SPF, DKIM e DMARC per Mandrill (Mailchimp Transactional).
Mandrill (oggi venduto come Mailchimp Transactional, un add-on a pagamento per un account Mailchimp Marketing) autentica il tuo dominio di invio in Settings → Domains → Sending Domains, non tramite un'unica procedura guidata in un clic. Dal 15 marzo 2024 la vera configurazione consiste in tre cose: due record CNAME DKIM (mte1._domainkey e mte2._domainkey, che puntano a dkim1.mandrillapp.com e dkim2.mandrillapp.com), un record di policy DMARC e l'include SPF condiviso (include:spf.mandrillapp.com) sul dominio del tuo indirizzo From. Facoltativamente, un sottodominio personalizzato di Return-Path/tracciamento con CNAME verso mandrillapp.com aggiunge l'allineamento SPF e link di apertura e clic con il tuo brand. Quando fai clic su Test DNS Settings e tutto si risolve, Mandrill firma e invia come il tuo dominio, invece di riscrivere il tuo indirizzo From su un sottodominio di mandrillapp.com, che è esattamente ciò che ora fa con qualsiasi dominio non autenticato.
Perché autenticare Mandrill (Mailchimp Transactional)?
Autenticare il tuo dominio di invio Mandrill è ciò che tiene la posta transazionale (reimpostazioni della password, ricevute, avvisi di spedizione) fuori dallo spam, e ora Mailchimp lo impone direttamente. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha esteso regole equivalenti alle sue caselle consumer (Outlook/Hotmail/Live). Mailchimp ha risposto il 15 marzo 2024 con una propria applicazione delle regole: i domini di invio devono pubblicare i due CNAME DKIM e un record DMARC, altrimenti Mandrill smette di inviare come il tuo dominio e riscrive l'indirizzo From su un sottodominio di mandrillapp.com (le risposte tornano comunque a te, ma il tuo dominio non guadagna reputazione e i destinatari vedono posta che non arriva davvero da te). C'è poi un'insidia specifica di Mandrill che rende DKIM irrinunciabile: per impostazione predefinita il mittente della busta / Return-Path sta su un dominio di bounce di mandrillapp.com, quindi SPF viene superato ma non si allinea mai al tuo dominio, perciò DKIM è l'unico meccanismo che ti fa superare DMARC, a meno che tu non configuri anche un Return-Path personalizzato. Metti a posto DKIM, SPF e DMARC e sia la reputazione sia il posizionamento nella posta in arrivo vanno a vantaggio del tuo dominio.
Come funziona davvero SPF con Mandrill (Mailchimp Transactional)
Mandrill è un vero provider “include”, ed è qui che si differenzia nettamente dal suo fratello Mailchimp Marketing (solo CNAME, senza bisogno di un include SPF). Mailchimp Transactional richiede esplicitamente include:spf.mandrillapp.com nel record SPF del tuo dominio From, sia che usi il Return-Path predefinito di mandrillapp.com sia che ne configuri uno personalizzato per l'allineamento. Pubblicalo nell'unico record TXT SPF del dominio, es. v=spf1 include:spf.mandrillapp.com ~all, unendolo a un'eventuale riga v=spf1 esistente invece di aggiungere un secondo record SPF. La buona notizia sulle ricerche: spf.mandrillapp.com si risolve in un record piatto che contiene solo intervalli ip4: e ~all, senza include annidati, quindi costa esattamente UNA delle tue 10 ricerche DNS SPF, non diverse, come lasciano intendere alcune guide più vecchie. L'avvertenza importante: questo include fa passare il controllo SPF grezzo sugli IP di Mandrill, ma per impostazione predefinita i tuoi messaggi usano come Return-Path un dominio di bounce di mandrillapp.com, quindi SPF viene controllato sul dominio di Mandrill e NON si allinea al tuo dominio organizzativo. Un pass SPF non allineato non contribuisce da solo in alcun modo a DMARC: ecco perché il flusso di Mandrill si appoggia ai CNAME DKIM, che invece SI allineano. Se vuoi che si allinei anche SPF (e che regga in alcuni scenari di inoltro), configura un sottodominio personalizzato di Return-Path/tracciamento (un CNAME su un sottodominio che punta a mandrillapp.com): questo sposta il Return-Path sul tuo dominio, così SPF si allinea. Quindi: l'include è obbligatorio e va sul tuo SPF radice, ma considera DKIM il meccanismo portante e aggiungi il Return-Path personalizzato solo se ti serve un SPF allineato.
Due modi per configurarlo
Solo allineamento DKIM (l'impostazione predefinita di Mailchimp)
- Il minimo richiesto dal 15 marzo 2024: due CNAME DKIM (mte1/mte2), l'include SPF e un record DMARC, senza sottodomini aggiuntivi.
- Il DKIM di Mandrill firma come d=yourdomain.com tramite i selettori mte1/mte2, quindi si allinea e DMARC viene superato con il solo DKIM.
- Il Return-Path resta su un dominio di bounce di mandrillapp.com, quindi SPF viene superato ma non si allinea: va bene così, è DKIM a farti superare DMARC.
- Il minor numero di record da gestire, e basta per fermare la riscrittura dell'indirizzo From e soddisfare Gmail, Yahoo e Microsoft.
Aggiungi un sottodominio personalizzato di Return-Path / tracciamento
- Un CNAME in più su un sottodominio (es. mail.yourdomain.com → mandrillapp.com) sposta il Return-Path sul tuo dominio.
- Ora si allinea anche SPF, quindi DMARC può essere superato sia con SPF sia con DKIM: più resistente all'inoltro che può rompere una firma DKIM.
- Ti dà anche link di tracciamento di aperture e clic con il tuo brand sul tuo dominio, invece che su mandrillapp.com.
- Deve essere un sottodominio (mai il dominio radice), impostato su “DNS only” su Cloudflare, e ha un proprio pulsante Test DNS Settings separato, su cui fare clic.
Passo dopo passo
- 1
Apri la pagina Sending Domains
Accedi a Mailchimp, apri l'add-on Mailchimp Transactional (Mandrill) (mandrillapp.com), poi vai su Settings → Domains → Sending Domains. Se il dominio del tuo indirizzo From non è elencato, inseriscilo nella casella “Add a sending domain” e fai clic su Add. È un add-on a pagamento, quindi ti serve un piano Transactional attivo / una chiave API.
- 2
Mostra i record DKIM e SPF
Accanto al tuo dominio di invio, apri le istruzioni DNS (un link “View DKIM & SPF setup instructions” / le colonne SPF e DKIM). Mandrill mostra i due CNAME DKIM e l'include SPF per il tuo dominio. Lascia aperta questa schermata: ci tornerai per fare clic su Test DNS Settings.
- 3
Aggiungi i due record CNAME DKIM
Dal tuo provider DNS crea due record CNAME: host mte1._domainkey → valore dkim1.mandrillapp.com e host mte2._domainkey → valore dkim2.mandrillapp.com. Mantieni il tipo CNAME (non passare a TXT). Questi due record sono il metodo DKIM richiesto dal 15 marzo 2024: sostituiscono la vecchia singola chiave TXT mandrill._domainkey.
- 4
Aggiungi o unisci l'include SPF
Sul dominio radice (host @ o vuoto) aggiungi un record TXT v=spf1 include:spf.mandrillapp.com ~all. Se esiste già un record v=spf1 (Google Workspace, Microsoft 365, un altro relay), unisci include:spf.mandrillapp.com a quell'unica riga: non pubblicare mai un secondo record TXT SPF. Costa una sola ricerca DNS.
- 5
Pubblica il record DMARC
Mandrill non crea DMARC per te e dal 15 marzo 2024 una policy è obbligatoria. Aggiungi un record TXT sull'host _dmarc con almeno v=DMARC1; p=none; in pratica usa v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, così ricevi anche i report aggregati. Salta questo passaggio solo se esiste già un record _dmarc (un dominio deve averne esattamente uno).
- 6
(Facoltativo) Aggiungi un dominio personalizzato di Return-Path / tracciamento
Per l'allineamento SPF e link di apertura e clic con il tuo brand, in Mandrill vai su Settings → Domains e apri la sezione Tracking Domains (qui si configurano anche i domini personalizzati di Return-Path / bounce), aggiungi un sottodominio come mail.yourdomain.com o track.yourdomain.com, poi crea un record CNAME con quel sottodominio come host che punta a mandrillapp.com. DEVE essere un sottodominio: non creare mai un CNAME sul dominio radice. Questo sposta il Return-Path sul tuo dominio, così SPF si allinea.
- 7
Correggi il dominio duplicato e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (mte1._domainkey, non mte1._domainkey.yourdomain.com) per evitare la duplicazione. Su Cloudflare, imposta ogni CNAME di Mandrill (i due record DKIM e l'eventuale CNAME di Return-Path/tracciamento) su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in mandrillapp.com e Test DNS Settings fallisce.
- 8
Fai clic su Test DNS Settings
Torna in Sending Domains e fai clic su Test DNS Settings: le colonne SPF e DKIM dovrebbero passare a valid/verified quando i record si risolvono (di solito pochi minuti, fino a 24-48 ore). La schermata Tracking/Return-Path ha un proprio pulsante Test DNS Settings separato: fai clic anche su quello se hai configurato un Return-Path personalizzato.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un messaggio tramite l'API Mandrill o SMTP da un indirizzo del tuo dominio autenticato, aprilo in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com (tramite il selettore mte1/mte2) e DMARC: PASS. A meno che tu non abbia aggiunto un Return-Path personalizzato, la riga SPF / mailed-by mostrerà mandrillapp.com e risulterà non allineata: è previsto, è DKIM a farti superare DMARC.
Record da aggiungere
Mandrill (Mailchimp Transactional) genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:spf.mandrillapp.com ~allSPF radice: obbligatorio sul tuo dominio From. Tieni esattamente un record SPF; unisci questo include se hai già una riga v=spf1. Costa 1 ricerca DNS. Viene superato ma non si allinea, a meno che tu non aggiunga un Return-Path personalizzato. |
| CNAME | mte1._domainkey | dkim1.mandrillapp.comChiave DKIM 1: obbligatoria dal 15 marzo 2024. Delegata tramite CNAME, quindi la chiave la gestisce Mandrill; firma come d=yourdomain.com, quindi si allinea. |
| CNAME | mte2._domainkey | dkim2.mandrillapp.comChiave DKIM 2: il selettore abbinato che Mandrill usa per ruotare le chiavi. Aggiungi entrambi i CNAME; non usare il vecchio TXT mandrill._domainkey. |
| CNAME | mandrillapp.comSottodominio personalizzato facoltativo di Return-Path / tracciamento (host di esempio). Offre allineamento SPF + link con il tuo brand. DEVE essere un sottodominio: non creare mai un CNAME sul dominio radice. | |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comMinimo obbligatorio dal 15 marzo 2024 (almeno p=none). Uno per dominio; questo lo aggiungi tu: Mandrill non lo crea mai. Più avanti passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Mandrill (Mailchimp Transactional).
Mandrill (Mailchimp Transactional) occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Su Mandrill è DKIM il meccanismo che ti fa davvero superare DMARC, e la sua configurazione è cambiata nel 2024. Il metodo legacy, che i tutorial più vecchi descrivono ancora, era un singolo record TXT su mandrill._domainkey.yourdomain.com con una chiave pubblica condivisa di Mandrill. Quel metodo è deprecato. Dal 15 marzo 2024 la configurazione richiesta è di due record CNAME: mte1._domainkey che punta a dkim1.mandrillapp.com e mte2._domainkey che punta a dkim2.mandrillapp.com. Poiché sono CNAME delegati a Mandrill (non record TXT da incollare), è Mandrill a custodire e ruotare le chiavi sottostanti: dkim1.mandrillapp.com e dkim2.mandrillapp.com si risolvono nelle vere chiavi pubbliche DKIM (v=DKIM1; k=rsa; p=…) e Mandrill firma la tua posta in uscita con d=yourdomain.com. La firma si allinea al tuo dominio perché i selettori mte1/mte2 stanno sul tuo dominio, anche se il materiale delle chiavi è sull'infrastruttura condivisa di Mandrill. Procedura: mostra i due CNAME in Sending Domains, pubblicali entrambi dal tuo provider DNS (nuvola grigia/“DNS only” se sei su Cloudflare, e inserisci solo l'etichetta per evitare il dominio duplicato), poi fai clic su Test DNS Settings. Non mischiare i metodi: aggiungi i due CNAME mte1/mte2 e rimuovi l'eventuale vecchio record TXT mandrill._domainkey rimasto da una configurazione precedente.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio che Mandrill non crea per te e che dal 15 marzo 2024 è obbligatorio, non facoltativo. Pubblicalo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none (il minimo dichiarato da Mailchimp) e in pratica aggiungi un indirizzo per i report: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) per confermare che la posta Mandrill superi DKIM con allineamento al tuo dominio. Poiché il DKIM di Mandrill firma come d=yourdomain.com tramite i selettori mte1/mte2, dovresti vedere rapidamente esiti DMARC positivi basati su DKIM, anche se per impostazione predefinita SPF non si allinea. Osserva i report per una o due settimane, assicurati che ogni mittente legittimo (Mandrill più eventuali Google Workspace / Microsoft 365 / strumenti di marketing) si autentichi, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo: non aggiungerne mai un secondo apposta per Mandrill; i sottodomini ereditano la policy del dominio padre, a meno che tu non la sovrascriva con un loro record _dmarc.
Verifica che funzioni davvero
Non fidarti solo delle spunte verdi della dashboard: conferma l'autenticazione su un messaggio reale. In Mandrill, Settings → Domains → Sending Domains ha un pulsante Test DNS Settings che convalida SPF e DKIM; la schermata Tracking/Return-Path ha un proprio pulsante Test DNS Settings separato, se hai configurato un Return-Path personalizzato. Poi invia un messaggio tramite l'API Mandrill o SMTP da un indirizzo del tuo dominio autenticato, aprilo in Gmail e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com (tramite il selettore mte1/mte2) e DMARC: PASS. Se non hai configurato un Return-Path personalizzato, SPF / mailed-by mostrerà mandrillapp.com e risulterà non allineato: è previsto, ed è DKIM a farti superare DMARC. Controlla a campione i record grezzi con dig CNAME mte1._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che l'include SPF, entrambi i CNAME DKIM e il record DMARC si risolvano e che SPF resti sotto il limite di 10 ricerche e, quando arrivano i report aggregati, caricane uno nell'analizzatore di report DMARC: Mailchimp Transactional / Mandrill dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Il ripiego del 15 marzo 2024: se non pubblichi i due CNAME DKIM e un record DMARC, Mandrill smette di inviare come il tuo dominio e riscrive l'indirizzo From su un sottodominio di mandrillapp.com (le risposte tornano comunque a te, ma il tuo dominio non guadagna reputazione). Completare DKIM + DMARC è ciò che ferma la riscrittura.
- Configurazione DNS
DKIM è passato da TXT a CNAME. Le vecchie guide dicono di aggiungere un singolo record TXT su mandrill._domainkey con una chiave pubblica condivisa: è il metodo legacy. Il requisito attuale sono i due CNAME mte1._domainkey → dkim1.mandrillapp.com e mte2._domainkey → dkim2.mandrillapp.com. Non mischiare i due metodi.
- Fa fallire l'autenticazione
Per impostazione predefinita SPF viene superato ma non si allinea. include:spf.mandrillapp.com fa passare il controllo SPF grezzo sugli IP di Mandrill, ma il Return-Path predefinito è un dominio di bounce di mandrillapp.com, quindi SPF non è allineato al tuo dominio e da solo non fa nulla per DMARC. Il meccanismo allineato è DKIM: aggiungi un sottodominio di Return-Path personalizzato solo se ti serve anche un SPF allineato.
- Configurazione DNS
Un dominio personalizzato di Return-Path/tracciamento DEVE essere un sottodominio. Il CNAME verso mandrillapp.com va su qualcosa come mail.yourdomain.com: non creare mai un CNAME sul tuo dominio radice, perché dirotterebbe l'intera zona (MX, web, tutto).
- Configurazione DNS
Il proxy di Cloudflare rompe la configurazione: imposta i due CNAME DKIM (e l'eventuale CNAME di Return-Path/tracciamento) su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in mandrillapp.com e Test DNS Settings fallisce.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF. Se invii già tramite Google Workspace, Microsoft 365 o un altro relay, unisci include:spf.mandrillapp.com a quell'unica riga v=spf1: due record TXT SPF sono un PermError. È una sola ricerca DNS, quindi si aggiunge a basso costo.
- Configurazione DNS
Mandrill NON è la stessa cosa dell'autenticazione del dominio di Mailchimp Marketing. Sono prodotti separati con record diversi: Mailchimp Marketing usa CNAME k2/k3._domainkey (verso dkim2/dkim3.mcsv.net) e nessun include SPF, mentre Mandrill usa CNAME mte1/mte2._domainkey e RICHIEDE include:spf.mandrillapp.com. Configura quello con cui invii davvero (o entrambi: non sono in conflitto).
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire mte1._domainkey.yourdomain.com produce mte1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (mte1._domainkey, mte2._domainkey) se il pannello aggiunge il dominio per te.
Crea il tuo record SPF
Mandrill (Mailchimp Transactional) è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Mandrill (Mailchimp Transactional): domande frequenti
Letture correlate
Altri provider: Transazionali e API
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.