SPF “viene superato”, lo è per mailjet.com, non per te, quindi non si allinea e non contribuisce in nulla a DMARC. È esattamente per questo che le indicazioni di Mailjet mettono DKIM al primo posto e che diverse guide ti dicono di non preoccuparti nemmeno di pubblicare l'include. DKIM firmato come d=yourdomain.com (il TXT mailjet._domainkey) è il meccanismo che si allinea e ti fa superare DMARC. L'unico modo per allineare davvero SPF è un Return-Path personalizzato: punta un sottodominio di bounce (es. bnc3.yourdomain.com) a bnc3.mailjet.com con un CNAME e apri un ticket al supporto Mailjet, indicando la chiave API legata al dominio, per attivarlo. È una funzione dei piani a pagamento, non un'opzione attivabile in autonomia, e hai un solo Return-Path personalizzato per chiave API. In pratica: riserva il tuo unico record SPF radice ai mittenti che mettono davvero il tuo dominio nella busta (Google Workspace, Microsoft 365, un relay transazionale), affidati a DKIM per Mailjet e non contare su include:spf.mailjet.com per cambiare il tuo risultato DMARC.
Due modi per configurarlo
Firma DKIM: mailjet._domainkey (ciò che si allinea)
- Un record TXT sul selettore mailjet._domainkey, generato per dominio all'interno di Mailjet
- Firma come d=yourdomain.com, quindi si allinea con DKIM relaxed e ti fa superare DMARC da solo
- I nuovi domini (dal 25 aprile 2024) ricevono chiavi a 2048 bit (sono supportati anche i 4096); i domini più vecchi hanno 1024 bit, che puoi aumentare
- Non aggiunge nulla al tuo budget di ricerche SPF: è un record DKIM, non un meccanismo SPF
Include SPF: include:spf.mailjet.com (viene superato, ma non si allinea)
- Un include reale e piatto da 1 ricerca, ma controllato sul dominio di bounce bnc3.mailjet.com di Mailjet, non sul tuo
- Non si allinea mai al tuo dominio From con il Return-Path predefinito (condiviso), quindi non aiuta DMARC
- Facoltativo per DMARC se usi solo Mailjet; vale la pena aggiungerlo solo se autorizzi anche altri mittenti nello stesso record
- Il vero allineamento SPF richiede un Return-Path personalizzato: un CNAME bnc3 più un ticket al supporto Mailjet, su un piano a pagamento
Passo dopo passo
- 1
Apri Senders & Domains
Accedi su app.mailjet.com, apri il menu dell'account (in alto a destra) e vai su Senders & Domains → Domains (interfaccia precedente: Account Settings → Domains & Sender addresses). Qui aggiungi e convalidi il dominio usato dal tuo indirizzo From.
- 2
Aggiungi e convalida l'intero dominio
Fai clic su Add a Sender Domain e inserisci yourdomain.com (il dominio organizzativo, non un singolo indirizzo). Convalida la proprietà quando richiesto: Mailjet ti invia via email un link di convalida oppure ti fa pubblicare un record TXT di convalida. Convalida il DOMINIO, non solo un indirizzo: la generazione della chiave DKIM si sblocca solo quando è convalidato l'intero dominio.
- 3
Apri SPF/DKIM Authentication
Accanto al dominio, fai clic su Manage / l'icona dell'ingranaggio (⚙️), poi su Setup SPF/DKIM Authentication. Mailjet mostra il record TXT DKIM per il selettore mailjet._domainkey e la riga SPF per il dominio.
- 4
Copia il record DKIM
Copia l'host DKIM (mailjet._domainkey) e il suo valore completo (v=DKIM1; k=rsa; p=<long public key>). Questo è il record che conta per DMARC: copia l'intera chiave, non una versione troncata.
- 5
Pubblica il TXT DKIM
Dal tuo provider DNS aggiungi un record TXT: host mailjet._domainkey, valore esattamente come lo mostra Mailjet. Una chiave a 2048 bit supera il limite di 255 caratteri della singola stringa TXT, quindi molti pannelli la salvano come più blocchi tra virgolette in un solo record: incollala esattamente così o lascia che il pannello ricomponga il valore diviso. Non aggiungere interruzioni di riga e non togliere le virgolette.
- 6
Lascia il tuo SPF radice ai mittenti che si allineano (include facoltativo)
NON ti serve include:spf.mailjet.com perché la posta Mailjet si autentichi: ci pensa DKIM, e l'include non si allinea perché il Return-Path è di Mailjet. Se lo vuoi comunque, o se il tuo SPF radice elenca già altri mittenti, tieni esattamente UN record v=spf1 e unisci include:spf.mailjet.com a quello (non pubblicare mai un secondo record SPF). Chiudi con il tuo ~all o -all invece del ?all dell'esempio di Mailjet.
- 7
Pubblica il record DMARC
Mailjet non crea DMARC. Aggiungi un record TXT sull'host _dmarc: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla mentre confermi che il DKIM di Mailjet si allinea. Tieni esattamente un record _dmarc per l'intero dominio.
- 8
(Facoltativo) Configura un Return-Path personalizzato per l'allineamento SPF
Solo se vuoi che si allinei anche SPF e hai un piano a pagamento: aggiungi un CNAME per il sottodominio di bounce (es. bnc3.yourdomain.com → bnc3.mailjet.com) e apri un ticket chiedendo al supporto Mailjet di attivare un Return-Path personalizzato, indicando la chiave API legata al dominio. Nella dashboard non c'è un'impostazione per attivarlo in autonomia e hai un solo Return-Path personalizzato per chiave API.
- 9
Conferma in Mailjet e su un messaggio reale
Torna alla pagina SPF/DKIM Authentication e fai clic su Force a check (Force Refresh): i controlli diventano verdi quando i record si risolvono (di solito pochi minuti, fino a 24-48 ore). Poi inviati un'email di prova da un indirizzo del dominio, aprila in Gmail → ⋮ → Show original e conferma DKIM: PASS con d=yourdomain.com e DMARC: PASS. Di solito SPF mostra un dominio di bounce bnc3.mailjet.com invece del tuo: con il Return-Path predefinito è previsto.
Record da aggiungere
Mailjet genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | mailjet._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(public key from Mailjet)Il record che si allinea per DMARC. Generato per dominio: i nuovi domini ricevono una chiave a 2048 bit (dal 25 aprile 2024), quelli più vecchi a 1024 bit; sono supportati anche i 4096. Valore di esempio: copia quello esatto dalla schermata SPF/DKIM Authentication di Mailjet. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Mailjet non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject. È DKIM a garantire l'allineamento. |
| TXT | @ | v=spf1 include:spf.mailjet.com ~allFacoltativo: spf.mailjet.com è un include piatto da 1 ricerca, ma viene controllato sul Return-Path bnc3 di Mailjet, non sul tuo, quindi non si allinea. Uniscilo al tuo unico SPF radice solo se lo vuoi; usa il tuo ~all/-all (l'esempio nella dashboard di Mailjet termina con ?all). |
| CNAME | bnc3 | bnc3.mailjet.comReturn-Path personalizzato facoltativo per l'allineamento SPF: una funzione dei piani a pagamento che richiede un ticket al supporto Mailjet (con la chiave API del dominio) per essere attivata; non è attivabile in autonomia dall'interfaccia. Host e destinazione di esempio. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Mailjet.
Mailjet occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Mailjet è un singolo record TXT sul selettore mailjet._domainkey e, cosa importante, è un TXT che incolli tu, non un CNAME delegato. Questo significa che (a differenza di SendGrid, Brevo o Microsoft 365) non c'è delega né rotazione automatica della chiave: Mailjet ti mostra una chiave pubblica (v=DKIM1; k=rsa; p=…) e tu la pubblichi nel DNS e, se mai rigeneri la chiave, devi ripubblicare a mano il nuovo valore. Dal 25 aprile 2024 Mailjet genera chiavi a 2048 bit per i domini appena aggiunti (supporta anche i 4096 bit); i domini più vecchi hanno mantenuto i 1024 bit: rigenera la chiave per passare a una più lunga. Una chiave a 2048 bit supera la singola stringa TXT da 255 caratteri, quindi molti pannelli DNS la salvano come più blocchi tra virgolette dentro un solo record; mantienila in un unico record logico e non introdurre interruzioni di riga spurie. Due stranezze di Mailjet da conoscere: la chiave DKIM può essere generata o rigenerata solo quando è convalidato l'INTERO dominio (se hai convalidato un solo indirizzo mittente, il pulsante Regenerate Key è grigio e non disponibile); e poiché la firma è d=yourdomain.com, questo record DKIM è il meccanismo che si allinea e ti fa superare DMARC, dato che SPF non può farlo con il Return-Path di Mailjet. Pubblica il TXT mailjet._domainkey esattamente come mostrato, attendi che si risolva, fai clic su Force a check e Mailjet fa diventare verde il controllo DKIM.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio che Mailjet non crea: lo aggiungi tu dal tuo provider DNS. Pubblicalo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) per confermare che la posta Mailjet superi i controlli. Poiché Mailjet si allinea tramite DKIM e non SPF, in quei report devi cercare in particolare il tuo dominio che supera il controllo DKIM. Dato che DKIM è l'unico meccanismo che fa superare DMARC alla posta Mailjet (SPF non si allinea con il Return-Path predefinito), assicurati che il record mailjet._domainkey sia verificato e superi i controlli prima di andare oltre p=none: altrimenti l'applicazione della policy potrebbe colpire la tua posta Mailjet. Quando l'allineamento è costante, passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi; non aggiungerne mai un secondo solo per Mailjet.
Verifica che funzioni davvero
Non fidarti solo delle spunte nella dashboard: verifica su un messaggio reale. Inviati un'email di prova da un indirizzo del dominio autenticato, aprila in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. Di solito SPF mostra un dominio di bounce/Return-Path bnc3.mailjet.com invece del tuo: con il Return-Path condiviso predefinito è previsto e va bene, perché è DKIM a garantire l'allineamento (SPF mostra il tuo dominio solo se hai configurato un Return-Path personalizzato). In Mailjet, usa Force a check nella pagina SPF/DKIM Authentication: dovrebbe mostrare spunte verdi e un indicatore di conformità DMARC. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il record DKIM mailjet._domainkey e il tuo record DMARC si risolvano correttamente e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Mailjet dovrebbe comparire come sorgente allineata che supera il controllo DKIM.
Insidie comuni
- Fa fallire l'autenticazione
Per Mailjet SPF è in sostanza inutile: l'include viene valutato sul dominio Return-Path di Mailjet (bnc3.mailjet.com), non sul tuo, quindi pubblicare include:spf.mailjet.com sul tuo dominio radice non cambia nulla nel risultato DMARC di Mailjet. È DKIM ad allinearsi: non perdere tempo a fare debug dell'allineamento SPF.
- Configurazione DNS
DKIM è un record TXT che incolli tu, non un CNAME delegato, quindi NON c'è rotazione automatica della chiave. Se rigeneri la chiave DKIM in Mailjet, devi ripubblicare tu il nuovo valore nel tuo DNS.
- Copertura
Il pulsante Generate/Regenerate della chiave DKIM resta grigio se non è convalidato l'INTERO dominio. Convalidare un solo indirizzo mittente (you@yourdomain.com) non basta: convalida il dominio stesso per sbloccare DKIM.
- Fa fallire l'autenticazione
Le chiavi a 2048 bit (predefinite per i domini aggiunti dal 25 aprile 2024) superano il limite di 255 caratteri della stringa TXT, quindi vengono salvate come più blocchi tra virgolette. Se Mailjet o Gmail segnalano la chiave come non valida, la causa abituale è una divisione errata, un'interruzione di riga spuria o virgolette mancanti nel tuo pannello DNS.
- Fa fallire l'autenticazione
Tieni esattamente UN record TXT SPF. Se aggiungi include:spf.mailjet.com, o invii già tramite Google Workspace, Microsoft 365 ecc., unisci tutto in un solo record v=spf1: avere due record SPF è di per sé un PermError. E sostituisci il ?all dell'esempio di Mailjet con il tuo ~all o -all.
- Configurazione DNS
L'allineamento SPF non si attiva in autonomia e non è gratuito: l'unico modo per allineare SPF è un Return-Path personalizzato, cioè un CNAME di bounce (bnc3.yourdomain.com → bnc3.mailjet.com) più un ticket al supporto Mailjet (con la chiave API del dominio) per attivarlo, su un piano a pagamento. Nell'interfaccia non c'è un interruttore.
- Copertura
Verificare un singolo indirizzo mittente non è autenticare il dominio: ti permette di inviare, ma non ti dà la chiave DKIM né l'allineamento a livello di dominio, e la posta continua a mostrare l'attribuzione a Mailjet. Aggiungi e convalida l'intero dominio.
- Copertura
Mailjet non crea il tuo record DMARC, ma Gmail e Yahoo lo richiedono ai mittenti di grandi volumi: aggiungi tu almeno p=none e tieni un solo record _dmarc per il dominio.
Crea il tuo record SPF
Mailjet è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Mailjet: domande frequenti
Letture correlate
Altri provider: Transazionali e API
- Mailtrap
- Mandrill (Mailchimp Transactional)
- Postmark
- Resend
- Scaleway Transactional Email
- SendGrid
- SMTP.com
- SMTP2GO
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.