SPF, DKIM e DMARC per Postmark.
Postmark autentica il tuo dominio dall'area Sender Signatures → Domains a livello di account e, cosa insolita per un provider che tecnicamente ha un “include SPF”, deliberatamente NON vuole che tu incolli una riga SPF condivisa sul dominio radice. Aggiungi invece due record che stanno sul tuo dominio: una chiave DKIM in un record TXT su un selettore assegnato da Postmark e un CNAME Return-Path personalizzato (pm-bounces.yourdomain.com → pm.mtasv.net). Una volta verificati entrambi, Postmark invia a nome del tuo dominio, con DKIM firmato da te e SPF superato su un Return-Path allineato, quindi DMARC viene superato senza problemi e tu non pubblichi mai include:spf.mtasv.net sul dominio radice.
Perché autenticare Postmark?
Postmark è un provider nato per la posta transazionale (reimpostazione password, ricevute, conferme d'ordine, codici monouso), quindi il posizionamento nella posta in arrivo non è un dettaglio estetico: è l'intero prodotto. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF, DKIM e DMARC con allineamento (con applicazione rigorosa per i mittenti di grandi volumi, circa 5.000+ messaggi al giorno), e nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme. Se invii tramite Postmark senza verificare il dominio, Postmark può comunque recapitare, ma i messaggi hanno una firma DKIM del dominio di Postmark e viaggiano con un Return-Path su pm.mtasv.net, quindi né DKIM né SPF si allineano al tuo indirizzo From. Con DMARC p=none è tollerato, ma nel momento in cui tu (o chiunque altro su un dominio padre condiviso) passi a p=quarantine o p=reject, la posta di Postmark non allineata finisce in quarantena o rimbalza. La verifica del dominio risolve tutto con due record: DKIM si allinea al tuo dominio, il Return-Path personalizzato allinea anche SPF, DMARC viene superato con entrambi e la reputazione di invio che costruisci si accumula sul tuo dominio, non sull'infrastruttura condivisa di Postmark.
Come funziona davvero SPF con Postmark
Postmark ha davvero un include SPF condiviso (l'host è include:spf.mtasv.net, dove mtasv è il dominio dell'infrastruttura di trasferimento della posta di Postmark), ma ha deliberatamente smesso di chiedere ai clienti di aggiungerlo al dominio radice e, per quasi tutti, è la scelta giusta. Ecco perché: SPF viene validato sul Return-Path (il MAIL FROM della busta), non sul tuo indirizzo From visibile. Per impostazione predefinita, il Return-Path di Postmark sta sul suo dominio (pm.mtasv.net), quindi SPF viene già superato, ma per il dominio di Postmark, che NON si allinea al tuo dominio From e quindi non può aiutare DMARC. Aggiungere include:spf.mtasv.net al tuo SPF RADICE non risolve il problema, perché nel Return-Path non compare il tuo dominio radice: l'include resterebbe lì a consumare una ricerca senza alcun vantaggio. La mossa giusta è un Return-Path personalizzato: aggiungi un CNAME su pm-bounces.yourdomain.com che punta a pm.mtasv.net. Quel sottodominio eredita l'SPF pubblicato da Postmark (una ricerca DNS in tempo reale conferma che pm.mtasv.net pubblica v=spf1 include:spf.mtasv.net -all) più i record MX per i bounce, quindi lì SPF viene superato E il Return-Path si trova ora sul tuo dominio organizzativo: di conseguenza SPF si allinea per DMARC. In sintesi: l'include condiviso (spf.mtasv.net) esiste, ma la configurazione moderna consigliata di Postmark è un CNAME Return-Path personalizzato più una chiave DKIM in TXT, senza aggiungere nulla al tuo SPF radice. Vale la pena toccare l'include solo nel raro caso in cui invii proprio dal dominio radice tramite Postmark e voglia un'autorizzazione esplicita lì, e anche in quel caso Postmark dice che non è obbligatorio.
Due modi per configurarlo
CNAME Return-Path personalizzato + DKIM (consigliato)
- Aggiungi una chiave DKIM in TXT e un CNAME pm-bounces → pm.mtasv.net; sul tuo SPF radice non va nulla
- SPF viene superato E si allinea perché il Return-Path è ora sul tuo dominio, quindi DMARC viene superato sia con SPF sia con DKIM
- Aggiunge zero ricerche DNS al tuo record SPF radice: non c'è nulla da unire
- È esattamente ciò che la dashboard di Postmark ti chiede di fare: è il percorso supportato
Aggiungere include:spf.mtasv.net al tuo SPF radice (superfluo)
- Dovresti incollare tu stesso v=spf1 a mx include:spf.mtasv.net ~all sul dominio radice
- Postmark dice esplicitamente che NON è obbligatorio, e non serve a nulla per l'allineamento
- Sul dominio radice non può aiutare DMARC, perché il Return-Path usato da Postmark non è il tuo dominio radice
- Può avere senso solo se invii direttamente dal dominio radice tramite Postmark; altrimenti consuma una ricerca senza alcun vantaggio
Passo dopo passo
- 1
Apri Sender Signatures → Domains
Accedi su account.postmarkapp.com, apri Sender Signatures dal menu dell'account, poi passa alla scheda Domains. Verificare l'intero dominio (non solo un singolo mittente confermato) è ciò che dà l'allineamento SPF/DKIM a ogni indirizzo del tuo dominio.
- 2
Aggiungi il dominio
Fai clic su Add Domain e inserisci yourdomain.com. Postmark crea il set di record e apre la pagina DNS Settings del dominio, dove le righe DKIM e Return-Path restano in attesa di verifica.
- 3
Copia il record DKIM
Nella pagina DNS Settings, individua la riga DKIM: un record TXT il cui Hostname è un selettore assegnato da Postmark che termina con pm._domainkey (ad esempio 20260727pm._domainkey) e il cui Value è una lunga chiave v=DKIM1; k=rsa; p=…. Selettore e chiave sono univoci per il tuo dominio.
- 4
Copia il record Return-Path
Nella sezione Return-Path, individua il CNAME: l'Hostname predefinito è pm-bounces (cioè pm-bounces.yourdomain.com) e il Value è pm.mtasv.net. È il record che allinea SPF al tuo dominio. Puoi cambiare l'etichetta pm-bounces, ma deve restare un CNAME verso pm.mtasv.net.
- 5
Aggiungi il record TXT DKIM
Nel tuo provider DNS, crea un record TXT. Host = il selettore mostrato da Postmark (es. 20260727pm._domainkey), Value = la stringa completa v=DKIM1;…, incollata esattamente. Postmark emette chiavi a 2048 bit, quindi il valore è lungo: leggi l'insidia sulla suddivisione se il tuo pannello impone un limite di 255 caratteri per stringa.
- 6
Aggiungi il CNAME Return-Path
Crea un record CNAME: Host = pm-bounces, Value = pm.mtasv.net. Non aggiungere altri record (né TXT né A) sul sottodominio pm-bounces: un CNAME non può coesistere con altri tipi di record sullo stesso nome.
- 7
Non toccare il tuo SPF radice
NON aggiungere include:spf.mtasv.net al tuo SPF radice. Non è obbligatorio e non serve a nulla per l'allineamento. Se hai già un record SPF radice per altri mittenti (Google Workspace, Microsoft 365, ecc.), lascialo com'è: il CNAME pm-bounces gestisce l'SPF di Postmark sul proprio sottodominio.
- 8
Pubblica o mantieni un solo record DMARC
Se non hai ancora DMARC, aggiungi un record TXT su _dmarc con il valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Se ne hai già uno, lascialo: devi sempre avere un unico record _dmarc per l'intero dominio.
- 9
Fai clic su Verify in Postmark
Torna alla pagina DNS Settings del dominio e fai clic su Verify accanto a DKIM e Return-Path. Di solito la propagazione richiede pochi minuti, ma può arrivare a 24-48 ore; entrambe le righe diventano verdi quando i record si risolvono.
- 10
Invia una vera email di prova e usa Show original
Dopo la verifica, invia un'email di prova tramite Postmark da un indirizzo del tuo dominio, aprila in Gmail e usa ⋮ → Show original. Devi vedere SPF: PASS e DKIM: PASS, entrambi con yourdomain.com (non mtasv.net), più DMARC: PASS.
Record da aggiungere
Postmark genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | 20260727pm._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC…Chiave DKIM. Il selettore (l'etichetta YYYYMMDDpm._domainkey) e la chiave sono univoci per il tuo dominio: copia i valori esatti dalla pagina DNS Settings di Postmark. Con 2048 bit, potrebbe essere necessario suddividerla in stringhe tra virgolette. |
| CNAME | pm-bounces | pm.mtasv.netReturn-Path personalizzato. È ciò che fa SUPERARE SPF e lo ALLINEA per DMARC: eredita l'SPF di Postmark (verificato in tempo reale: pm.mtasv.net pubblica v=spf1 include:spf.mtasv.net -all) e l'MX per i bounce da pm.mtasv.net. Su questo sottodominio tieni solo il CNAME. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: un record per dominio, separato da Postmark. Parti da p=none per monitorare. |
| TXT | @ | v=spf1 a mx include:spf.mtasv.net ~allNON obbligatorio e non consigliato: non aggiungerlo. Postmark ha smesso di chiederlo; sul dominio radice non serve a nulla per l'allineamento del Return-Path. È mostrato solo per farti riconoscere il vecchio include, se lo trovi già presente. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Postmark.
La configurazione consigliata di Postmark aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
In Postmark, DKIM è un record TXT che pubblichi tu, non una delega CNAME come in SendGrid o Mailchimp. Postmark ti assegna un selettore basato sulla data che termina con pm._domainkey (ad esempio 20260727pm._domainkey) e genera una chiave RSA a 2048 bit; tu crei un record TXT con quell'Hostname e incolli il valore completo v=DKIM1; k=rsa; p=… esattamente come appare nella pagina DNS Settings. Poiché è un record TXT con la chiave pubblica (la chiave privata resta a Postmark), Postmark non può ruotarla senza che tu te ne accorga come fa un provider con delega CNAME: offre invece un'azione manuale, Rotate DKIM Key, che genera una nuova chiave con un nuovo selettore e ti mostra un record in attesa da pubblicare; quando il nuovo TXT risulta verificato, Postmark passa alla nuova firma e puoi rimuovere quello vecchio. Ruotare periodicamente (un paio di volte l'anno è una cadenza ragionevole) è una buona abitudine. Punto importante: una chiave DKIM verificata basta da sola a far superare DMARC alla posta di Postmark, perché DKIM si allinea al tuo dominio; il Return-Path personalizzato ti dà in più l'allineamento SPF.
DMARC
DMARC è un record di policy separato sul tuo dominio radice: non fa parte dei record di Postmark. Tieni esattamente un record TXT _dmarc per l'intero dominio, a prescindere da quanti mittenti usi. Pubblicalo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non incide sul recapito mentre confermi che la posta di Postmark supera i controlli. Osserva i report aggregati (rua) per una o due settimane: con DKIM verificato vedrai Postmark elencato come allineato su DKIM e con controlli superati, e una volta attivo il Return-Path personalizzato pm-bounces risulterà allineato anche SPF. Solo quando Postmark (e ogni altro mittente legittimo) supera i controlli con allineamento conviene stringere a p=quarantine e infine a p=reject. Tieni presente l'interazione che Postmark stesso segnala: se il tuo dominio è a p=quarantine/reject e salti il Return-Path personalizzato, SPF non si allinea e ti affidi al solo allineamento DKIM, che funziona ma non ti lascia alcun paracadute SPF, quindi aggiungi il CNAME pm-bounces.
Verifica che funzioni davvero
Non fidarti solo dei badge verdi “Verified”: controlla su un messaggio reale. Inviati un'email di prova tramite Postmark da un indirizzo del tuo dominio, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con yourdomain.com (non mtasv.net), più DMARC: PASS. Controlla la riga Return-Path / mailed-by: deve indicare pm-bounces.yourdomain.com, la prova che il tuo Return-Path personalizzato sta facendo il suo lavoro. Preferisci una pagella? Analizza il dominio con il check-up del dominio di Qualisend per confermare che il TXT DKIM e il CNAME pm-bounces si risolvano, usa il controllo SPF/DKIM/DMARC per una lettura rapida dei record e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Postmark dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
Non aggiungere include:spf.mtasv.net al tuo SPF radice. Postmark ha deliberatamente smesso di chiederlo: sul dominio radice non serve a nulla per l'allineamento, perché il Return-Path usato da Postmark non è il tuo dominio radice. Aggiungi invece il CNAME Return-Path personalizzato pm-bounces.
- Copertura
L'host dell'include è spf.mtasv.net, non postmarkapp.com. MTASV è il dominio dell'infrastruttura di trasferimento della posta di Postmark; lì si trovano anche la destinazione del Return-Path (pm.mtasv.net) e il suo MX per i bounce.
- Configurazione DNS
Il sottodominio pm-bounces deve contenere solo il CNAME. Il DNS non consente a un CNAME di coesistere con altri tipi di record sullo stesso nome, quindi non mettere anche un record TXT o A su pm-bounces.yourdomain.com, altrimenti la verifica non riesce.
- Configurazione DNS
I valori DKIM a 2048 bit sono lunghi. Alcuni pannelli DNS limitano una stringa TXT a 255 caratteri e richiedono di suddividere la chiave in più stringhe tra virgolette: suddividila, non eliminare caratteri e non introdurre spazi di troppo nel valore p=.
- Configurazione DNS
Su Cloudflare, imposta il CNAME pm-bounces su “DNS only” (nuvola grigia). Un record con proxy attivo (nuvola arancione) non si risolve in pm.mtasv.net e la verifica del Return-Path non riesce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire 20260727pm._domainkey.yourdomain.com produce …yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (il selettore, oppure pm-bounces) se il pannello aggiunge il dominio per te.
- Copertura
Una singola Sender Signature confermata non è autenticazione del dominio: verifica un solo indirizzo From, ma non ti dà l'allineamento DKIM/SPF su tutto il dominio. Verifica l'intero dominio (DKIM + Return-Path) nella scheda Domains.
- Fa fallire l'autenticazione
Tieni esattamente un TXT SPF e un TXT _dmarc sul dominio radice. Se invii anche da altri provider, unisci i loro meccanismi in un unico record v=spf1: avere due record SPF è di per sé un PermError.
Crea il tuo record SPF
Postmark non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Postmark: domande frequenti
Letture correlate
Altri provider: Transazionali e API
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.