SPF, DKIM e DMARC per OVHcloud.
OVHcloud è insieme registrar, provider DNS e provider di posta, quindi per la maggior parte dei clienti OVH SPF, DKIM e DMARC si configurano tutti nello stesso OVHcloud Control Panel, spesso con procedure in un clic. La piattaforma di posta condivisa di OVH (l'MX Plan gratuito incluso con un dominio, l'MX Plan a pagamento, Email Pro e Hosted Exchange) autentica SPF con un vero include condiviso, include:mx.ovh.com, e, novità relativamente recente, con un DKIM in un clic da attivare nella dashboard del prodotto di posta. Questa guida ti accompagna nei percorsi esatti del pannello, nella forma dei record generati da OVH e nel record DMARC che devi comunque aggiungere tu.
Perché autenticare OVHcloud?
Autenticare il tuo dominio ospitato su OVH non è una formalità: decide se le tue email raggiungono la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme. Anche sotto quella soglia, la posta non autenticata di una casella OVH finisce nello spam o viene scartata senza avviso, e l'assenza di una policy DMARC lascia il tuo dominio esposto allo spoofing. Il vantaggio di OVH è che tutti e tre i record stanno dove si trova già il tuo dominio: l'SPF include:mx.ovh.com si allinea al tuo dominio, il DKIM in un clic firma come d=yourdomain.com e una policy DMARC aggiunta sopra completa il quadro, quindi un dominio OVH configurato correttamente supera i controlli senza problemi con Gmail, Yahoo e Microsoft.
Come funziona davvero SPF con OVHcloud
OVHcloud è un vero provider SPF “include”: mx.ovh.com è un vero record condiviso e il tuo SPF radice dovrebbe essere v=spf1 include:mx.ovh.com ~all. È il meccanismo raccomandato dalla stessa OVH, che nella procedura guidata di aggiunta voci della zona DNS offre un pulsante in un clic, “Use the SPF for OVHcloud web hosting”, che lo scrive per te. Qui conta più che per un ESP di marketing, perché le caselle OVH inviano con un MAIL FROM di busta sul tuo dominio, quindi SPF si ALLINEA davvero al tuo dominio organizzativo e contribuisce da solo a superare DMARC, non soltanto DKIM. Dietro le quinte, mx.ovh.com non è un semplice elenco ip4/ip6: autorizza i server in uscita di OVH soprattutto tramite DNS inverso, con due meccanismi ptr (ptr:mail-out.ovh.net e ptr:mail.ovh.net), affiancati da un paio di blocchi IPv4 e da un ?all neutro. Poiché ogni termine ptr è di per sé una ricerca DNS, l'include consuma tre delle tue dieci ricerche SPF (una per l'include più una per ogni ptr) invece di una, anche se non c'è una catena di include annidati e te ne restano sette per gli altri mittenti. Due cose da fare bene. Primo, OVH pubblica varianti regionali (mx.ovh.com è l'host standard; alcuni account della regione Canada hanno visto in passato mx.ovh.ca): usa quello che la procedura in un clic precompila per il tuo account invece di digitare l'host a mano. Secondo, sul dominio deve esserci esattamente un record TXT SPF: la procedura di OVH crea senza esitare un nuovo v=spf1 include:mx.ovh.com ~all, quindi se invii già tramite Google Workspace, Microsoft 365 o un ESP, non lasciarle aggiungere un secondo record SPF: unisci include:mx.ovh.com alla tua riga esistente (due record SPF sono un PermError). La procedura guidata di OVH ti fa scegliere la policy in caso di fallimento, softfail (~all) o hardfail (-all); tieni ~all finché non sei certo che ogni mittente legittimo sia elencato, poi passa a -all per la massima protezione dallo spoofing.
Due modi per configurarlo
Zona DNS ospitata su OVHcloud: configurazione automatica (consigliata)
- Un clic aggiunge v=spf1 include:mx.ovh.com tramite la procedura “Use the SPF for OVHcloud web hosting”
- Attivare DKIM scrive entrambi i CNAME dei selettori nella tua zona: nulla da incollare
- OVH custodisce e ruota automaticamente le chiavi DKIM sui due selettori
- Aggiungi tu solo il record DMARC
Nameserver esterni: record aggiunti a mano
- Aggiungi v=spf1 include:mx.ovh.com ~all come TXT presso il tuo provider DNS
- La finestra di attivazione DKIM ti fornisce due valori CNAME da incollare prima di fare clic su Enable
- Su Cloudflare, imposta i CNAME DKIM su “DNS only” (nuvola grigia) perché si risolvano
- Stesso include e stesso DMARC: cambia solo chi scrive i record
Passo dopo passo
- 1
Individua quale prodotto di posta OVH hai
SPF è identico per tutti e tre, ma il comando DKIM si trova in una scheda diversa a seconda del prodotto. MX Plan gratuito da 1 indirizzo e MX Plan a pagamento: Web Cloud > MX Plan. Email Pro: Web Cloud > Email Pro. Hosted Exchange: Web Cloud > Microsoft > Exchange. Annota quale usi prima di iniziare.
- 2
Apri la tua zona DNS
Nell'OVHcloud Control Panel vai in Web Cloud > Domain names, seleziona il tuo dominio, apri la scheda DNS zone e fai clic su Add an entry in alto a destra.
- 3
Usa la procedura SPF di OVH in un clic
Scegli il tipo di record SPF, poi spunta “Use the SPF for OVHcloud web hosting”: OVH compila v=spf1 include:mx.ovh.com. Per ora lascia la policy in caso di fallimento su ~all (softfail) e fai clic su Save. IMPORTANTE: se hai già un record TXT SPF (Google, Microsoft 365, un ESP), NON crearne un secondo: annulla la procedura e modifica invece il record esistente aggiungendo include:mx.ovh.com.
- 4
Apri il comando DKIM del tuo prodotto
Per MX Plan, apri il tuo dominio in Web Cloud > MX Plan e guarda la scheda General information: lo stato DKIM appare come un badge rosso. (Email Pro / Exchange: apri invece la scheda Associated domains, dove lo stesso badge DKIM rosso compare accanto al dominio.)
- 5
Attiva DKIM
Fai clic sul badge DKIM rosso, poi su Validate/Enable. Se la zona DNS del dominio è ospitata su OVH nello stesso account, OVH scrive automaticamente i due CNAME dei selettori. Se i tuoi nameserver sono esterni, la finestra mostra due valori CNAME: aggiungili entrambi presso il tuo provider DNS, poi fai clic su Enable (non attivare prima che siano al loro posto).
- 6
Attendi che il badge diventi verde
L'attivazione automatica di DKIM richiede da 30 minuti a un massimo di 24 ore, il tempo di pubblicare e propagare le chiavi. Il badge passa da rosso a verde quando OVH conferma che i selettori si risolvono. OVH crea due selettori (…-selector1 e …-selector2) per poter ruotare le chiavi in seguito senza che tu tocchi il DNS.
- 7
Pubblica tu una policy DMARC
OVH non crea DMARC per te. Torna in DNS zone > Add an entry e aggiungi un record sul sottodominio _dmarc (la procedura guidata DMARC integrata di OVH è limitata a pochi tag, quindi un semplice record TXT è spesso la scelta migliore) con il valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none, così si limita a monitorare mentre confermi l'allineamento.
- 8
Conferma su un messaggio reale
Inviati un'email di prova dalla tua casella OVH, aprila in Gmail e scegli il menu a tre puntini > Show original. Devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, tutti con il tuo dominio. Poi analizza il dominio con un verificatore per confermare che ogni record si risolva.
Record da aggiungere
OVHcloud genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:mx.ovh.com ~allSPF radice: lo scrive la procedura in un clic di OVH. L'include si risolve nel record ptr/ip4 di OVH e conta per 3 delle tue 10 ricerche SPF. Se hai già un record SPF (Google, Microsoft 365, un ESP), unisci include:mx.ovh.com a quello invece di aggiungerne un secondo. |
| CNAME | ovhmo1234567-selector1._domainkey | ovhmo1234567-selector1._domainkey.1500.aj.dkim.mail.ovh.net.Selettore DKIM 1: valore illustrativo; prefisso e destinazione sono generati per ogni account (MX Plan usa ovhmo…, Email Pro ovhemp…, Exchange ovhex…). Mantieni il punto finale. |
| CNAME | ovhmo1234567-selector2._domainkey | ovhmo1234567-selector2._domainkey.1500.aj.dkim.mail.ovh.net.Selettore DKIM 2: la seconda chiave a cui OVH ruota automaticamente. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: questa la aggiungi tu; tienine esattamente una per dominio. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di OVHcloud.
OVHcloud occupa 3 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Su OVHcloud DKIM è un'opzione del pannello di controllo, non una chiave da incollare. Per MX Plan, apri Web Cloud > MX Plan > il tuo dominio > General information; lo stato DKIM appare come un badge rosso. Fai clic sul badge e scegli Validate: OVH crea due selettori, ovhmoXXXXXXX-selector1 e ovhmoXXXXXXX-selector2, come record CNAME che delegano all'infrastruttura di firma di OVH (le destinazioni hanno la forma ovhmoXXXXXXX-selector1._domainkey.NNNN.aj.dkim.mail.ovh.net., punto finale incluso). Poiché sono CNAME che puntano a OVH anziché chiavi TXT, è OVH a custodire le chiavi private e a ruotarle tra i due selettori per te: non copi mai una chiave pubblica e non rimetti mano al DNS. Se la zona DNS del dominio è ospitata su OVH nello stesso account, OVH scrive automaticamente entrambi i CNAME; se i tuoi nameserver sono esterni (Cloudflare, un altro registrar), la finestra di attivazione ti fornisce i due valori CNAME da aggiungere prima presso il tuo provider DNS, e solo dopo fai clic su Enable. L'attivazione richiede da 30 minuti a 24 ore e il badge passa da rosso a verde quando le chiavi si risolvono. Email Pro e Hosted Exchange funzionano allo stesso modo, ma con un percorso diverso (Web Cloud > Email Pro o Web Cloud > Microsoft > Exchange, poi la scheda Associated domains) e con i prefissi di selettore ovhemp… / ovhex…. Una precisazione: il DKIM in un clic per l'MX Plan gratuito/base è un'aggiunta relativamente recente, e le vecchie guide secondo cui “DKIM è disponibile solo su Exchange o Email Pro” non sono più attuali.
DMARC
OVHcloud non crea un record DMARC per te: lo aggiungi tu. Nella stessa procedura guidata DNS zone > Add an entry, aggiungi un record sul sottodominio _dmarc con il valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. OVH offre una voce DMARC dedicata (Add an entry > Mail records > DMARC), ma la sua procedura guidata espone solo una parte dei tag: scegliere invece un semplice record TXT ti dà il pieno controllo su p, sp, pct, rua e ruf. p=none è solo monitoraggio: raccoglie i report aggregati senza incidere sul recapito mentre confermi che la posta OVH superi SPF e DKIM con allineamento al tuo dominio. Dopo una o due settimane di report puliti, passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi, e indirizza rua a una casella che controlli davvero (o a un servizio di reportistica DMARC), così i report non si accumulano senza che nessuno li legga.
Verifica che funzioni davvero
Non fidarti solo del badge DKIM verde: conferma su un messaggio reale. Inviati un'email dalla tua casella OVH, aprila in Gmail e scegli il menu a tre puntini > Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con il tuo dominio, più DMARC: PASS. Preferisci un report scritto? Scrivi a check-auth@verifier.port25.com e riceverai in risposta un'analisi completa. Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che l'include mx.ovh.com, entrambi i CNAME dei selettori DKIM e il record _dmarc si risolvano correttamente e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: OVHcloud dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Copertura
Il DKIM di MX Plan è più recente di quanto creda il web. Per anni OVH ha offerto DKIM solo su Exchange ed Email Pro, e molti vecchi thread nei forum e guide di terzi sostengono ancora che MX Plan non possa farlo. Ora può: usa il badge in un clic nella scheda General information invece di provare a firmare esternamente.
- Configurazione DNS
L'include costa 3 ricerche SPF, non 1. mx.ovh.com autorizza i server di OVH soprattutto tramite DNS inverso: contiene due meccanismi ptr (ptr:mail-out.ovh.net, ptr:mail.ovh.net) più un paio di blocchi ip4, e ogni termine ptr conta come una ricerca DNS oltre all'include. Metti in conto tre delle tue dieci ricerche quando aggiungi altri mittenti.
- Configurazione DNS
La configurazione automatica funziona solo se la zona DNS è su OVH. OVH può scrivere i record SPF e DKIM per te solo quando la zona DNS del dominio si trova nello stesso account OVH. Se i tuoi nameserver puntano altrove (Cloudflare, GoDaddy, un altro registrar), devi incollare i due CNAME DKIM presso quel provider PRIMA di fare clic su Enable e aggiungere lì a mano il TXT SPF.
- Fa fallire l'autenticazione
Non ritrovarti mai con due record SPF. La procedura “Use the SPF for OVHcloud web hosting” di OVH crea un nuovo v=spf1 include:mx.ovh.com ~all. Se hai già un record SPF per Google Workspace, Microsoft 365 o un ESP, pubblicarne un secondo è un PermError: unisci invece include:mx.ovh.com al tuo unico record esistente.
- Configurazione DNS
Mantieni il punto finale nelle destinazioni DKIM. I valori CNAME di OVH terminano con un punto (…dkim.mail.ovh.net.) che li identifica come nomi completi. Alcuni pannelli DNS esterni richiedono quel punto e altri lo aggiungono da soli: fai attenzione a non trasformare la destinazione in …ovh.net.yourdomain.com.
- Configurazione DNS
Il proxy di Cloudflare rompe DKIM. Se il tuo DNS è su Cloudflare, i due CNAME dei selettori DKIM vanno impostati su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in dkim.mail.ovh.net e il badge resta rosso.
- Copertura
~all o -all. La procedura guidata SPF di OVH ti fa scegliere la policy in caso di fallimento; -all (hard fail) è la massima protezione dallo spoofing e il punto d'arrivo giusto, ma passa da ~all a -all solo quando sei certo che ogni fonte legittima che invia con il tuo dominio sia nel record SPF: altrimenti -all può far rimbalzare la tua stessa posta.
Crea il tuo record SPF
OVHcloud è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per OVHcloud: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.