SPF, DKIM e DMARC per Moosend.
Moosend autentica il tuo dominio di invio dalla pagina Senders, non con una procedura guidata in un clic. Aggiungi (o scegli) un indirizzo mittente, apri Set up SPF, DKIM e Moosend ti fornisce due record TXT da pubblicare, uno SPF (include:spfa.mailendo.com) e uno DKIM (sul selettore ms._domainkey), più un passaggio per DMARC. Li pubblichi presso il tuo provider DNS, fai clic su Verify DNS records e i segni di spunta verdi confermano che Moosend può inviare campagne a nome del tuo dominio invece che da un indirizzo Moosend condiviso. Qui c'è un vero include SPF condiviso, ma è DKIM il record che ti fa davvero superare DMARC.
Perché autenticare Moosend?
Autenticare un dominio Moosend fa la differenza tra posta in arrivo e cartella spam e, se invii con un ESP di marketing, sei quasi certamente il tipo di mittente per cui sono state scritte le regole. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Una newsletter Moosend inviata a tutta la lista è proprio questo tipo di invio di grandi volumi. Finché non autentichi il dominio, Moosend invia tramite la propria infrastruttura (la sua piattaforma di invio usa il dominio mailendo.com): i destinatari possono vedere che la posta non proviene crittograficamente da te, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione di invio finisce in comune con quella di tutti gli altri mittenti Moosend non autenticati. Pubblicare l'include SPF e la chiave DKIM ms._domainkey risolve tutto: DKIM firma come il tuo dominio, DMARC viene superato grazie all'allineamento e la reputazione che costruisci si accumula sul tuo dominio invece che nel pool condiviso.
Come funziona davvero SPF con Moosend
Moosend è un vero provider “include”: include:spfa.mailendo.com è un autentico meccanismo condiviso (mailendo.com è l'infrastruttura di invio di Moosend) da unire all'unico record TXT SPF del tuo dominio radice; il record che Moosend ti fornisce è v=spf1 include:spfa.mailendo.com ~all. Verificato sul DNS reale: spfa.mailendo.com si risolve in un record piatto che contiene solo intervalli ip4: e il proprio ~all, senza include annidati, quindi costa esattamente UNA delle tue 10 ricerche DNS SPF, non le due o tre che ipotizzano alcune guide meno recenti. C'è però una sfumatura sull'allineamento che vale la pena capire. Come la maggior parte degli ESP di marketing, Moosend gestisce i bounce sul proprio return-path (mailendo.com), quindi il controllo SPF spesso viene eseguito sul dominio della busta di Moosend anziché sul tuo dominio From. Questo significa che l'include può produrre un semplice pass SPF senza ALLINEARSI davvero al tuo dominio organizzativo per DMARC, ed è proprio per questo che il record DKIM (il TXT ms._domainkey) conta altrettanto: DKIM firmato come d=yourdomain.com è il meccanismo che garantisce in modo affidabile il superamento di DMARC. Pubblica comunque l'include SPF (fa parte della configurazione obbligatoria a due record di Moosend e il suo sistema di verifica controlla che si risolva), ma considera DKIM il record che fa il lavoro per DMARC. E tieni esattamente un record SPF sul dominio: unisci include:spfa.mailendo.com alla tua riga v=spf1 esistente invece di aggiungere un secondo TXT SPF, perché due record SPF sono di per sé un PermError.
Passo dopo passo
- 1
Apri la pagina Senders
Nella barra del menu in alto fai clic su More → Settings, poi nel menu a sinistra fai clic su Senders. Questa pagina gestisce sia l'aggiunta degli indirizzi mittente sia l'autenticazione dei relativi domini: SPF, DKIM e DMARC si raggiungono tutti da qui.
- 2
Aggiungi o seleziona l'indirizzo mittente
Se l'indirizzo From da cui invierai le campagne non è nell'elenco, fai clic su Add new e salvalo (es. news@yourdomain.com). Moosend autentica per mittente/dominio, quindi l'indirizzo da cui invierai davvero deve essere presente qui prima di configurare il DNS.
- 3
Apri Set up SPF, DKIM
Fai clic su Set up SPF, DKIM (su alcuni account compare come Set up DNS) accanto al tuo mittente. Moosend mostra due record TXT, uno per SPF e uno per DKIM, ciascuno con un Name/Host e un Value, più un passaggio per DMARC. Lascia aperta questa schermata: copierai i valori da qui.
- 4
Copia con attenzione il valore DKIM
Fai clic sul record DKIM per visualizzarlo. L'host è ms._domainkey e il valore mostrato da Moosend spesso inizia con k=rsa; p=<chiave pubblica lunga>. Copia l'intera chiave p= come un'unica stringa continua, poi anteponi v=DKIM1; così che il valore pubblicato sia v=DKIM1; k=rsa; p=…, la forma raccomandata dalla RFC. Una chiave troncata o spezzata su più righe è il motivo più comune per cui un record DKIM non viene convalidato.
- 5
Pubblica o unisci il record SPF
Presso il tuo provider DNS aggiungi un record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:spfa.mailendo.com ~all. Se esiste già un record SPF (Google Workspace, Microsoft 365, un altro strumento), non crearne un secondo: unisci include:spfa.mailendo.com a quell'unica riga v=spf1. spfa.mailendo.com (mailendo è l'infrastruttura di invio di Moosend) è corretto, non è un errore di battitura.
- 6
Pubblica il record TXT DKIM
Aggiungi un record TXT con host ms._domainkey e valore v=DKIM1; k=rsa; p=<la chiave fornita da Moosend>. Mantieni il tipo TXT: il DKIM di Moosend è una chiave statica, non un CNAME delegato. Per un mittente su sottodominio l'host è ms._domainkey.subdomain.
- 7
Aggiungi il record DMARC
Moosend propone un passaggio per DMARC ma non crea il record per te. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi il recapito non cambia mentre verifichi l'allineamento. Salta questo passaggio se hai già un record _dmarc: un dominio deve averne esattamente uno.
- 8
Verifica in Moosend
Torna alla pagina Senders e fai clic su Verify DNS records. I segni di spunta verdi compaiono accanto a SPF e DKIM quando si risolvono. Di solito la propagazione richiede 30 minuti, ma può arrivare a 48 ore; se un controllo non va a buon fine subito, attendi e ripetilo.
- 9
Conferma su un messaggio reale
Invia un'email di prova a un indirizzo Gmail, aprila e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com (selettore ms) e DMARC: PASS. È il dominio DKIM yourdomain.com, non l'host Moosend/mailendo, a indicare il tuo pass allineato.
Record da aggiungere
Moosend genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:spfa.mailendo.com ~allSPF radice: tieni esattamente UN record SPF; se ne hai già uno, unisci include:spfa.mailendo.com alla tua riga v=spf1 esistente. Costa 1 delle tue 10 ricerche DNS (record piatto solo ip4, verificato). |
| TXT | ms._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ…(public key from Moosend)Valore di esempio: copia la chiave esatta da Set up SPF, DKIM nel tuo account Moosend. Di solito Moosend mostra il valore a partire da k=rsa; p=…; anteponi v=DKIM1; per la forma raccomandata dalla RFC e incolla l'intera chiave p= senza spazi o a capo aggiunti. TXT, non CNAME. I mittenti su sottodominio usano ms._domainkey.subdomain. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLo aggiungi tu: Moosend non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Moosend.
Moosend occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
In Moosend DKIM è un record TXT statico che pubblichi sul selettore ms._domainkey (host ms._domainkey.yourdomain.com), non un CNAME delegato a Moosend. Quando apri Set up SPF, DKIM nella pagina Senders, Moosend mostra il nome del record e un valore che di solito inizia con k=rsa; p=<chiave pubblica lunga>. Due dettagli specifici di Moosend mettono spesso in difficoltà. Primo, pubblica il valore con il tag v=DKIM1; all'inizio, così che il record finale sia v=DKIM1; k=rsa; p=<chiave>. Omettere v= è tecnicamente valido (la RFC 6376 considera una versione mancante come il valore predefinito DKIM1, e Gmail, Yahoo e Microsoft considereranno comunque valida la firma), ma anteporre v=DKIM1; è la forma raccomandata dalla RFC ed evita che i validatori più rigorosi e alcuni pannelli DNS segnalino il record. Se una chiave copiata esattamente continua a non essere convalidata, il colpevole più frequente è il lungo valore p= in sé: un pannello DNS che lo ha troncato o vi ha inserito uno spazio o un a capo rompe la chiave, quindi incollala come un'unica stringa continua. Secondo, poiché è una chiave TXT da incollare (non un CNAME controllato da Moosend), Moosend conserva la chiave privata corrispondente ma non c'è rotazione automatica: se un giorno ruoti la chiave, devi ricopiare tu il nuovo valore nel DNS. Una volta che il record si risolve, Moosend firma le tue campagne in uscita con d=yourdomain.com, quindi DKIM si allinea al tuo dominio e garantisce il superamento di DMARC. Se il tuo indirizzo From usa un sottodominio, l'host diventa ms._domainkey.subdomain.yourdomain.com, e quel sottodominio ha bisogno anche di un proprio SPF.
DMARC
DMARC è un record di policy separato che pubblichi tu: Moosend mostra un passaggio per DMARC nella schermata Set up SPF, DKIM, ma non crea il record per te. Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che la posta Moosend superi DKIM con allineamento al tuo dominio (e SPF, dove si allinea). Tieni d'occhio quei report per una o due settimane, assicurati che ogni mittente legittimo (Moosend più gli altri strumenti) si autentichi, poi porta la policy a p=quarantine e infine a p=reject quando l'allineamento è costante. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; Moosend stesso precisa che puoi saltare il suo passaggio DMARC se hai già un record DMARC, perché un dominio può averne uno solo. Poiché con il return-path di Moosend SPF potrebbe non allinearsi, qui DMARC si basa sul DKIM allineato: un motivo in più per cui il record ms._domainkey non è facoltativo.
Verifica che funzioni davvero
La verifica di Moosend avviene su due livelli. In Moosend: dopo la pubblicazione, torna alla pagina Senders e fai clic su Verify DNS records; i segni di spunta verdi accanto a SPF e DKIM indicano che i record si risolvono. Di solito la propagazione richiede 30 minuti, ma può arrivare a 48 ore, e Moosend ti permette di ripetere il controllo se non va a buon fine subito. I segni di spunta della dashboard però confermano solo che i record esistono, non che la posta sia allineata, quindi verifica su un messaggio reale: invia una campagna o un'email di prova a un indirizzo Gmail, aprila e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e selettore ms (non l'host mailendo) e DMARC: PASS. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che SPF, il record DKIM ms._domainkey e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Moosend/mailendo dovrebbe comparire come sorgente allineata che supera i controlli. Una particolarità di Moosend da conoscere: modificare il DNS del dominio dopo la verifica può riportare i suoi mittenti allo stato non verificato, e Moosend ricontrolla periodicamente i mittenti verificati; quindi, se un mittente torna non verificato, fai di nuovo clic su Verify DNS records.
Insidie comuni
- Configurazione DNS
Pubblica il valore DKIM con il tag v=DKIM1;. Moosend spesso mostra la chiave a partire da k=rsa; p=… senza tag di versione: pubblicala come v=DKIM1; k=rsa; p=… . Omettere v= è tecnicamente valido (la RFC 6376 lo considera DKIM1 per impostazione predefinita, e Gmail/Yahoo/Microsoft considerano valida la firma), ma il tag è la forma raccomandata ed evita avvisi dai validatori più rigorosi. Altrettanto importante: incolla la lunga chiave p= come un'unica stringa continua; una chiave troncata o spezzata da spazi è il motivo più comune per cui un record DKIM di Moosend non viene convalidato.
- Copertura
spfa.mailendo.com è corretto, non è un errore di battitura. La piattaforma di invio di Moosend usa il dominio mailendo.com, quindi l'include è davvero include:spfa.mailendo.com: non 'correggerlo' in un host moosend.com.
- Copertura
SPF può essere superato senza allinearsi. Il dominio di return-path/bounce è di Moosend, quindi l'include può produrre un semplice pass SPF che non si allinea al tuo dominio From per DMARC. È DKIM (ms._domainkey) a garantire il pass allineato: non saltarlo mai.
- Fa fallire l'autenticazione
Tieni esattamente UN record TXT SPF. Se invii già tramite Google Workspace, Microsoft 365, un altro ESP ecc., unisci include:spfa.mailendo.com a quell'unica riga v=spf1: due record SPF sono un PermError.
- Configurazione DNS
Entrambi i record di Moosend sono TXT, non CNAME. Non c'è alcun CNAME da delegare né rotazione automatica delle chiavi: il DKIM di Moosend è una chiave statica da incollare, quindi se un giorno la ruoti devi ricopiare tu il nuovo valore.
- Copertura
Modificare il DNS dopo la verifica può far perdere la verifica ai mittenti di un dominio. Dopo ogni modifica DNS, torna alla pagina Senders e fai di nuovo clic su Verify DNS records; Moosend inoltre ricontrolla periodicamente i mittenti verificati.
- Copertura
Prima aggiungi e seleziona l'indirizzo mittente. Moosend autentica per mittente/dominio nella pagina Senders: non esiste un'impostazione valida per tutto l'account, quindi l'indirizzo From da cui invierai davvero deve essere presente lì prima che compaia la schermata di configurazione DNS.
- Copertura
I mittenti su sottodominio hanno bisogno di record propri. Se il tuo indirizzo From usa un sottodominio, l'host DKIM è ms._domainkey.subdomain e quel sottodominio ha bisogno di un proprio SPF: il record SPF del dominio radice non lo copre.
Crea il tuo record SPF
Moosend è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Moosend: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.