SPF, DKIM e DMARC per Marketo.
Marketo (Adobe Marketo Engage) autentica il tuo dominio di invio da Admin → Email → SPF/DKIM e, a differenza di un ESP che usa la delega CNAME, vuole davvero che tu aggiunga il suo include SPF condiviso, include:mktomail.com, all'unico record SPF del tuo dominio. DKIM è un secondo passaggio nella stessa schermata: fai clic su Add Domain, scegli un selettore (quello predefinito di Marketo è m1) e una chiave da 2048 bit, e Marketo genera un record TXT da pubblicare su m1._domainkey.yourdomain.com. Ecco il dettaglio che fa inciampare la maggior parte degli amministratori Marketo: Marketo invia con un return-path sul proprio dominio di bounce mktomail.com, quindi il controllo SPF viene superato grazie all'include, ma non è allineato. È DKIM a farti superare DMARC. DMARC, invece, è un terzo record che Marketo non crea mai per te.
Perché autenticare Marketo?
Autenticare un dominio Marketo decide se le tue campagne raggiungono la posta in arrivo, e Marketo è proprio il tipo di mittente B2B ad alto volume preso di mira dalle nuove regole. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e a maggio 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta diretta a Outlook.com/Hotmail/Live: una piattaforma di marketing automation che invia flussi di nurturing e newsletter deve quindi autenticare il proprio dominio, altrimenti i suoi invii vengono rallentati e finiscono nello spam. Finché non autentichi il dominio, Marketo firma la tua posta con il proprio dominio DKIM predefinito: Gmail mostra una nota “via mktomail.com” / mailed-by, il tuo indirizzo From non è crittograficamente tuo, DMARC non può essere superato e la reputazione di invio che costruisci finisce in comune con quella di tutti gli altri account Marketo non autenticati. C'è un motivo tutto specifico di Marketo per cui DKIM è irrinunciabile: dato che Marketo mantiene il return-path della busta sul proprio dominio mktomail.com, per impostazione predefinita SPF non si allinea mai al tuo dominio From. DKIM firmato come d=yourdomain.com è l'unico meccanismo che si allinea e fa superare DMARC. Configura l'include SPF più un DKIM personalizzato e tutto va al suo posto: DKIM si allinea, l'indicazione “via” sparisce, DMARC viene superato e la reputazione si accumula sul tuo dominio.
Come funziona davvero SPF con Marketo
Marketo è un vero provider “include”: mktomail.com è un include condiviso reale che ogni cliente Marketo aggiunge, e la stessa documentazione di Adobe ti dice di pubblicare v=spf1 ... include:mktomail.com ~all sul tuo dominio di invio (o di unire l'include a un record SPF esistente). Un controllo in tempo reale conferma che mktomail.com si risolve in un unico record piatto di intervalli ip4: senza include annidati, quindi costa esattamente UNA delle tue 10 ricerche DNS SPF, non le due o tre indicate da alcune guide più vecchie. Ma aggiungerlo è igiene SPF, non allineamento DMARC, e con Marketo tutto ruota attorno a questa distinzione. SPF viene controllato sul return-path (il MAIL FROM della busta) e, per impostazione predefinita, Marketo mantiene quel return-path sul proprio dominio di bounce *.mktomail.com. L'include autorizza quindi gli IP di Marketo e fa sì che il controllo SPF grezzo restituisca PASS, ma il pass vale per mktomail.com, che NON è allineato al tuo dominio From visibile, e DMARC conta SPF solo quando è allineato. Adobe è esplicita su questo punto: consiglia di basare l'allineamento DMARC su DKIM anziché su SPF e afferma che l'allineamento SPF rigoroso non è supportato né consigliato in Marketo Engage. Quindi aggiungi include:mktomail.com (fa parte del tuo record e autorizza gli IP di invio), tieni esattamente un record SPF e lascia che sia DKIM a garantire l'allineamento. Due note. L'esempio SPF di Adobe antepone anche mx ip4:[IP aziendale]: quelle parti servono al tuo server di posta aziendale, non a Marketo, quindi eliminale se non gestisci quel server. E l'unico modo per ottenere anche l'allineamento SPF è un Branded Return-Path (envelope_from con il tuo brand), che Marketo offre gratis sui suoi IP Shared/Trusted e che sposta il return-path su un sottodominio del tuo dominio.
Due modi per configurarlo
include:mktomail.com + DKIM personalizzato (la configurazione documentata da Marketo)
- Aggiungi include:mktomail.com al tuo unico record SPF (1 ricerca) per autorizzare gli IP di invio di Marketo
- Configura un DKIM personalizzato (m1._domainkey) così la posta viene firmata come d=yourdomain.com e si allinea per DMARC
- DMARC viene superato grazie all'allineamento DKIM, il metodo supportato che Adobe consiglia esplicitamente per Marketo Engage
- Funziona sugli IP Trusted condivisi senza configurazioni aggiuntive; il solo DKIM soddisfa le regole di Gmail/Yahoo/Microsoft
Aggiungi anche un Branded Return-Path per l'allineamento SPF (facoltativo)
- Gratuito sugli IP Shared/Trusted di Marketo; sposta il return-path della busta su un sottodominio del tuo dominio
- Allinea anche SPF, così DMARC può essere superato sia con SPF sia con DKIM (più resistente all'inoltro)
- Richiede che sia Marketo ad attivare l'envelope_from con il tuo brand (oltre a una modifica MX): non è un semplice record DNS da incollare in autonomia
- Utile ma non indispensabile: configura prima DKIM, poi aggiungi questo se vuoi anche l'allineamento SPF
Passo dopo passo
- 1
Apri Admin → Email → SPF/DKIM
Come amministratore Marketo, apri l'area Admin, poi Email → SPF/DKIM. Questa schermata tiene traccia sia dello stato SPF sia dei tuoi domini DKIM personalizzati. I record SPF e DMARC, invece, si aggiungono presso il tuo provider DNS, non qui: questa pagina serve a generare e poi verificare (Check DNS) la chiave DKIM.
- 2
Aggiungi o unisci l'include SPF
Presso il tuo provider DNS, aggiungi include:mktomail.com all'unico record TXT SPF del tuo dominio di invio. L'esempio di Adobe è v=spf1 mx ip4:[IP del tuo server di posta] include:mktomail.com ~all, ma le parti mx e ip4 servono al tuo server aziendale: per Marketo ti basta include:mktomail.com. Se esiste già un record SPF (Google Workspace, Microsoft 365 ecc.), unisci l'include a quell'unico record, subito prima del meccanismo all finale. Non pubblicare mai un secondo record SPF.
- 3
Aggiungi il dominio per DKIM
Torna in Admin → Email → SPF/DKIM, fai clic su Add Domain e inserisci il dominio esatto usato dal tuo indirizzo From: yourdomain.com, oppure marketing.yourdomain.com se invii da un sottodominio. DKIM si configura per singolo dominio di invio, quindi il dominio inserito qui deve corrispondere al tuo indirizzo From visibile.
- 4
Scegli selettore e dimensione della chiave
Scegli un Selector (quasi tutti mantengono il predefinito m1) e una Key Size di 2048 (il valore consigliato da Adobe). Se m1._domainkey è già usato sul dominio da un altro abbonamento Marketo o da un altro strumento, scegli m2, a1 o mkto per non entrare in conflitto con una chiave esistente. Fai clic su Add: Marketo genera un Host Record e un lungo TXT Value.
- 5
Pubblica il record TXT DKIM
Crea un record TXT: Host = l'host del selettore indicato da Marketo (m1._domainkey.yourdomain.com), Value = la chiave completa (v=DKIM1; k=rsa; p=…). È una chiave da 2048 bit, quindi il valore supera il limite di 255 caratteri di una stringa TXT: alcuni pannelli DNS richiedono di suddividerlo in più blocchi tra virgolette all'interno di un unico record. Incollalo esattamente com'è e non cambiare il tipo in CNAME.
- 6
Aggiungi il record DMARC
Marketo non crea mai DMARC. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla mentre verifichi che il DKIM di Marketo sia allineato; renderai la policy più restrittiva in seguito. Tieni un solo record _dmarc per l'intero dominio.
- 7
Fai clic su Check DNS
Torna in Admin → Email → SPF/DKIM, seleziona il dominio e fai clic su Check DNS. Marketo richiede che la chiave DKIM si sia propagata a tutti i nameserver del dominio, quindi se la verifica non riesce subito aspetta fino a 24-48 ore invece di rigenerare la chiave. Lo stato passa ad Active quando il record si risolve ovunque.
- 8
(Facoltativo) Attiva un Branded Return-Path
Se vuoi che anche SPF sia allineato, chiedi a Marketo (o al tuo consulente o all'assistenza Marketo) di configurare un Branded Return-Path: è gratuito sugli IP Shared/Trusted e sposta il return-path della busta su un sottodominio del tuo dominio (richiede anche un record SPF su quel sottodominio e una modifica MX). È un miglioramento: il DKIM personalizzato soddisfa già DMARC, quindi non è necessario per la conformità.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un'email di prova (sample/test) da Marketo a un indirizzo Gmail, aprila e usa ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com (selettore m1) e DMARC: PASS. SPF di solito mostrerà un return-path mktomail.com con esito pass ma non allineato: è normale, a meno che tu non abbia aggiunto un branded return-path. Il segnale tipico di un problema è DKIM che firma ancora con un dominio Marketo: significa che il DKIM personalizzato non è ancora Active.
Record da aggiungere
Marketo genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:mktomail.com ~allSPF sul dominio radice: tieni esattamente UN record SPF e unisci include:mktomail.com alla tua riga v=spf1 esistente. Costa 1 ricerca DNS (mktomail.com è un record piatto solo ip4, verificato in tempo reale). L'esempio di Adobe usa ~all; passa a -all quando tutti i mittenti legittimi sono elencati. Questo record autorizza gli IP di Marketo, ma da solo non garantisce l'allineamento. |
| TXT | m1._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(2048-bit public key from Admin → Email → SPF/DKIM)Valore di esempio: il selettore (predefinito m1) e la chiave vengono generati per ogni dominio in Marketo, non sono valori fissi. Le chiavi da 2048 bit potrebbero dover essere pubblicate come più stringhe separate tra virgolette. Questo è il record che si allinea per DMARC (d=yourdomain.com). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLo aggiungi tu: Marketo non lo crea mai. Un record per dominio; basa l'allineamento su DKIM, parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Marketo.
Marketo occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
In Marketo DKIM è un record TXT che pubblichi tu, non una delega CNAME come in SendGrid o Mailchimp. In Admin → Email → SPF/DKIM, fai clic su Add Domain, inserisci il dominio del tuo indirizzo From, scegli un Selector (quello predefinito è m1) e una Key Size (2048 è il valore consigliato da Adobe) e fai clic su Add. Marketo genera un Host Record, m1._domainkey.yourdomain.com, e un TXT Value che contiene v=DKIM1; k=rsa; p=<chiave pubblica>. Pubblichi quel TXT presso il tuo provider DNS; Marketo conserva la chiave privata corrispondente e la usa per firmare la tua posta in uscita non appena il record viene verificato. Alcune cose specifiche di Marketo da sapere. Essendo un TXT che pubblichi tu (Marketo ti consegna la chiave pubblica invece di gestire un CNAME che può ruotare in silenzio), ruotare la chiave significa generare un nuovo selettore/chiave in Marketo e ripubblicarlo: pianifica una rotazione periodica come buona pratica di igiene. Il dominio per cui configuri DKIM deve corrispondere esattamente al tuo indirizzo From: un From news@marketing.yourdomain.com richiede DKIM su marketing.yourdomain.com, non sul dominio radice. Se il selettore predefinito m1 è già in uso sul dominio (una seconda istanza Marketo o un'altra integrazione), scegli m2, a1 o mkto per non sovrascrivere una chiave esistente. Infine, la verifica Check DNS di Marketo richiede che la chiave si sia propagata a tutti i nameserver del dominio: una propagazione parziale la fa fallire anche quando il tuo nameserver primario mostra il record. Finché il DKIM personalizzato non risulta Active, Marketo firma con il proprio dominio DKIM predefinito, quindi Gmail mostra una nota “via mktomail.com” / mailed-by e DKIM non si allinea; quando è Active, la posta viene firmata come d=yourdomain.com e si allinea per DMARC.
DMARC
DMARC è un record TXT di policy separato che Marketo non crea: lo aggiungi tu presso il tuo provider DNS. Pubblicalo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre osservi i report aggregati (rua) per confermare che i tuoi mittenti superino i controlli con allineamento. Con Marketo c'è un aspetto specifico da tenere d'occhio: poiché il return-path resta su mktomail.com, per impostazione predefinita SPF non sarà allineato, quindi nei report cerca Marketo che supera i controlli grazie all'allineamento DKIM (d=yourdomain.com). Adobe consiglia esplicitamente di basare l'allineamento DMARC su DKIM anziché su SPF per Marketo Engage. Quando Marketo e tutti gli altri mittenti legittimi superano i controlli con allineamento, rendi più restrittiva la policy passando a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo; i sottodomini ereditano automaticamente la policy del dominio padre, a meno che tu non ne sovrascriva uno specifico con un record dedicato o con il tag sp=. Se hai attivato anche un Branded Return-Path, nei report vedrai anche SPF allineato: DMARC avrà così due modi per essere superato e la tua posta Marketo resisterà all'inoltro.
Verifica che funzioni davvero
Non fidarti solo dello stato “verified” di Check DNS in Marketo: confermalo su un messaggio reale. Invia un'email di prova da Marketo a una casella Gmail, aprila e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com e selettore m1, più DMARC: PASS. Il segnale tipico di un problema è DKIM firmato con un dominio Marketo (DKIM predefinito ancora attivo, DKIM personalizzato non Active): in quel caso DMARC non ha nulla di allineato su cui basarsi. SPF mostrerà un pass su un return-path mktomail.com ma risulterà “not aligned”, il che è normale a meno che tu non abbia configurato un branded return-path. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il record SPF (sempre 1 ricerca), il TXT m1._domainkey e il record _dmarc si risolvano correttamente, usa il controllo autenticazione email per una lettura rapida dei record e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Marketo (mktomail) dovrebbe comparire come sorgente allineata tramite DKIM che supera i controlli.
Insidie comuni
- Copertura
La trappola n. 1 di Marketo: include:mktomail.com supera SPF ma NON è allineato, perché il return-path di Marketo è un dominio di bounce *.mktomail.com. Per impostazione predefinita DKIM è l'unico meccanismo che si allinea: con il solo SPF, DMARC non viene superato. Adobe afferma persino che l'allineamento SPF rigoroso non è supportato in Marketo Engage: basa l'allineamento su DKIM.
- Copertura
Non copiare alla cieca l'esempio SPF completo di Adobe (v=spf1 mx ip4:[IP aziendale] include:mktomail.com ~all). Le parti mx e ip4:[IP aziendale] autorizzano il tuo server di posta aziendale, non Marketo: se non gestisci quel server, eliminale. Per Marketo ti basta include:mktomail.com.
- Copertura
Conflitti di selettore: il selettore DKIM predefinito è m1. Se m1._domainkey è già in uso sul dominio (un secondo abbonamento Marketo o un altro strumento), scegli m2, a1 o mkto, altrimenti sovrascriverai una chiave esistente.
- Fa fallire l'autenticazione
Il DKIM di Marketo è un record TXT, non un CNAME, e una chiave da 2048 bit supera il limite di 255 caratteri di una stringa TXT, quindi alcuni pannelli la salvano in più blocchi tra virgolette. Una suddivisione errata è un motivo frequente per cui Check DNS fallisce su un record che sembra corretto.
- Copertura
Check DNS richiede la propagazione completa: Marketo vuole che la chiave DKIM sia visibile su tutti i nameserver del dominio. Un nameserver secondario non aggiornato o una propagazione parziale fanno fallire la verifica anche quando il tuo NS primario mostra il record: aspetta fino a 24-48 ore prima di indagare.
- Copertura
DKIM (e SPF) devono corrispondere al dominio From e vanno configurati per ogni dominio di invio. Un From su marketing.yourdomain.com richiede DKIM e SPF propri su quel sottodominio: i record del dominio radice non lo coprono.
- Fa fallire l'autenticazione
Tieni esattamente UN record TXT SPF. Chi usa Marketo di solito invia anche tramite Google Workspace, Microsoft 365 o un relay transazionale: unisci include:mktomail.com nell'unica riga v=spf1 invece di pubblicare un secondo record SPF (due record sono un PermError) e tieni d'occhio il limite di 10 ricerche.
- Fa fallire l'autenticazione
I link di tracciamento con il tuo brand sono un'altra cosa: il CNAME usato dai link nelle email Marketo (un sottodominio di tracciamento che punta al dominio di branding di Marketo) riguarda il branding dei link e la reputazione, non l'autenticazione. Non confonderlo con i record SPF/DKIM/DMARC.
Crea il tuo record SPF
Marketo è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Marketo: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.