SPF, DKIM e DMARC per Namecheap Private Email.
Namecheap Private Email è il prodotto di caselle in hosting di Namecheap (basato su Open-Xchange App Suite), quindi autenticarlo non significa incollare una riga magica: sono quattro pezzi che lavorano insieme. Due record MX perché la casella possa ricevere, un TXT SPF che autorizza i server in uscita di Private Email, un TXT DKIM che generi nel pannello di Private Email e una policy DMARC sul dominio radice. La particolarità di questo provider: Private Email invia i bounce dal proprio dominio di Return-Path, quindi SPF viene superato ma non si allinea mai al tuo indirizzo From, ed è DKIM il record che ti fa davvero superare DMARC. Se il tuo dominio usa i nameserver BasicDNS di Namecheap, i record MX e SPF vengono aggiunti automaticamente e DKIM richiede un clic; su qualsiasi altro provider DNS li pubblichi tutti e quattro a mano.
Perché autenticare Namecheap Private Email?
Autenticare Private Email è ciò che tiene la tua posta fuori dallo spam. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM, e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di pubblicare anche una policy DMARC con allineamento; nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme. Private Email fa passare la tua posta da un'infrastruttura condivisa Namecheap/Jellyfish, quindi finché non pubblichi SPF, DKIM e un record DMARC, il tuo indirizzo From non è crittograficamente tuo, DMARC non può essere superato e la reputazione del tuo dominio finisce nello stesso calderone di tutti gli altri mittenti non autenticati su quella piattaforma. Poiché il Return-Path di Private Email sta sul suo dominio, con questo provider non puoi contare sul solo SPF: il vero lavoro lo fa l'allineamento DKIM, quindi configurarli correttamente tutti e tre (e confermare che DKIM venga davvero superato con allineamento) fa la differenza tra un recapito affidabile nella posta in arrivo e finire nello spam senza accorgersene.
Come funziona davvero SPF con Namecheap Private Email
Private Email è un vero provider a include condiviso: aggiungi un solo meccanismo, include:spf.privateemail.com, all'unico record TXT SPF del tuo dominio radice, ottenendo v=spf1 include:spf.privateemail.com ~all. Tutti i clienti di Private Email usano lo stesso include, che autorizza gli IP di invio di Private Email così che SPF dia pass. Due cose meritano di essere capite, invece di limitarsi a copiare e incollare. Primo, non è un record piatto: una ricerca in tempo reale su spf.privateemail.com mostra che annida altri tre include (ips1.privateemail.com, fbrelay.privateemail.com e spf-pe.jellyfish.systems), quindi quel singolo include:spf.privateemail.com consuma in realtà QUATTRO delle 10 ricerche DNS SPF consentite (RFC 7208), non una. Aggiungi Google Workspace, SendGrid o Mailchimp e puoi arrivare al limite del PermError prima di quanto pensi. Secondo, e più importante: Private Email usa il proprio dominio come Return-Path della busta, quindi anche se SPF viene superato, NON si allinea al tuo dominio From: qui il solo SPF non soddisferà mai DMARC. Ecco perché pubblicare SPF è necessario ma non sufficiente: è DKIM, che firma con il tuo dominio, il meccanismo che fa superare DMARC. Quindi aggiungi l'include (è il percorso standard e raccomandato per l'SPF radice e aiuta la deliverability), tieni esattamente un record TXT SPF, preferisci il softfail ~all, ma considera DKIM obbligatorio, non facoltativo.
Passo dopo passo
- 1
Apri il tuo abbonamento Private Email
Accedi su namecheap.com e scegli Private Email nella barra laterale sinistra (oppure Apps → Private Email). Fai clic su Manage accanto all'abbonamento del tuo dominio. DKIM si trova in questo pannello; i record MX, SPF e DMARC si pubblicano invece separatamente, ovunque sia ospitato il DNS del tuo dominio.
- 2
Genera la chiave DKIM
Apri la sezione DKIM dell'abbonamento e fai clic su Generate. Namecheap crea una chiave RSA e mostra l'host del TXT e un lungo valore che inizia con v=DKIM1; k=rsa; p=…. L'host è privateemail._domainkey sugli abbonamenti acquistati dal 2 giugno 2026 in poi, oppure default._domainkey su quelli più vecchi: copia esattamente ciò che mostra il tuo pannello. Sugli abbonamenti più recenti DKIM è disponibile subito dopo l'ordine; sui piani legacy potresti dover prima creare una casella.
- 3
Individua dove è ospitato il tuo DNS
I record vanno ovunque puntino i nameserver del tuo dominio. Se il dominio usa Namecheap BasicDNS, vai su Domain List → Manage → Advanced DNS. Se hai spostato il DNS su Cloudflare, GoDaddy, il cPanel di un hosting o Namecheap PremiumDNS, aggiungi lì i record: Namecheap può pubblicare automaticamente solo sul proprio BasicDNS.
- 4
Aggiungi i due record MX
Sul dominio radice (Host @) crea due record MX: mx1.privateemail.com e mx2.privateemail.com, entrambi con Priority 10. Permettono alla casella di ricevere la posta. Su BasicDNS, scegliendo Advanced DNS → Mail Settings → Private Email questi record MX (e il record SPF) vengono aggiunti automaticamente.
- 5
Pubblica o unisci il record SPF
Aggiungi un record TXT sul dominio radice (Host @): v=spf1 include:spf.privateemail.com ~all. Se esiste già un record v=spf1 (da un vecchio hosting o da un altro mittente), NON aggiungerne un secondo: unisci include:spf.privateemail.com al record esistente, perché due record SPF sono di per sé un PermError. Mantieni il softfail ~all a meno che tu non sia certo che ogni mittente sia elencato.
- 6
Pubblica il record TXT DKIM
Aggiungi un record TXT con Host = il selettore del passaggio 2 (privateemail._domainkey o default._domainkey) e Value = l'intera stringa v=DKIM1; k=rsa; p=…. Su BasicDNS viene aggiunto automaticamente quando generi la chiave; su qualsiasi altro provider DNS lo incolli a mano. È il record che fa davvero superare DMARC, quindi non saltarlo.
- 7
Aggiungi una policy DMARC
Crea un record TXT su Host _dmarc: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none per monitorare senza influire sul recapito, controlla i report aggregati (rua), poi passa a p=quarantine e infine a p=reject quando hai confermato che DKIM è allineato e superato. Tieni un solo record _dmarc per l'intero dominio.
- 8
(Facoltativo) Aggiungi i record di configurazione automatica dei client di posta
Per la configurazione in un clic in Outlook, Thunderbird e Apple Mail, Namecheap elenca anche i CNAME (mail, autodiscover, autoconfig → privateemail.com) più un SRV _autodiscover._tcp che punta a privateemail.com sulla porta 443. Servono solo a configurare automaticamente i client di posta: non fanno parte dell'autenticazione SPF/DKIM/DMARC e puoi saltarli senza problemi.
- 9
Attendi, poi prova su un messaggio reale
Concedi circa 30-60 minuti alla propagazione del DNS, poi invia un messaggio dal tuo indirizzo Private Email a un account Gmail e apri Show original. Devi vedere DKIM: PASS allineato al tuo dominio e DMARC: PASS. SPF risulterà pass ma sul dominio di Return-Path di Private Email invece che sul tuo: qui è previsto, ed è proprio per questo che DKIM deve essere presente.
Record da aggiungere
Namecheap Private Email genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| MX | @ | mx1.privateemail.comPriorità 10: riceve la posta. Aggiunto automaticamente su Namecheap BasicDNS. |
| MX | @ | mx2.privateemail.comPriorità 10: secondo MX, stessa priorità. Aggiunto automaticamente su BasicDNS. |
| TXT | @ | v=spf1 include:spf.privateemail.com ~allUn solo TXT SPF: unisci a qualsiasi record v=spf1 esistente. Questo singolo include costa 4 delle tue 10 ricerche SPF. |
| TXT | privateemail._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA… (generated in your Private Email panel)Valore di esempio: il valore esatto è specifico per ogni account. L'host è privateemail._domainkey sugli abbonamenti dal 2 giugno 2026, oppure default._domainkey su quelli più vecchi. Qui è DKIM a far superare DMARC. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUno per dominio. Parti da p=none; il superamento di DMARC dipende da DKIM perché SPF non si allinea. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Namecheap Private Email.
Namecheap Private Email occupa 4 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM per Private Email è un record TXT (non un CNAME) che generi nel pannello di Private Email: non esiste una chiave universale da incollare e il valore non esiste finché non lo crei. Nel tuo account Namecheap vai su Private Email → Manage accanto all'abbonamento → sezione DKIM → Generate; Namecheap produce una chiave pubblica RSA e mostra host e valore. L'host (selettore) dipende da quando è stato acquistato l'abbonamento: privateemail._domainkey per gli abbonamenti creati dal 2 giugno 2026 in poi, default._domainkey per quelli più vecchi. Copia sempre il selettore mostrato dal tuo pannello invece di darlo per scontato. Il valore è una singola stringa che inizia con v=DKIM1; k=rsa; p= seguita dalla chiave pubblica in base64; inseriscila senza virgolette o parentesi attorno. Se il tuo dominio usa Namecheap BasicDNS, il TXT DKIM viene pubblicato automaticamente nel momento in cui lo generi; su PremiumDNS, DNS cPanel/Web Hosting o qualsiasi provider DNS di terze parti (Cloudflare, GoDaddy, ecc.) aggiungi il record TXT a mano. Poiché l'SPF di Private Email non si allinea al tuo dominio, questo record DKIM non è un accessorio facoltativo: è l'unico meccanismo che produce l'allineamento DMARC, quindi verifica che si risolva e venga superato prima di inasprire DMARC.
DMARC
DMARC è un record di policy separato, pubblicato come TXT su _dmarc.yourdomain.com sul tuo dominio radice: un record per l'intero dominio, a prescindere da quanti mittenti usi. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com: p=none è solo monitoraggio, quindi non influisce sul recapito mentre confermi che la posta di Private Email supera i controlli. Il punto critico per questo provider è che il tuo risultato DMARC dipende interamente da DKIM. Poiché Private Email usa il proprio dominio di Return-Path, SPF viene superato ma non si allinea, quindi DMARC non può essere superato con il solo SPF: può esserlo solo tramite l'allineamento DKIM. Controlla i report aggregati (rua) per una o due settimane per confermare che Private Email risulti costantemente con DKIM allineato e superato, poi alza la policy a p=quarantine e infine a p=reject. Non passare subito a p=reject prima di aver verificato che DKIM sia allineato e funzionante, altrimenti la posta legittima può essere rifiutata.
Verifica che funzioni davvero
Non valutare a occhio i tempi di propagazione: attendi circa 30-60 minuti dopo la pubblicazione, poi controlla su un messaggio reale. Invia un'email dal tuo indirizzo Private Email a un account Gmail, aprila e scegli ⋮ → Show original: cerca DKIM: PASS firmato dal tuo dominio e DMARC: PASS. SPF risulterà pass, ma tieni presente che sta autenticando il dominio di Return-Path di Private Email, non il tuo: qui è normale, ed è per questo che DKIM deve essere presente e allineato. Per un'analisi più completa, invia un'email di prova a uno strumento come mail-tester.com, oppure analizza il tuo dominio con il controllo autenticazione email e il check-up del dominio di Qualisend per confermare che l'include SPF si risolva (e vedere che consuma quattro ricerche), che il selettore DKIM sia pubblicato e che il record DMARC venga interpretato correttamente. Quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC per verificare che Private Email compaia come sorgente allineata che supera i controlli prima di abbandonare p=none.
Insidie comuni
- Configurazione DNS
SPF viene superato ma non si allinea mai. Private Email invia con il proprio dominio di Return-Path, quindi il solo SPF non può soddisfare DMARC: il superamento di DMARC dipende interamente da DKIM. Generare e pubblicare la chiave DKIM è obbligatorio, non facoltativo.
- Fa fallire l'autenticazione
L'include è più pesante di quanto sembri. include:spf.privateemail.com annida altri tre include (ips1, fbrelay, spf-pe.jellyfish.systems) e consuma 4 delle tue 10 ricerche DNS SPF. Aggiungi Google Workspace, SendGrid o Mailchimp e puoi superare il limite del PermError della RFC 7208: tieni un solo record SPF ed elimina i mittenti che non usi più.
- Copertura
Il selettore DKIM è cambiato il 2 giugno 2026. I nuovi abbonamenti usano privateemail._domainkey; quelli più vecchi usano default._domainkey. Copia l'host esatto dal tuo pannello: non dare per scontato “default”.
- Copertura
DKIM va generato prima. Non esiste una chiave condivisa da incollare; il valore esiste solo dopo che hai fatto clic su Generate nel pannello di Private Email. Sugli abbonamenti più recenti è disponibile subito dopo l'ordine; sui piani legacy potresti dover ancora creare una casella prima di poterlo generare.
- Configurazione DNS
BasicDNS aggiunge i record in automatico, gli altri provider DNS no. Su Namecheap BasicDNS MX e SPF si aggiungono da Advanced DNS → Mail Settings → Private Email e DKIM si pubblica in automatico. Se il tuo dominio punta a Cloudflare, a un registrar o al cPanel di un hosting, devi aggiungere lì ogni record a mano.
- Fa fallire l'autenticazione
Due record SPF sono un PermError. Se esiste già un record v=spf1 sul tuo dominio radice, unisci include:spf.privateemail.com a quel record: non pubblicare mai un secondo TXT SPF.
- Configurazione DNS
Dominio duplicato nel campo host. Alcuni editor DNS aggiungono automaticamente il tuo dominio, trasformando default._domainkey in default._domainkey.yourdomain.com.yourdomain.com. Inserisci solo @, il selettore senza dominio o _dmarc se il pannello aggiunge il dominio per te.
- Copertura
Private Email è un servizio di caselle, non un ESP per grandi volumi. Per newsletter o cold outreach, invia tramite un provider dedicato e autenticalo separatamente: far passare le campagne da Private Email ti espone ai suoi limiti di invio e mette a rischio la reputazione della tua casella.
Crea il tuo record SPF
Namecheap Private Email è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Namecheap Private Email: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Proton Mail
- Purelymail
- Rackspace Email
- Titan
- Yandex 360
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.