SPF, DKIM e DMARC per Omnisend.
Omnisend autentica il tuo dominio di invio da Store settings → Domains, senza chiederti di incollare una riga magica. Poiché recapita le email sull'infrastruttura di Mailgun, il suo flusso ti fornisce tre cose: un record SPF costruito attorno a include:mailgun.org da unire al tuo SPF radice, DKIM pubblicato come due record CNAME con selettori specifici dell'account che delegano a Omnisend una coppia di chiavi a rotazione, e un record di policy DMARC. L'include SPF autorizza gli IP di Mailgun a inviare a tuo nome; i CNAME DKIM firmano la posta come d=yourdomain.com, così si allinea per DMARC. Quando tutti e tre si risolvono e la pagina Domains passa a Verified, Omnisend invia a tutti gli effetti con il tuo dominio invece di appoggiarsi alla sua identità di invio condivisa e senza marchio.
Perché autenticare Omnisend?
Per un mittente e-commerce, autenticare il dominio Omnisend fa la differenza tra la scheda Promozioni e lo spam, e ormai è di fatto obbligatorio. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook/Hotmail/Live. Di norma gli account Omnisend superano di slancio i 5.000 al giorno già al primo invio di un'email di carrello abbandonato o di una newsletter, quindi per quei provider di posta sei a pieno titolo un mittente di grandi volumi. Finché non autentichi, Omnisend invia posta che crittograficamente non è tua: il tuo indirizzo From non si allinea, DMARC non può essere superato e la tua reputazione finisce in comune con quella di tutti gli altri mittenti non autenticati sull'infrastruttura condivisa. Peggio ancora: non puoi inviare in modo affidabile campagne Omnisend da un indirizzo From pubblico e gratuito come gmail.com o yahoo.com. Non controlli le chiavi DKIM di quei domini, quindi la posta non può allinearsi né superare DMARC: Yahoo pubblica p=reject e la rifiuta senza appello, mentre Gmail contrasta con rigore lo spoofing di gmail.com, quindi finisce nello spam o rimbalza. Autenticare il tuo dominio allinea DKIM a te, permette di superare DMARC, elimina la penalizzazione del mittente condiviso e fa sì che la reputazione di invio costruita con ogni campagna vada a beneficio del tuo brand.
Come funziona davvero SPF con Omnisend
Omnisend è un vero provider “include”: il suo flusso Domains genera una vera riga SPF, v=spf1 include:mailgun.org ~all, e ti chiede di pubblicarla sul dominio radice, perché Omnisend invia tramite Mailgun e include:mailgun.org è il meccanismo condiviso che autorizza gli IP di invio di Mailgun. Aggiungila. Ma due aspetti rendono insolito questo SPF, ed entrambi contano. Il primo è il limite sull'allineamento: Omnisend/Mailgun gestisce i tuoi bounce sul proprio dominio Return-Path (envelope-from) su mailgun.org, e DMARC controlla l'allineamento SPF rispetto a quel Return-Path, non al tuo indirizzo From visibile. Questo record SPF può quindi dare un “pass” grezzo allineandosi al dominio di Mailgun anziché al tuo: da solo, SPF NON ti fa superare DMARC. È proprio per questo che il flusso di Omnisend ti fornisce anche DKIM sotto forma di CNAME: DKIM firmato come d=yourdomain.com è il meccanismo che si allinea davvero e regge DMARC (e, a differenza di SPF, sopravvive all'inoltro). Configurali entrambi, ma affidati a DKIM per superare DMARC. Il secondo è il costo: include:mailgun.org è dispendioso. Annida l'intera catena di Mailgun (mailgun.org si risolve in include:_spf.mailgun.org più include:_spf.eu.mailgun.org; _spf.mailgun.org annida a sua volta include:_spf1.mailgun.org e include:_spf2.mailgun.org), quindi un solo include:mailgun.org consuma 5 delle 10 ricerche DNS SPF consentite (RFC 7208). Se invii anche tramite Google Workspace, Microsoft 365, Klaviyo o uno strumento di help desk, puoi arrivare in fretta al PermError del limite di 10 ricerche, perciò pianifica bene l'unione. Chi invia solo dall'UE può ridurre il costo con include:eu.mailgun.org (2 ricerche) o include:_spf.eu.mailgun.org (1 ricerca) al posto dell'include completo USA+UE. Inoltre sul dominio deve esserci esattamente un record TXT SPF: unisci l'include di Mailgun alla tua riga v=spf1 esistente invece di pubblicare un secondo record SPF (due record SPF sono di per sé un PermError). Un aiuto: se Omnisend rileva un record SPF esistente, prova a unire automaticamente include:mailgun.org e ti mostra l'unica riga combinata da incollare, ma controlla sempre che il risultato resti sotto le 10 ricerche.
Passo dopo passo
- 1
Apri la pagina Domains
Accedi a Omnisend e vai in Store settings → Domains (apri il menu con il nome o le impostazioni dello store, poi Domains). L'autenticazione del dominio di invio si trova qui: aggiungi e verifichi il dominio, poi pubblichi i record generati presso il tuo provider DNS.
- 2
Aggiungi il dominio di invio
Fai clic su + Add domain, scegli il tipo Email domain e inserisci il dominio da cui invii le campagne (es. yourdomain.com: usa lo stesso dominio organizzativo del tuo indirizzo From, così DKIM si allinea). Omnisend genera i record SPF, DKIM e DMARC per quel dominio specifico.
- 3
Seleziona il provider DNS e copia i record
Scegli il tuo provider DNS dal menu a tendina, così Omnisend adatta le istruzioni a schermo (non accede e non aggiunge i record per te: li incolli tu). Omnisend mostra quindi un valore TXT SPF (v=spf1 include:mailgun.org ~all), due record CNAME DKIM con selettori specifici dell'account e un record TXT DMARC iniziale. Copiali esattamente: i selettori DKIM e le destinazioni sono unici per il tuo account.
- 4
Pubblica o unisci il record SPF
Presso il tuo provider DNS, aggiungi un record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:mailgun.org ~all. Se esiste già un record v=spf1 (Google Workspace, Microsoft 365, Shopify, un altro ESP), NON crearne un secondo: unisci include:mailgun.org all'unico record esistente (spesso Omnisend lo unisce già per te, se riesce a leggere il tuo SPF attuale). Tieni d'occhio il totale: il solo include:mailgun.org costa 5 delle 10 ricerche DNS consentite.
- 5
Aggiungi entrambi i CNAME DKIM
Crea entrambi i record CNAME DKIM mostrati da Omnisend: ne fornisce una coppia (per la rotazione delle chiavi), ciascuno con un selettore esatto (l'etichetta prima di ._domainkey) che punta alla destinazione esatta indicata da Omnisend. È il meccanismo allineato per DMARC, quindi configuralo con precisione: mantieni il tipo CNAME (non TXT), non aggiungere spazi e non spezzare né modificare il valore. Aggiungili entrambi, altrimenti DKIM si romperà quando Omnisend ruoterà le chiavi.
- 6
Aggiungi il record DMARC
Omnisend genera una policy DMARC iniziale: aggiungila come record TXT sull'host _dmarc con un valore come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Il valore generato da Omnisend è un segnaposto p=none (solo monitoraggio) con allineamento relaxed, il valore predefinito di DMARC; pubblicalo così com'è per iniziare, dato che il superamento di DMARC dipenderà dal DKIM allineato, non da SPF. Tieni esattamente un record _dmarc per dominio: salta questo passaggio se ne hai già uno.
- 7
Correggi il dominio duplicato e il proxy di Cloudflare
Molti registrar aggiungono automaticamente il dominio, quindi inserire selector._domainkey.yourdomain.com produce …yourdomain.com.yourdomain.com: inserisci solo l'etichetta se il pannello aggiunge il dominio per te (GoDaddy fa eccezione e vuole il selettore completo, incluso ._domainkey). Se il tuo DNS è dietro Cloudflare, imposta entrambi i CNAME DKIM su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve nella destinazione di Omnisend e la verifica fallisce.
- 8
Verifica in Omnisend
Torna alla pagina Domains e fai clic su Finish verification. Lo stato passa da In progress / Unverified a Verified, e Omnisend ti avvisa via email al termine. Tieni presente che Omnisend può verificare il dominio con un solo record valido, quindi non fermarti al badge verde: conferma che tutti e tre siano attivi. Di solito la propagazione richiede circa 30 minuti, ma può arrivare a 48 ore. Se il tuo dominio è già in uso con una configurazione precedente, la pagina può chiederti di contattare l'assistenza per completare; altrimenti fai tutto da solo.
- 9
Invia un'email di prova e conferma l'allineamento
Assicurati che audience, form e automazioni usino un indirizzo From del dominio autenticato (verificare il DNS non cambia una campagna già impostata su un altro From). Invia un'email di prova a un account Gmail, aprila e scegli ⋮ → Show original: devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. SPF può mostrare mailgun.org come dominio controllato: è il comportamento “autorizza ma non allinea”, che va bene finché è il DKIM allineato a reggere DMARC.
Record da aggiungere
Omnisend genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:mailgun.org ~allSPF radice: tieni UN SOLO record SPF e unisci include:mailgun.org a quello. Costa 5 ricerche DNS (l'intera catena di Mailgun), quindi fai attenzione al limite di 10 ricerche. Chi invia solo dall'UE può usare in alternativa include:eu.mailgun.org (2 ricerche) o include:_spf.eu.mailgun.org (1). |
| CNAME | s1._domainkey | s1.dkim.omnisend-mailgun.example (illustrative)Record DKIM 1 di 2: Omnisend genera il selettore e la destinazione esatti per ogni dominio nella pagina Domains. Copiali alla lettera; non cambiare il tipo in TXT, non aggiungere spazi e non modificare il valore. È la firma DKIM allineata per DMARC (d=yourdomain.com). |
| CNAME | s2._domainkey | s2.dkim.omnisend-mailgun.example (illustrative)Record DKIM 2 di 2: il secondo selettore completa la coppia per la rotazione delle chiavi. Aggiungili entrambi, altrimenti la firma si rompe quando Omnisend ruota le chiavi. Selettore e destinazione esatti si trovano nella pagina Domains di Omnisend. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu, partendo dal valore segnaposto di Omnisend. Parte da p=none (solo monitoraggio) con allineamento relaxed (il predefinito). Un record DMARC per dominio; passa a quarantine/reject quando DKIM supera i controlli con allineamento. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Omnisend.
Omnisend occupa 5 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è la parte dell'autenticazione Omnisend che regge davvero il superamento di DMARC, quindi è il record da configurare con la massima precisione. Poiché Omnisend si appoggia a Mailgun e gestisce i bounce tramite il proprio dominio Return-Path su mailgun.org, SPF (include:mailgun.org) autorizza l'invio ma si allinea al dominio di Mailgun anziché al tuo: è DKIM a firmare la posta come d=yourdomain.com e ad allinearsi al tuo dominio organizzativo. Omnisend pubblica DKIM con record CNAME, non con record TXT da incollare: aggiungi due CNAME, ciascuno con un host che è un selettore specifico dell'account (l'etichetta prima di ._domainkey, Omnisend ti mostra quelli esatti) e che punta a una destinazione generata da Omnisend per il tuo account. Essendo CNAME delegati a Omnisend/Mailgun, sono loro a custodire le chiavi private e possono ruotare la chiave pubblicata dietro quei selettori senza che tu debba mai rimettere mano al DNS: per questo sono due, una coppia di rotazione. Aggiungili entrambi e copia ogni selettore e destinazione alla lettera: non cambiare il tipo in TXT, non aggiungere spazi, non spezzare il valore e non “ripulirlo”. Due insidie del campo host: la maggior parte dei registrar aggiunge automaticamente il tuo dominio, quindi inserisci solo l'etichetta del selettore, tranne se il tuo pannello non aggiunge il dominio; GoDaddy fa eccezione e vuole il selettore completo, incluso ._domainkey. Se il tuo DNS passa dal proxy di Cloudflare, imposta i record su “DNS only” (nuvola grigia), altrimenti non si risolvono. Solo quando entrambi i CNAME si risolvono e Omnisend mostra il dominio come Verified la posta inizia a essere firmata con il tuo dominio e DKIM inizia ad allinearsi.
DMARC
DMARC è un record di policy separato sul tuo dominio. Omnisend genera un valore iniziale, ma lo pubblichi tu su _dmarc.yourdomain.com: inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Il record generato da Omnisend è un segnaposto p=none, pensato apposta per soddisfare i requisiti di Gmail e Yahoo per i mittenti di grandi volumi mentre monitori. p=none è solo monitoraggio: non cambia nulla nel recapito mentre raccogli i report aggregati (rua) e confermi che la posta Omnisend supera DKIM con allineamento al tuo dominio. Tieni presente che qui il superamento di DMARC dipende da DKIM, non da SPF: poiché il Return-Path di Omnisend resta su mailgun.org, SPF non si allineerà al tuo dominio in nessun caso, comunque imposti l'allineamento; a far superare DMARC è la firma DKIM allineata (d=yourdomain.com). Lascia l'allineamento relaxed (il valore predefinito di DMARC). Osserva i report per una o due settimane, assicurati che ogni mittente legittimo (Omnisend più Shopify, Google Workspace, un help desk, ecc.) sia autenticato, poi passa a p=quarantine e infine a p=reject per proteggere davvero il dominio dallo spoofing. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi: non aggiungere mai un secondo record DMARC apposta per Omnisend.
Verifica che funzioni davvero
Non fidarti solo del badge Verified della pagina Domains: Omnisend può far passare un dominio a Verified anche con un solo record valido, quindi conferma su un messaggio reale. Invia una campagna o un'email di prova a un account Gmail da un indirizzo del dominio autenticato, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com e DMARC: PASS. La riga SPF può mostrare mailgun.org come dominio controllato: è previsto (il Return-Path è di Mailgun) e va bene finché è il DKIM allineato a reggere il superamento di DMARC; il problema da tenere d'occhio è DKIM che firma con un dominio Mailgun/Omnisend anziché con il tuo, segno che i CNAME non hanno ancora effetto. Puoi controllare a campione i record grezzi con dig TXT yourdomain.com (SPF), dig CNAME s1._domainkey.yourdomain.com (DKIM, con i tuoi selettori reali: controllali entrambi) e dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF unito resti sotto il limite di 10 ricerche: è importante, perché il solo include:mailgun.org ne consuma 5. Quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Omnisend/Mailgun dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
include:mailgun.org è dispendioso: annida l'intera catena di Mailgun (mailgun.org → _spf.mailgun.org → _spf1/_spf2, più _spf.eu.mailgun.org) e costa 5 delle 10 ricerche DNS SPF consentite, metà del limite di RFC 7208. Se lo sommi a Google Workspace/Microsoft 365/un altro ESP puoi arrivare a un PermError. Chi invia solo dall'UE può limitarsi a include:eu.mailgun.org (2 ricerche) o include:_spf.eu.mailgun.org (1).
- Configurazione DNS
SPF autorizza ma non allinea. Omnisend/Mailgun gestisce i bounce tramite il proprio Return-Path su mailgun.org, e DMARC controlla SPF rispetto al dominio del Return-Path: questo record può quindi dare un pass grezzo allineandosi a mailgun.org, non a te. È DKIM (i CNAME, d=yourdomain.com) il meccanismo che regge davvero DMARC. Non saltarlo pensando che SPF basti.
- Configurazione DNS
Non modificare i CNAME DKIM e non omettere il secondo. Omnisend ti fornisce due CNAME: copia esattamente entrambi i selettori e le destinazioni, mantienili CNAME (non TXT), non aggiungere spazi, non spezzare né “sistemare” il valore. Un solo carattere alterato rompe la firma, e l'assenza del secondo CNAME la rompe alla successiva rotazione delle chiavi di Omnisend.
- Configurazione DNS
Il proxy di Cloudflare rompe i CNAME DKIM: impostali entrambi su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve nella destinazione di Omnisend e la verifica fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: i registrar che aggiungono automaticamente il dominio trasformano s1._domainkey in s1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta, tranne su GoDaddy, che vuole il selettore completo, incluso ._domainkey.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice. Se invii già tramite Shopify, Google Workspace, Microsoft 365, ecc., unisci include:mailgun.org a quell'unica riga v=spf1: due record SPF sono un PermError.
- Configurazione DNS
Non puoi inviare da un indirizzo From pubblico e gratuito. Non controlli le chiavi DKIM di gmail.com, yahoo.com o outlook.com, quindi una campagna Omnisend inviata “da” uno di questi non supera l'allineamento DMARC: Yahoo pubblica p=reject e la scarta, e Gmail contrasta con rigore lo spoofing del proprio dominio. Invia invece dal tuo dominio personalizzato autenticato.
- Copertura
Verificare il DNS non cambia le campagne esistenti. Imposta l'indirizzo From di audience, form e automazioni sul dominio autenticato, altrimenti la posta continua a partire con la vecchia identità non allineata.
Crea il tuo record SPF
Omnisend è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Omnisend: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.