SPF, DKIM e DMARC per Microsoft 365 (GoDaddy / IONOS).
Microsoft 365 (Exchange Online) autentica il tuo dominio con un insieme di pezzi che assembli tu: un include SPF condiviso da aggiungere al record radice, due record CNAME DKIM le cui destinazioni esatte generi nel portale Microsoft Defender e un record di policy DMARC, tutti pubblicati nel pannello DNS che gestisce il tuo dominio, qui GoDaddy o IONOS. L'insidia che fa inciampare la maggior parte dei tenant M365: il tuo dominio gratuito *.onmicrosoft.com viene firmato con DKIM in automatico, ma il tuo dominio personalizzato (yourdomain.com) NO. Devi attivare a mano la sua firma DKIM, altrimenti la posta con il tuo marchio si regge sul solo SPF e non supera DMARC appena viene inoltrata. Questa guida segue dall'inizio alla fine il percorso reale GoDaddy/IONOS più M365: l'include SPF (e la variante del reseller GoDaddy), la generazione dei CNAME DKIM in Defender, la loro pubblicazione senza errori sul tipo di record e l'aggiunta di DMARC.
Perché autenticare Microsoft 365 (GoDaddy / IONOS)?
Per un dominio Microsoft 365 l'autenticazione non è semplice igiene: è la differenza tra la posta in arrivo e la cartella spam. Da febbraio 2024 Gmail e Yahoo richiedono ai mittenti di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e a maggio 2025 Microsoft stessa ha iniziato ad applicare gli stessi requisiti su Outlook.com e Hotmail per i mittenti di grandi volumi: la posta non conforme viene rallentata o rifiutata del tutto. In più M365 ha una trappola specifica: Microsoft firma in automatico con DKIM il tuo dominio onmicrosoft.com, quindi i tenant danno per scontato che DKIM “funzioni e basta” e non lo attivano mai per il vero dominio del marchio. Non è così. Finché non pubblichi i due CNAME dei selettori e non attivi l'interruttore di firma in Defender, la posta del tuo dominio personalizzato non ha alcuna firma DKIM allineata a yourdomain.com: supera DMARC solo tramite SPF, che si rompe con qualsiasi inoltro o mailing list perché il Return-Path cambia, mentre la firma che sarebbe sopravvissuta non c'è mai stata. Attivare DKIM sul dominio personalizzato chiude questa falla: SPF e DKIM si allineano entrambi a yourdomain.com, DMARC viene superato in modo affidabile e la reputazione che costruisci confluisce sul tuo dominio.
Come funziona davvero SPF con Microsoft 365 (GoDaddy / IONOS)
Microsoft 365 è un vero provider a include SPF: aggiungi include:spf.protection.outlook.com all'unico record TXT SPF radice del tuo dominio, e quell'include autorizza tutti gli IP in uscita di Exchange Online. Il record raccomandato da Microsoft è v=spf1 include:spf.protection.outlook.com -all (un hard fail; usa ~all solo durante i test). L'include si risolve in un elenco piatto di intervalli ip4/ip6 senza include annidati, quindi costa esattamente una delle dieci ricerche DNS SPF consentite: economico e stabile. Su GoDaddy e IONOS contano due particolarità. (1) Se hai acquistato “Microsoft 365 from GoDaddy”, la configurazione di GoDaddy e il suo DNS a gestione automatica prescrivono invece v=spf1 include:secureserver.net -all; ma secureserver.net è in realtà l'include di posta condiviso di GoDaddy, non quello di Microsoft, quindi se la tua posta in uscita passa davvero da Exchange Online, spf.protection.outlook.com è l'include che autorizza effettivamente i server di Microsoft. Usa quello indicato dalle istruzioni attuali di GoDaddy, non inserirli entrambi e verifica che l'include che tieni si risolva negli intervalli di Microsoft. M365 rivenduto da IONOS di norma usa comunque spf.protection.outlook.com. (2) Potresti avere già un record SPF residuo: GoDaddy parcheggia i domini con un SPF predefinito include:secureserver.net e la posta IONOS può averne già creato uno. Un dominio deve avere esattamente UN record SPF: unisci l'include di Microsoft alla riga v=spf1 esistente invece di pubblicare un secondo TXT, altrimenti ogni controllo SPF fallisce con “permerror”.
Passo dopo passo
- 1
Conferma che il dominio sia verificato in M365 e individua il prefisso del tenant
Nell'interfaccia di amministrazione di Microsoft 365 (admin.microsoft.com -> Settings -> Domains), assicurati che yourdomain.com sia aggiunto e risulti Healthy/Verified. Annota il prefisso onmicrosoft.com del tuo tenant (il “contoso” di contoso.onmicrosoft.com): compare nelle destinazioni DKIM. Per attivare DKIM in Defender ti servono i diritti di Global Administrator o Security Administrator. Chiarisci anche una cosa fin dall'inizio: hai acquistato M365 direttamente da Microsoft, oppure come “Microsoft 365 from GoDaddy” o piano collegato a IONOS? Questo decide quale include SPF usare e se il tuo DNS è a gestione automatica.
- 2
Apri l'editor DNS di GoDaddy o IONOS
GoDaddy: accedi su account.godaddy.com, vai su Domains, seleziona yourdomain.com, poi apri Manage DNS (Domain Settings -> DNS). IONOS: accedi, apri Menu -> Domains & SSL, trova il dominio, fai clic sull'icona a ingranaggio/Actions e scegli DNS. Entrambi mostrano una tabella dei record esistenti con un pulsante Add Record.
- 3
Pubblica o unisci il record SPF
Aggiungi un record TXT con Host/Name = @ (radice) e valore v=spf1 include:spf.protection.outlook.com -all. Se esiste già un record SPF (qualsiasi TXT che inizia con v=spf1), MODIFICALO, inserendo include:spf.protection.outlook.com prima di -all/~all, invece di crearne un secondo. Con “Microsoft 365 from GoDaddy” la procedura del reseller usa include:secureserver.net; tieni un solo include e, se la tua posta in uscita passa davvero da Exchange Online, usa spf.protection.outlook.com. Un TTL di 1 ora va bene.
- 4
Aggiungi i record MX e autodiscover per instradare la posta verso Exchange Online
Nella pagina del dominio dell'interfaccia di amministrazione, Microsoft elenca i record DNS esatti da aggiungere nel tuo pannello DNS. Aggiungi l'MX (punta a yourdomain-com.mail.protection.outlook.com, priorità 0) e il CNAME autodiscover -> autodiscover.outlook.com. Gestiscono la ricezione e la configurazione dei client: SPF/DKIM/DMARC sono separati, ma una vera configurazione di caselle M365 ha bisogno anche di questi. Su IONOS, vedi il limite MX/autodiscover nelle insidie comuni più sotto.
- 5
Genera le due destinazioni CNAME DKIM
Vai al portale Defender su security.microsoft.com/authentication (Email & collaboration -> Policies & rules -> Threat policies -> Email authentication settings), apri la scheda DKIM e fai clic sul tuo dominio personalizzato. Prova a spostare il suo interruttore su Enabled (o usa “Create DKIM keys” nel riquadro dei dettagli): il primo tentativo fa comparire di proposito una finestra Client error / “CNAME record doesn't exist” e crea la tua coppia di chiavi. Riapri il riquadro dei dettagli del dominio: la sezione Publish CNAMEs ora mostra le due coppie host/valore (Status = CnameMissing). I domini nuovi usano il formato attuale che termina con ...<char>-v1.dkim.mail.microsoft; i tenant più vecchi possono mostrare il formato ...onmicrosoft.com. Copiale entrambe esattamente, oppure esegui Get-DkimSigningConfig in Exchange Online PowerShell per leggere Selector1CNAME/Selector2CNAME.
- 6
Pubblica i due record CNAME DKIM
Torna su GoDaddy/IONOS e aggiungi due record CNAME. Host/Name = selector1._domainkey e selector2._domainkey (solo il selettore: GoDaddy e IONOS aggiungono automaticamente yourdomain.com, quindi non incollare l'FQDN completo). “Points to” = le due destinazioni dal riquadro di Defender. Il tipo di record DEVE essere CNAME, mai TXT: è in assoluto l'errore più comune. Salvali entrambi.
- 7
Attiva la firma DKIM
Attendi qualche minuto che i CNAME si risolvano (a volte fino a qualche ora), poi torna al riquadro del dominio nella scheda DKIM di Defender e sposta “Sign messages for this domain with DKIM signatures” su Enabled. Se riesce, Status diventa “Signing DKIM signatures for this domain” e Rotate DKIM keys diventa disponibile. Se dà errore, i CNAME non si sono ancora propagati oppure il tipo di record o l'host è sbagliato: correggi prima il DNS, poi riprova.
- 8
Aggiungi il record di policy DMARC
Aggiungi un record TXT con Host/Name = _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così non cambia nulla mentre confermi che la posta M365 supera SPF e DKIM con allineamento. Tieni esattamente un record _dmarc per l'intero dominio.
- 9
Conferma l'autenticazione su un messaggio reale
Invia un'email di prova da una casella su yourdomain.com a un indirizzo Gmail, aprila e usa Show original: devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, tutti con yourdomain.com (non onmicrosoft.com). Poi analizza il dominio con uno strumento di controllo per confermare che ogni record si risolva e che DKIM stia firmando.
Record da aggiungere
Microsoft 365 (GoDaddy / IONOS) genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:spf.protection.outlook.com -allUn solo record SPF: unisci a qualsiasi riga v=spf1 esistente. “Microsoft 365 from GoDaddy” prescrive invece include:secureserver.net; se la posta in uscita passa davvero da Exchange Online, spf.protection.outlook.com è l'include che autorizza Microsoft. |
| MX | @ | yourdomain-com.mail.protection.outlook.comPriorità 0. Il token esatto è indicato nella pagina del dominio dell'interfaccia di amministrazione di M365; instrada la posta in entrata verso Exchange Online. |
| CNAME | autodiscover | autodiscover.outlook.comConfigurazione automatica di Outlook e dei client mobile. Vedi l'insidia sulla coesistenza con MX su IONOS. |
| CNAME | selector1._domainkey | selector1-yourdomain-com._domainkey.contoso.a-v1.dkim.mail.microsoftValore di esempio: copia la destinazione esatta dal riquadro DKIM di Defender (contoso = il prefisso del tuo tenant, a = il carattere dinamico assegnato da Microsoft). Deve essere CNAME, non TXT. |
| CNAME | selector2._domainkey | selector2-yourdomain-com._domainkey.contoso.a-v1.dkim.mail.microsoftSecondo selettore, necessario per la rotazione automatica delle chiavi. I tenant più vecchi mostrano invece una destinazione ...contoso.onmicrosoft.com: usa quella indicata dal portale. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comParti da p=none, passa a quarantine/reject in seguito. Un solo record _dmarc per dominio. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Microsoft 365 (GoDaddy / IONOS).
Microsoft 365 (GoDaddy / IONOS) occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM per un dominio personalizzato Microsoft 365 passa da due record CNAME, selector1._domainkey e selector2._domainkey, che puntano a chiavi pubbliche ospitate da Microsoft, quindi non incolli mai una chiave grezza o un record TXT. Microsoft conserva le chiavi private e usa i due selettori per ruotarle in automatico una volta attivata la firma. Le destinazioni esatte sono uniche per il tuo tenant e devi leggerle nel portale Defender (security.microsoft.com/authentication -> scheda DKIM -> il tuo dominio -> il riquadro dei dettagli, sezione Publish CNAMEs) oppure con Get-DkimSigningConfig in Exchange Online PowerShell. I domini personalizzati aggiunti all'incirca da maggio 2025 ricevono il formato attuale selector1-yourdomain-com._domainkey.<tenantprefix>.<dynamicchar>-v1.dkim.mail.microsoft (il carattere dinamico, es. a/n/r, è assegnato da Microsoft e non è configurabile); i domini attivati prima mantengono il vecchio formato selector1-yourdomain-com._domainkey.<tenantprefix>.onmicrosoft.com. Usa il formato che il portale mostra per il TUO dominio: Microsoft li accetta entrambi, ma non convertire a mano l'uno nell'altro e non mescolare i formati tra i due selettori. Su GoDaddy/IONOS valgono due regole tassative: i record devono essere di tipo CNAME (non TXT, la causa n. 1 di “DKIM non si attiva”) e devi pubblicarli PRIMA di attivare l'interruttore di firma, altrimenti Defender segnala CnameMissing e non firma. Il tuo dominio onmicrosoft.com viene firmato in automatico e non ha bisogno di nulla di tutto questo, ma quella firma non serve a nulla per la posta inviata dal dominio del tuo marchio.
DMARC
DMARC è un singolo record TXT di policy su _dmarc.yourdomain.com: è indipendente da SPF e DKIM, ma è il pezzo che li tiene insieme. Pubblica v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com per partire in modalità di solo monitoraggio: non cambia nulla nel recapito mentre confermi che la posta M365 supera SPF e DKIM, entrambi allineati a yourdomain.com. Exchange Online imposta l'SMTP MAIL FROM (Return-Path) sul tuo dominio e, una volta attivato il DKIM sul dominio personalizzato, firma con d=yourdomain.com, quindi entrambi i metodi di autenticazione si allineano e DMARC viene superato senza problemi. Controlla i report aggregati (rua) per una o due settimane, assicurati che Microsoft compaia come sorgente allineata che supera i controlli e che nessun mittente terzo legittimo (un CRM, uno strumento di marketing) fallisca, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc a prescindere da quanti servizi inviano con il tuo dominio: GoDaddy e IONOS ti lasciano creare un duplicato senza obiezioni, e due record _dmarc sono una configurazione non valida.
Verifica che funzioni davvero
Non fidarti del solo badge “Signing DKIM signatures for this domain” di Defender: controlla su un messaggio reale. Invia un'email di prova da una casella su yourdomain.com a un account Gmail, aprila e scegli il menu con i tre puntini -> Show original: devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, con il d= della firma DKIM che mostra yourdomain.com (non yourtenant.onmicrosoft.com). Per un report in testo semplice puoi anche scrivere a check-auth@verifier.port25.com e leggere la risposta. Lato DNS, conferma che entrambi i CNAME dei selettori si risolvano davvero in destinazioni Microsoft (dig/nslookup selector1._domainkey.yourdomain.com CNAME): un errore comune su GoDaddy è il record salvato senza alcun avviso come TXT, che non si risolve in nulla. Analizza il dominio con il controllo autenticazione email e il check-up del dominio di Qualisend per confermare che SPF abbia esattamente un record e una ricerca per l'include di Outlook, che entrambi i selettori DKIM siano attivi e che DMARC sia valido. Quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Microsoft dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
I record DKIM devono essere di tipo CNAME, non TXT. GoDaddy e IONOS preimpostano altri tipi nel menu a discesa di Add Record, e un selettore salvato come TXT non si risolve in nulla: è il motivo numero uno per cui “DKIM non si attiva” in Defender.
- Configurazione DNS
Pubblica i due CNAME dei selettori PRIMA di attivare l'interruttore di firma in Defender. È previsto che il primo tentativo fallisca (una finestra Client error / “CNAME record doesn't exist”): serve solo a generare le chiavi e a mostrarti i valori CNAME. Se attivi prima che i CNAME si risolvano, Status resta CnameMissing e la firma non si attiva.
- Copertura
Il DKIM sul dominio personalizzato è DISATTIVATO di default. Microsoft firma in automatico solo il tuo dominio *.onmicrosoft.com, quindi i tenant danno per scontato, a torto, che DKIM sia già a posto. La posta da yourdomain.com resta non firmata, e fragile per DMARC in caso di inoltro, finché non lo attivi.
- Fa fallire l'autenticazione
Un dominio può avere UN SOLO record SPF. GoDaddy parcheggia i domini con un SPF predefinito include:secureserver.net e la posta rivenduta da IONOS può averne già creato uno; aggiungere un secondo TXT v=spf1 per Microsoft causa un permerror. Unisci invece include:spf.protection.outlook.com alla riga esistente.
- Copertura
GoDaddy e IONOS aggiungono automaticamente il tuo dominio al campo Host/Name. Inserisci solo selector1._domainkey, @ o _dmarc, mai l'FQDN completo yourdomain.com, altrimenti crei selector1._domainkey.yourdomain.com.yourdomain.com.
- Configurazione DNS
IONOS non consente a un dominio di avere insieme un record MX e un CNAME autodiscover di primo livello: un limite documentato di Exchange Online. Salta il CNAME autodiscover radice oppure crealo su un sottodominio seguendo la soluzione alternativa di IONOS; non influisce su SPF/DKIM/DMARC.
- Copertura
Se hai acquistato “Microsoft 365 from GoDaddy”, il tuo DNS è probabilmente a gestione automatica e l'include SPF prescritto da GoDaddy è il suo include:secureserver.net, non spf.protection.outlook.com, e le modifiche manuali possono essere sovrascritte. Anche M365 collegato a IONOS può scrivere i record in automatico. Controlla chi gestisce la tua zona prima di modificarla a mano e, se la tua posta in uscita passa davvero da Exchange Online, verifica che l'include SPF autorizzi effettivamente i server di Microsoft.
- Copertura
Non passare subito a DMARC p=reject. Parti da p=none, leggi i report aggregati finché Microsoft e ogni mittente legittimo risultano allineati e superano i controlli, poi sali a quarantine e reject: altrimenti rischi di far sparire nel nulla la tua stessa posta.
Crea il tuo record SPF
Microsoft 365 (GoDaddy / IONOS) è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Microsoft 365 (GoDaddy / IONOS): domande frequenti
Letture correlate
Altri provider: Workspace e caselle
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.