SPF, DKIM e DMARC per Migadu.
Migadu è un servizio completo di caselle di posta (invia e riceve la posta del tuo dominio tramite IMAP/POP/SMTP), non un ESP transazionale, quindi qui “autenticare il dominio” significa pubblicare i record DNS che Migadu ti mostra quando aggiungi un dominio nel suo pannello di amministrazione. Sono record DNS veri e propri, da creare presso il tuo registrar: un record TXT di verifica della proprietà, due record MX (aspmx1/aspmx2.migadu.com) perché Migadu possa ricevere la tua posta, un vero include SPF condiviso (include:spf.migadu.com), tre selettori DKIM delegati tramite CNAME (key1/key2/key3._domainkey) che permettono a Migadu di ruotare le chiavi di firma al posto tuo, e una policy DMARC che pubblichi tu. Poiché Migadu inserisce il tuo dominio nel mittente della busta, SPF si allinea davvero: un dominio Migadu configurato correttamente supera DMARC sia con SPF sia con DKIM, la configurazione robusta che resiste all'inoltro.
Perché autenticare Migadu?
Autenticare un dominio Migadu decide se i tuoi messaggi raggiungono la posta in arrivo, e determina persino se Migadu invierà e riceverà posta per quel dominio. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Migadu invia tramite un'infrastruttura di IP condivisi, quindi la reputazione di invio che costruisci dipende dal fatto che la tua posta sia attribuibile in modo pulito al tuo dominio. Qui Migadu si comporta insolitamente bene: usa il tuo dominio come SMTP MAIL FROM (busta/Return-Path), quindi SPF si allinea al tuo dominio organizzativo e da solo contribuisce a superare DMARC, cosa che gli ESP che controllano il Return-Path, come Mailchimp, non possono fare. Ma l'allineamento SPF si rompe non appena un messaggio viene inoltrato tramite una mailing list o una regola .forward, quindi nella pratica è DKIM, delegato tramite CNAME, a garantire che DMARC continui a essere superato. Se lo salti, un messaggio inoltrato resta senza alcuna autenticazione allineata. E finché i record TXT di proprietà e MX non si risolvono, Migadu non attiva il dominio, quindi la posta semplicemente non viene né inviata né ricevuta.
Come funziona davvero SPF con Migadu
Migadu è un vero provider “include”: aggiungi un solo meccanismo condiviso, include:spf.migadu.com, all'unico record TXT SPF del dominio radice, ottenendo v=spf1 include:spf.migadu.com -all, che è esattamente ciò che Migadu pubblica sul proprio dominio. È un vero include condiviso che usano tutti i clienti Migadu, non una delega CNAME. E conta davvero per DMARC, perché Migadu invia con il tuo dominio nel mittente della busta / Return-Path (il dominio è tuo, Migadu gestisce i bounce che vi arrivano), quindi SPF si allinea al tuo dominio organizzativo invece di risolversi su un dominio di bounce del provider. Migadu consiglia il qualificatore -all (hard fail), e il suo stesso dominio pubblica -all. La vera particolarità di Migadu è il costo: include:spf.migadu.com NON è un include economico da una sola ricerca come _spf.google.com di Google o spf.protection.outlook.com di Microsoft. Annida tre sotto-include, include:smtp.migadu.com (i server di invio), include:rel.migadu.com (i relay in uscita) e include:mx.migadu.com (i mail exchanger), quindi consuma QUATTRO delle tue 10 ricerche DNS SPF previste dalla RFC 7208, non una. Se nello stesso record SPF aggiungi anche Google Workspace, Microsoft 365 o uno strumento per newsletter, quel budget si esaurisce in fretta e può farti finire in un PermError. Tieni esattamente un record TXT SPF sul dominio e unisci al suo interno i meccanismi di tutti i mittenti: non pubblicare mai un secondo record v=spf1, che è di per sé un PermError.
Passo dopo passo
- 1
Aggiungi il dominio nel pannello di amministrazione
Accedi su admin.migadu.com, apri Domains e aggiungi yourdomain.com. Migadu genera i record DNS esatti per quel dominio (il TXT di proprietà, MX, SPF, tre CNAME DKIM e il DMARC suggerito) e li mostra nella pagina del dominio. Lascia aperta questa scheda: copierai i valori da qui.
- 2
Aggiungi il TXT di verifica della proprietà
Presso il tuo provider DNS aggiungi un record TXT sul dominio radice (host @ o vuoto) con il valore mostrato da Migadu, nella forma hosted-email-verify=xxxxxxxxxxxx. Migadu lo usa per confermare che controlli il dominio prima di attivare la posta. Lascialo dov'è: Migadu continua a ricontrollarlo, quindi non eliminarlo dopo la verifica del dominio.
- 3
Punta gli MX su Migadu
Aggiungi due record MX sul dominio radice: aspmx1.migadu.com con priorità 10 e aspmx2.migadu.com con priorità 20. Elimina gli eventuali record MX del provider precedente, così la posta in entrata viene instradata solo verso Migadu. Gli MX riguardano la ricezione, non l'autenticazione, ma una migrazione degli MX lasciata a metà è in assoluto il motivo più comune per cui la posta Migadu non funziona.
- 4
Pubblica o unisci il record SPF
Aggiungi un record TXT sul dominio radice con v=spf1 include:spf.migadu.com -all. Se esiste già un record v=spf1 (Google Workspace, uno strumento per newsletter ecc.), unisci include:spf.migadu.com a quell'unico record: non aggiungere mai un secondo TXT SPF. Ricorda che questo include costa quattro ricerche DNS, quindi tieni d'occhio il limite di 10 ricerche se aggiungi altri mittenti.
- 5
Aggiungi i tre CNAME DKIM
Crea tre record CNAME: host key1._domainkey che punta a key1.yourdomain.com._domainkey.migadu.com, key2._domainkey a key2.yourdomain.com._domainkey.migadu.com e key3._domainkey a key3.yourdomain.com._domainkey.migadu.com. La destinazione che contiene il tuo dominio è corretta, non un errore di battitura. Mantieni il tipo CNAME: non passare a TXT e non incollare una chiave.
- 6
Pubblica il record DMARC
Migadu non crea DMARC per te. Aggiungi un record TXT con host _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi nel recapito non cambia nulla mentre confermi che SPF e DKIM siano entrambi allineati. Tieni esattamente un record _dmarc per dominio.
- 7
(Facoltativo) Aggiungi i record di configurazione automatica dei client
Per permettere a Thunderbird, Apple Mail e Outlook di rilevare automaticamente le impostazioni, aggiungi un CNAME autoconfig che punta ad autoconfig.migadu.com e i record SRV elencati da Migadu: _submissions._tcp (porta 465, smtp.migadu.com), _imaps._tcp (993, imap.migadu.com) e _pop3s._tcp (995, pop.migadu.com). Sono record di comodità per i client di posta, non di autenticazione: saltali se configuri i client a mano.
- 8
Attendi l'attivazione del dominio
Migadu ricontrolla il tuo DNS a intervalli regolari; di solito il dominio passa a verificato/attivo entro circa 30 minuti, anche se la propagazione DNS completa può richiedere fino a 24-48 ore. Non puoi inviare né ricevere finché il pannello non mostra il dominio attivo, con il TXT di proprietà e gli MX rilevati.
- 9
Invia un'email di prova e leggi le intestazioni
Da una casella del dominio, inviati un'email a un tuo indirizzo Gmail, apri il messaggio e scegli ⋮ → Show original. Conferma SPF: PASS con il tuo dominio, DKIM: PASS con d=yourdomain.com (selettore key1, key2 o key3) e DMARC: PASS. Poi analizza il dominio con un check-up per confermare che ogni record si risolva.
Record da aggiungere
Migadu genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | hosted-email-verify=xxxxxxxxxxxxxxxxVerifica della proprietà del dominio: valore di esempio, copia la stringa esatta da admin.migadu.com. Lascialo dov'è: Migadu continua a ricontrollarlo. |
| MX | @ | aspmx1.migadu.comPosta in entrata, priorità 10. Necessario per ricevere: rimuovi gli MX del vecchio provider. |
| MX | @ | aspmx2.migadu.comPosta in entrata, priorità 20 (server MX di backup). |
| TXT | @ | v=spf1 include:spf.migadu.com -allSPF radice: tieni esattamente un record SPF e unisci gli altri mittenti in questa riga. Questo include costa 4 ricerche DNS (annida smtp/rel/mx). |
| CNAME | key1._domainkey | key1.yourdomain.com._domainkey.migadu.comSelettore DKIM 1, delegato tramite CNAME: Migadu custodisce e ruota la chiave. La destinazione contiene il tuo dominio di proposito. |
| CNAME | key2._domainkey | key2.yourdomain.com._domainkey.migadu.comSelettore DKIM 2, abbinato a key1: permette a Migadu di ruotare le chiavi senza interruzioni. |
| CNAME | key3._domainkey | key3.yourdomain.com._domainkey.migadu.comSelettore DKIM 3: aggiungili tutti e tre esattamente come mostrati. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLo aggiungi tu: Migadu non lo crea mai. Uno per dominio; parti da p=none, poi rendilo più restrittivo. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Migadu.
Migadu occupa 4 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Migadu gestisce DKIM tramite delega CNAME, quindi non c'è nessuna chiave da generare o incollare. Migadu pubblica tre selettori per il tuo dominio (key1, key2 e key3) e tu aggiungi tre record CNAME: key1._domainkey.yourdomain.com che punta a key1.yourdomain.com._domainkey.migadu.com, e lo stesso schema per key2 e key3. Il nome host di destinazione che contiene il tuo dominio (keyN.yourdomain.com._domainkey.migadu.com) sembra strano, ma è esattamente corretto: quel nome si trova nella zona di Migadu e si risolve in un record TXT che contiene la chiave pubblica vera e propria (v=DKIM1; k=rsa; p=…). Poiché sono CNAME e non record TXT da copiare, è Migadu a custodire le chiavi private e può ruotare le chiavi pubbliche pubblicate dietro i tre selettori senza che tu debba mai più modificare il DNS. Ecco perché i selettori sono tre: Migadu può ritirarne uno e passare a un altro senza alcuna interruzione. Migadu firma la tua posta in uscita con d=yourdomain.com, quindi DKIM si allinea al tuo dominio From e ti fa superare DMARC anche quando SPF si rompe per via dell'inoltro. Aggiungi tutti e tre i CNAME esattamente come mostrati; se il tuo DNS è dietro Cloudflare, imposta ciascuno su DNS only (nuvola grigia), perché un CNAME in proxy (nuvola arancione) non si risolve su migadu.com e DKIM fallisce.
DMARC
DMARC è un record di policy separato che pubblichi tu: Migadu ne suggerisce uno ma non lo crea nella tua zona, e non è necessario per attivare il dominio (lo sono solo il TXT di proprietà e gli MX). Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che la posta Migadu superi SPF e DKIM con allineamento al tuo dominio. Migadu è uno dei provider con cui questo percorso procede in modo pulito e rapido: poiché allinea sia SPF (il tuo dominio di busta) sia DKIM (i selettori keyN sul tuo dominio), ottieni pass con doppio allineamento, la configurazione che continua a superare i controlli anche quando un messaggio viene inoltrato. Tieni d'occhio i report per una o due settimane, assicurati che ogni mittente legittimo si autentichi, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi; i sottodomini ereditano la policy del dominio padre, a meno che tu non la sovrascriva. Per riferimento, il dominio di Migadu usa p=quarantine: un livello di applicazione della policy ragionevole a cui puntare una volta confermato l'allineamento.
Verifica che funzioni davvero
Non fidarti solo del badge di stato del pannello di amministrazione: confermalo su un messaggio reale. Inviati un'email di prova da una casella del dominio, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS con yourdomain.com, DKIM: PASS con d=yourdomain.com e un selettore key1/key2/key3 (non una firma migadu.com) e DMARC: PASS. Puoi verificare a campione i record grezzi da terminale con dig TXT yourdomain.com (SPF), dig CNAME key1._domainkey.yourdomain.com (dovrebbe risolversi in key1.yourdomain.com._domainkey.migadu.com e da lì in una chiave DKIM1) e dig TXT _dmarc.yourdomain.com. Nel pannello di amministrazione di Migadu il dominio dovrebbe risultare verificato/attivo, con MX e SPF rilevati. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che SPF, tutti e tre i selettori DKIM, MX e DMARC si risolvano correttamente e che SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che Migadu compaia come sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
Il record SPF di Migadu è pesante: include:spf.migadu.com costa QUATTRO ricerche DNS perché annida smtp.migadu.com, rel.migadu.com e mx.migadu.com, non una sola come Google o Microsoft. Aggiungere altri mittenti nello stesso record può farti sforare il limite di 10 ricerche della RFC 7208 e causare un PermError, quindi gestisci il budget con attenzione.
- Configurazione DNS
Migadu non invia né riceve posta per il dominio finché il TXT di proprietà (hosted-email-verify=…) non si risolve e il dominio non risulta attivo nel pannello. Non eliminare quel TXT dopo la configurazione: Migadu continua a ricontrollarlo, e rimuoverlo può disattivare il dominio.
- Copertura
Entrambi i record MX sono obbligatori e devono essere quelli di Migadu: aspmx1.migadu.com (priorità 10) e aspmx2.migadu.com (priorità 20). Lasciare al loro posto gli MX del vecchio provider divide la posta in entrata ed è la causa più comune del classico 'la mia email Migadu non funziona'.
- Configurazione DNS
La destinazione del CNAME DKIM contiene legittimamente il tuo dominio: key1.yourdomain.com._domainkey.migadu.com è corretto, non è un errore di battitura né un host duplicato. Mantieni il tipo di record CNAME; non convertirlo mai in TXT e non incollare una chiave pubblica DKIM.
- Configurazione DNS
Il proxy di Cloudflare rompe DKIM via CNAME: imposta key1/key2/key3._domainkey su DNS only (nuvola grigia). Un CNAME in proxy (nuvola arancione) non si risolve su migadu.com e la verifica DKIM fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: i registrar che aggiungono automaticamente il dominio trasformano key1._domainkey in key1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (key1._domainkey) quando il pannello aggiunge il dominio per te.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice. Se invii anche tramite Google Workspace, Microsoft 365 o uno strumento di marketing, unisci include:spf.migadu.com in quell'unica riga v=spf1: due record SPF sono di per sé un PermError.
- Copertura
Usa ~all durante la migrazione e passa a -all solo quando hai elencato tutti i mittenti legittimi. Migadu consiglia -all (hard fail) e lo usa sul proprio dominio, ma un -all prematuro fa fallire in modo netto (hard fail) qualsiasi sorgente di posta che hai dimenticato di aggiungere.
Crea il tuo record SPF
Migadu è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Migadu: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.