SPF, DKIM e DMARC per Pipedrive.
Pipedrive autentica il tuo dominio all'interno di Campaigns, il suo add-on per le email di massa, con un flusso basato su CNAME: non devi incollare una riga SPF condivisa. Quando aggiungi un dominio in Campaigns > Settings > Domain authentication e fai clic su Get DNS records, Pipedrive genera un piccolo gruppo di record unici per il tuo dominio: un CNAME Return-Path/SPF più due CNAME DKIM che delegano la firma alla piattaforma di invio di Pipedrive (LeaderSend), e ti invita a pubblicare un record DMARC. Quando questi record si risolvono e fai clic su Refresh status, Campaigns può inviare con il tuo dominio, la tua posta supera il controllo DMARC eseguito dai server riceventi e la reputazione di invio matura a tuo favore anziché nel pool condiviso di Pipedrive. Due cose da chiarire subito. Primo, tutto questo vale solo per Campaigns: le normali email del CRM, cioè i messaggi che sincronizzi e invii da un deal o da un contatto, partono dalla tua casella Gmail o Microsoft 365 collegata e sono autenticate dagli SPF/DKIM/DMARC di quella casella, quindi non richiedono alcun record DNS di Pipedrive. Secondo, autenticare il dominio non equivale ad avere il permesso di inviare: Pipedrive ti fa verificare anche il singolo indirizzo del mittente (From) prima che una campagna possa partire.
Perché autenticare Pipedrive?
Autenticare il tuo dominio Campaigns è ciò che decide se le tue email di massa raggiungono la posta in arrivo. Le campagne sono per definizione invii di massa, e da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento; nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail. La trappola specifica di Pipedrive è più insidiosa di altre: se il tuo dominio pubblica già una policy DMARC p=quarantine o p=reject (come fanno sempre più domini) e invii una campagna senza autenticare, la posta di Pipedrive non supera il controllo DMARC e i server riceventi la mandano nello spam o la bloccano del tutto (la documentazione di Pipedrive avverte che con una policy quarantine la posta finisce nella cartella spam e con reject viene bloccata). Finché non autentichi, Campaigns invia dall'infrastruttura condivisa di Pipedrive con un Return-Path sul dominio di Pipedrive, quindi il tuo indirizzo From crittograficamente non è tuo, DMARC non può essere superato sul tuo dominio e la tua reputazione è in comune con quella di tutti gli altri mittenti Campaigns non autenticati. Aggiungere i CNAME risolve il problema: Pipedrive firma con chiavi DKIM allineate al tuo dominio, DMARC viene superato e la reputazione di invio che costruisci è tua.
Come funziona davvero SPF con Pipedrive
Pipedrive Campaigns è un provider di autenticazione del dominio basato su CNAME, quindi NON c'è alcun include:spf.pipedrive.com da incollare nel tuo record SPF radice. Quando esegui l'autenticazione del dominio, Pipedrive genera un CNAME Return-Path/SPF su un sottodominio del tuo dominio (il record che le sue pagine di aiuto chiamano “key and return path” SPF) che si risolve nello spazio autorizzato dall'SPF di Pipedrive: aggiungi quel solo CNAME, non un include condiviso. C'è una sfumatura importante che fa di DKIM il pilastro dell'autenticazione: la piattaforma di invio di Pipedrive (marchio Pipedrive/LeaderSend) imposta il Return-Path della busta su uno dei PROPRI domini, quindi SPF autentica ma non si allinea al tuo dominio organizzativo. La piattaforma di Pipedrive non offre alcun modo di allineare SPF, quindi il superamento di DMARC dipende interamente dall'allineamento di DKIM: è proprio per questo che i due CNAME DKIM forniti da Pipedrive sono i record che fanno davvero superare il controllo, e che devi aggiungerli entrambi, non uno solo. Il vantaggio del modello CNAME: aggiunge ZERO ricerche DNS al tuo SPF radice (non c'è nulla da unire), quindi non intacca mai il limite di 10 ricerche del RFC 7208, anche se usi già Google Workspace, Microsoft 365 e uno strumento di marketing. Tieni esattamente un record TXT SPF sul dominio radice per quegli altri mittenti e non aggiungerne un secondo né un include:spf.pipedrive.com superfluo: l'SPF di Pipedrive lo gestisce il CNAME.
Due modi per configurarlo
Autentica il tuo dominio (consigliato)
- Pipedrive firma con chiavi DKIM allineate al tuo dominio, quindi le campagne superano DMARC
- Aggiunge zero ricerche DNS al tuo SPF radice: non c'è nulla da unire
- Pipedrive custodisce le chiavi private e ruota DKIM per te dietro i due CNAME
- In pratica necessario se il tuo dominio pubblica p=quarantine o p=reject
Invia senza autenticare (predefinito di Pipedrive)
- La posta parte dall'infrastruttura condivisa di Pipedrive con un Return-Path sul dominio di Pipedrive
- Il tuo indirizzo From non si allinea, quindi DMARC non può essere superato sul tuo dominio
- Se il tuo dominio ha una policy DMARC, le campagne vengono messe in quarantena o bloccate
- La reputazione è in comune con quella di tutti gli altri mittenti Campaigns non autenticati
Passo dopo passo
- 1
Conferma di avere Campaigns attivo
L'autenticazione del dominio si trova in Campaigns, l'add-on a pagamento di Pipedrive per le email di massa, non nelle impostazioni email generali. Se invii solo email CRM individuali che si sincronizzano tramite la tua casella Gmail o Microsoft 365, non ti serve nessuno di questi record: quella posta è autenticata dal tuo provider di posta. Questa guida riguarda la funzione Campaigns.
- 2
Apri Domain authentication
Vai in Campaigns > Settings > Domain authentication e fai clic su + Domain sul lato destro. Qui Pipedrive prepara le chiavi DKIM e il Return-Path per il tuo dominio. Puoi autenticare fino a 20 domini per account aziendale.
- 3
Inserisci il dominio e genera i record
Digita il tuo dominio di invio (yourdomain.com: usa il dominio del tuo indirizzo From, senza il prefisso www o https://) e fai clic su Get DNS records (Generate DNS records in alcuni account). Pipedrive mostra ora i nomi e i valori esatti da aggiungere: un CNAME Return-Path/SPF e due CNAME DKIM, tutti unici per il tuo dominio, più il record DMARC da pubblicare. Lascia aperta questa schermata.
- 4
Aggiungi il CNAME Return-Path / SPF
Presso il tuo provider DNS, crea il record SPF “key and return path” come CNAME: Host/Name = l'etichetta del sottodominio indicata da Pipedrive, Value = la destinazione esatta mostrata. È questo a gestire SPF per la posta di Pipedrive: non cambiarlo in un record A o TXT.
- 5
Aggiungi i due CNAME DKIM
Crea entrambi i record dei selettori DKIM esattamente come li mostra Pipedrive, ciascuno come CNAME che punta alla sua destinazione Pipedrive. Aggiungili ENTRAMBI: sono i record che si allineano al tuo dominio e reggono il superamento di DMARC, e il secondo selettore permette a Pipedrive di ruotare le chiavi. Non incollarli come record TXT: qui DKIM è delegato tramite CNAME, quindi non copi mai una chiave pubblica.
- 6
Disattiva il proxy di Cloudflare
Se il tuo DNS è su Cloudflare (o su qualsiasi provider con proxy), imposta tutti questi CNAME su “DNS only”: nuvola grigia, non arancione. Un CNAME con proxy attivo (nuvola arancione) devia la ricerca e la verifica fallisce. Fai attenzione anche al dominio duplicato nel campo host: inserisci solo l'etichetta del sottodominio se il tuo registrar aggiunge automaticamente yourdomain.com.
- 7
Pubblica il record DMARC
Pipedrive ti chiede DMARC ma non lo crea. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla mentre confermi l'allineamento. Se Pipedrive mostra anche un record TXT di identificazione aziendale (un record anti-impersonificazione che lega il dominio alla tua azienda su Pipedrive), aggiungi anche quello esattamente come indicato.
- 8
Aggiorna lo stato in Pipedrive
La propagazione del DNS può arrivare a 48 ore (di solito molto meno). Torna alla schermata Domain authentication e fai clic su Refresh status: ogni record ottiene un segno di spunta verde man mano che si risolve e il dominio risulta autenticato. Se un record continua a fallire dopo 48 ore, quasi sempre si tratta di un CNAME con proxy attivo, di un host duplicato o di un record salvato con il tipo sbagliato.
- 9
Verifica l'indirizzo del mittente (From)
Autenticare il dominio è una cosa, avere il permesso di inviare un'altra. In Campaigns devi anche verificare lo specifico indirizzo del mittente da cui invierai: Pipedrive invia un'email di conferma a quell'indirizzo. Finché il mittente non risulta verificato, il dominio può apparire autenticato e tuttavia non potrai selezionarlo nel menu a tendina del mittente della campagna.
- 10
Invia una campagna di prova e leggi le intestazioni
Invia una piccola campagna di prova a un indirizzo Gmail che controlli, aprila e scegli il menu a tre puntini > Show original. Conferma DKIM: PASS con firma di yourdomain.com (non pipedrive.com) e DMARC: PASS. Quel dominio di firma è la vera prova che la configurazione è attiva.
Record da aggiungere
Pipedrive genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | pd-return | psrp.pipedrive.comRecord Return-Path / SPF “key and return path”: è questo a gestire SPF per la posta di Pipedrive. Valore solo illustrativo: copia il nome e la destinazione esatti che Pipedrive genera per il tuo dominio. |
| CNAME | pd1._domainkey | dkim1.yourcompanyid.pipedrive.comChiave DKIM 1: delegata a Pipedrive. Valore illustrativo; il vero nome del selettore e la destinazione sono generati per ogni dominio, quindi usa il valore esatto mostrato da Pipedrive. |
| CNAME | pd2._domainkey | dkim2.yourcompanyid.pipedrive.comChiave DKIM 2: il secondo selettore permette a Pipedrive di ruotare le chiavi. Valore illustrativo; copia il valore esatto. Aggiungi ENTRAMBI i CNAME DKIM, non uno solo. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo pubblichi tu: Pipedrive te lo chiede ma non lo crea mai. Un record DMARC per dominio; parti da p=none, poi rendi più rigida la policy. |
| TXT | @ | pipedrive-verification=your-company-tokenTXT di identificazione aziendale: ad alcuni account viene chiesto di aggiungere anche questo record anti-impersonificazione che lega il dominio alla tua azienda su Pipedrive. Valore illustrativo; aggiungilo solo se la schermata di Pipedrive lo elenca, usando il valore esatto mostrato. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Pipedrive.
La configurazione consigliata di Pipedrive aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è il meccanismo che fa davvero funzionare l'autenticazione Pipedrive, perché è quello che si allinea al tuo dominio. Pipedrive ti fornisce due record CNAME di selettore (a titolo illustrativo pd1._domainkey e pd2._domainkey, ma i nomi esatti dei selettori sono generati per ogni dominio), ciascuno dei quali punta a una destinazione Pipedrive. Poiché sono CNAME, e non record TXT da incollare, è Pipedrive a custodire le chiavi private e a usare i due selettori per ruotare le chiavi pubblicate senza che tu debba mai rimettere mano al DNS: non crei mai un record TXT DKIM né copi una chiave pubblica. Aggiungi entrambi i selettori esattamente come mostrati. Due aspetti specifici di Pipedrive contano. Primo, qui DKIM è il pilastro dell'autenticazione: poiché il Return-Path di Pipedrive si trova sul suo dominio di invio e la piattaforma non offre modo di allineare SPF, il superamento di DMARC dipende dall'allineamento di DKIM. Se salti un CNAME DKIM, DMARC può fallire senza avvisi anche se il dominio risulta “authenticated”. Secondo, se il tuo DNS è dietro Cloudflare, imposta entrambi i record dei selettori su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve nell'host di Pipedrive e la verifica fallisce. Quando entrambi si risolvono e fai clic su Refresh status, Campaigns firma la tua posta con una firma che riporta d=yourdomain.com.
DMARC
DMARC è un record di policy separato sul tuo dominio radice che Pipedrive ti chiede di pubblicare ma non crea: lo pubblichi tu presso il tuo provider DNS. Aggiungi un record TXT su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati, così puoi confermare che la posta Campaigns superi DKIM con allineamento al tuo dominio prima di rendere più rigida la policy. DMARC conta così tanto con Pipedrive per il rovescio della medaglia: se il tuo dominio pubblica GIÀ p=quarantine o p=reject e invii una campagna senza prima autenticare, la posta non allineata di Pipedrive non supera la tua stessa policy DMARC e i server riceventi la mandano nello spam o la bloccano, quindi autentica prima di inviare, non dopo che la posta inizia a rimbalzare. Osserva i report rua per una o due settimane finché Pipedrive non compare come sorgente allineata che supera i controlli, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungere mai un secondo record DMARC apposta per Pipedrive.
Verifica che funzioni davvero
Non fidarti solo dei segni di spunta verdi nella schermata Domain authentication di Pipedrive: confermano che i record si risolvono, non che la posta sia allineata. Verificalo su un messaggio reale: invia una piccola campagna di prova a un indirizzo Gmail che controlli, aprila e scegli il menu a tre puntini > Show original. Devi vedere DKIM: PASS con la firma di yourdomain.com (non pipedrive.com) e DMARC: PASS. Se DKIM mostra d=pipedrive.com o DMARC fallisce, i CNAME DKIM non si risolvono ancora sul tuo dominio. In Pipedrive, la pagina Domain authentication dovrebbe mostrare ogni record con un segno di spunta verde dopo il clic su Refresh status. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il CNAME Return-Path, entrambi i selettori DKIM e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Pipedrive dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Copertura
Solo Campaigns, non la sincronizzazione email del CRM: questi record servono per l'add-on Campaigns per le email di massa. Le email individuali che sincronizzi e invii da un deal o da un contatto passano dalla tua casella Gmail/Microsoft 365 collegata e sono autenticate da quella casella: non richiedono record di Pipedrive.
- Configurazione DNS
DKIM è il pilastro dell'autenticazione, quindi aggiungi ENTRAMBI i CNAME DKIM. Poiché il Return-Path di Pipedrive è sul suo dominio e la piattaforma non può allineare SPF, il superamento di DMARC dipende interamente da DKIM. Saltare un selettore può far fallire DMARC anche quando il dominio risulta “authenticated”.
- Copertura
Autenticare il dominio non equivale a verificare il mittente. Pipedrive ti fa confermare anche il singolo indirizzo From in Campaigns (invia un'email con un link di conferma) prima che quel mittente compaia nel menu a tendina della campagna: un dominio autenticato con un mittente non verificato non può comunque inviare.
- Configurazione DNS
Il proxy di Cloudflare rompe la verifica: imposta ogni CNAME di Pipedrive su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) devia la ricerca e il record non viene mai verificato.
- Copertura
Se il tuo dominio ha già una policy DMARC p=quarantine o p=reject, una campagna NON autenticata finisce nello spam o viene bloccata. Autentica il dominio prima di inviare la prima campagna, non dopo che la posta inizia a rimbalzare.
- Configurazione DNS
Non aggiungere include:spf.pipedrive.com al tuo SPF radice. Pipedrive è basato su CNAME: l'SPF lo gestisce il CNAME Return-Path. Un include di troppo è inutile, consuma senza motivo una delle tue 10 ricerche SPF e non è la procedura supportata.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, trasformando pd1._domainkey.yourdomain.com in pd1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta del sottodominio indicata da Pipedrive se il pannello aggiunge il dominio per te.
- Configurazione DNS
Aspetta fino a 48 ore e fai clic su Refresh status: Pipedrive ricontrolla su richiesta, non automaticamente. Se i record falliscono ancora dopo 48 ore, la causa è quasi sempre un CNAME con proxy attivo, un host duplicato o un record salvato con il tipo sbagliato (A/TXT invece di CNAME).
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice per i tuoi altri mittenti. Avere due record SPF è di per sé un PermError, ma il CNAME di Pipedrive non aggiunge nulla a quel record, quindi per Pipedrive non c'è nulla da unire.
Crea il tuo record SPF
Pipedrive non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Pipedrive: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.