Skip to content
Inizia con 100 crediti di verifica gratuiti
Qualisend
Guida alla configurazione SPF

SPF, DKIM e DMARC per Proton Mail.

Proton Mail autentica un dominio personalizzato dalla sezione Domain names delle impostazioni dell'account, che ti guida attraverso cinque schede DNS in ordine (Verify, MX, SPF, DKIM e DMARC), ciascuna con un controllo in tempo reale a spunta verde che osserva il tuo DNS. A differenza di un ESP per grandi volumi, Proton è il vero host della tua casella, quindi “inviare come tuo dominio” significa qui la posta di tutti i giorni da you@yourdomain.com. SPF è un vero include condiviso (include:_spf.protonmail.ch) da unire all'unico record SPF sul dominio radice; DKIM è composto da tre record CNAME che permettono a Proton di pubblicare e ruotare automaticamente chiavi a 2048 bit firmate come tuo dominio; DMARC è un record di policy che Proton ti mostra ma non scrive mai nel tuo DNS. Un prerequisito che la maggior parte delle guide salta: i domini personalizzati richiedono un piano Mail a pagamento (Mail Plus, Proton Unlimited, Proton Family/Duo o Proton for Business). Con un account gratuito non puoi aggiungerne uno.

Include SPF
Your DNSAdd the CNAME / TXT records
Proton MailSigns & sends as your domain
The inboxSPF · DKIM · DMARC pass

Perché autenticare Proton Mail?

Autenticare il tuo dominio Proton decide se la tua posta raggiunge o meno la posta in arrivo: la privacy è l'argomento di vendita di Proton, ma privacy non significa autenticazione, e i server riceventi ti valutano in base ai record, non alle intenzioni. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail. Anche per una casella personale o di una piccola azienda con pochi invii, un dominio personalizzato Proton non autenticato riceve un avviso “via”, non supera DMARC e scivola verso lo spam; peggio ancora, lascia il tuo dominio esposto allo spoofing, perché non hai pubblicato nulla che dica al mondo quali server possono inviare a tuo nome. C'è un motivo specifico di Proton per cui tutto ciò conta ancora di più: Proton possiede e gestisce il Return-Path SMTP della tua posta in uscita e non ti permette di personalizzarlo, quindi non puoi contare su SPF per l'allineamento al tuo dominio. Per questo è DKIM, che Proton firma come d=yourdomain.com, il meccanismo che ti fa davvero superare DMARC. Configura tutti e tre e la tua posta sarà crittograficamente tua, l'etichetta “via” sparirà, DMARC verrà superato con DKIM allineato e la reputazione che costruisci si accumulerà sul tuo dominio.

Come funziona davvero SPF con Proton Mail

Proton Mail è un vero provider “include”: aggiungi un meccanismo condiviso, include:_spf.protonmail.ch, all'unico record TXT SPF sul dominio radice; il record completo è v=spf1 include:_spf.protonmail.ch ~all. È un vero include condiviso (tutti i clienti Proton con dominio personalizzato usano lo stesso), a differenza degli ESP con delega CNAME. Costa una sola ricerca DNS verso il limite di 10 della RFC 7208, e Proton consiglia esplicitamente di terminare con ~all (softfail) anziché -all, così la posta da un server che hai dimenticato di elencare viene segnata come sospetta invece di essere rifiutata in modo netto. C'è però un'avvertenza importante specifica di Proton: poiché Proton controlla il mittente della busta / Return-Path della tua posta in uscita e non ti dà modo di puntarlo al tuo dominio (nessun sottodominio di invio in stile em come in SendGrid, nessun Return-Path personalizzato), NON devi contare sul fatto che SPF si allinei al tuo dominio per DMARC. Considera che include:_spf.protonmail.ch svolge due compiti utili (autorizzare gli IP in uscita di Proton e soddisfare il controllo SPF grezzo) e affidati a DKIM come meccanismo allineato, dato che Proton firma ogni messaggio con d=yourdomain.com. Tieni esattamente un record TXT SPF sul dominio: se invii anche tramite Google Workspace, Microsoft 365 o uno strumento per newsletter, unisci tutti i meccanismi in quell'unica riga v=spf1 invece di pubblicare un secondo record SPF (avere due record SPF è di per sé un PermError). E ogni sottodominio di invio ha bisogno del proprio SPF: il record su yourdomain.com non copre mail.yourdomain.com.

Passo dopo passo

In Proton
  1. 1

    Conferma il piano a pagamento e aggiungi il dominio

    I domini personalizzati richiedono un piano Mail a pagamento (Mail Plus, Proton Unlimited, Proton Family/Duo o un piano Proton for Business); gli account gratuiti non possono aggiungerne. Accedi e vai in Settings → All settings → Domain names (nei piani Business è in Organization → Domain names). Fai clic su Add domain, inserisci yourdomain.com e Proton apre la procedura guidata con le schede Verify / MX / SPF / DKIM / DMARC.

Nel tuo DNS
  1. 2

    Aggiungi il record TXT di verifica della proprietà

    Nella scheda Verify, Proton mostra un record TXT il cui valore è protonmail-verification=<un codice univoco per il tuo dominio>. Aggiungilo presso il tuo provider DNS come record TXT sul dominio radice (host @ o vuoto), poi torna indietro e lascia che Proton ricontrolli: la scheda mostra una spunta verde appena rileva il record. Lascia questo record al suo posto: rimuoverlo in seguito può annullare la verifica del dominio.

  2. 3

    Punta gli MX su Proton

    Nella scheda MX, aggiungi due record MX sul dominio radice (@): mail.protonmail.ch con priorità 10 e mailsec.protonmail.ch con priorità 20. Elimina eventuali record MX rimasti da un provider precedente, oppure assicurati che quelli di Proton abbiano i numeri di priorità più bassi, così la posta in entrata viene instradata a Proton. Gli MX riguardano la ricezione, non l'autenticazione, ma la procedura guidata di Proton li richiede e fanno parte di una configurazione pulita.

  3. 4

    Aggiungi o unisci il record SPF

    Nella scheda SPF, Proton mostra v=spf1 include:_spf.protonmail.ch ~all. Aggiungilo come record TXT sul dominio radice (@). Se esiste già un record v=spf1 per un altro mittente, non crearne un secondo: unisci include:_spf.protonmail.ch a quell'unica riga esistente, tenendo un solo ~all alla fine.

In Proton
  1. 5

    Mostra i valori dei tre CNAME DKIM

    Apri la scheda DKIM (nei piani Business: Domain names → your domain → Review → DKIM). Proton mostra tre coppie host/valore sui selettori protonmail, protonmail2 e protonmail3. Copiale tutte e tre esattamente: i valori di destinazione contengono un identificatore univoco per il tuo dominio.

Nel tuo DNS
  1. 6

    Pubblica i tre CNAME DKIM

    Crea tre record CNAME: host protonmail._domainkey → protonmail.domainkey.<hash>.domains.proton.ch, protonmail2._domainkey → protonmail2.domainkey.<hash>.domains.proton.ch e protonmail3._domainkey → protonmail3.domainkey.<hash>.domains.proton.ch, usando le destinazioni esatte mostrate da Proton. Mantieni il tipo CNAME (non TXT) e, se il tuo registrar aggiunge un punto finale o il nome del tuo dominio al valore, correggilo in modo che la destinazione corrisponda esattamente.

  2. 7

    Pubblica il record DMARC

    Nella scheda DMARC, aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così nulla cambia nel recapito mentre confermi che DKIM si allinei; la raccomandazione di Proton per la maggior parte dei domini è poi di salire a p=quarantine. Tieni un solo record _dmarc per l'intero dominio.

In Proton
  1. 8

    Attiva il tuo indirizzo e impostalo come predefinito

    Dopo la verifica delle schede, assicurati di avere davvero un indirizzo sul dominio: Settings → Identity and addresses → Addresses. Crea o attiva you@yourdomain.com e impostalo come predefinito, così la posta in uscita viene inviata (e firmata con DKIM) come tuo dominio personalizzato e non come il tuo indirizzo originale proton.me / pm.me.

Verifica
  1. 9

    Controlla le spunte verdi, poi prova un messaggio reale

    Ogni scheda passa alla spunta verde quando Proton rileva il record corrispondente (di solito in pochi minuti, fino a 48 ore). Non fermarti qui: invia un messaggio a un account Gmail, aprilo e usa ⋮ → Show original per confermare DKIM: PASS con d=yourdomain.com e DMARC: PASS. Poi analizza il dominio con un check-up del dominio per confermare che ogni record si risolva.

Record da aggiungere

Proton Mail genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

TipoHostValore
TXT@protonmail-verification=abcdef1234567890abcdef1234567890Verifica della proprietà dalla scheda Verify: valore di esempio, il tuo codice è univoco. Tienilo pubblicato.
MX@mail.protonmail.chServer di posta principale in entrata, priorità 10. Ricezione, non autenticazione.
MX@mailsec.protonmail.chServer di posta di riserva in entrata, priorità 20. Elimina i vecchi record MX o tieni per quelli di Proton i numeri di priorità più bassi.
TXT@v=spf1 include:_spf.protonmail.ch ~allSPF radice: tieni esattamente un record SPF; unisci questo include se hai già una riga v=spf1. Costa 1 ricerca DNS. Proton consiglia ~all.
CNAMEprotonmail._domainkeyprotonmail.domainkey.d3nc4x7wj5x2z.domains.proton.chSelettore DKIM 1 (a rotazione automatica). Valore di esempio: copia la destinazione esatta dalla scheda DKIM di Proton; l'hash d… è univoco per il tuo dominio.
CNAMEprotonmail2._domainkeyprotonmail2.domainkey.d3nc4x7wj5x2z.domains.proton.chSelettore DKIM 2. Tutti e tre sono necessari per la rotazione automatica delle chiavi di Proton.
CNAMEprotonmail3._domainkeyprotonmail3.domainkey.d3nc4x7wj5x2z.domains.proton.chSelettore DKIM 3. Valore di esempio: usa il valore esatto mostrato nella scheda DKIM.
TXT_dmarcv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: uno per dominio. Parti da p=none; Proton consiglia di salire a p=quarantine.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Proton Mail.

SPF 10-lookup budget1 used · 9 free

Proton Mail occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

DKIM è il punto in cui Proton fa qualcosa di davvero diverso dalla maggior parte degli host di caselle, ed è la parte che conta di più per la tua deliverability. Invece di una chiave TXT statica da incollare, Proton ti fa pubblicare tre record CNAME sui selettori protonmail._domainkey, protonmail2._domainkey e protonmail3._domainkey, ciascuno diretto a protonmail{,2,3}.domainkey.<hash>.domains.proton.ch (l'<hash> è un identificatore univoco per il tuo dominio). Poiché sono CNAME delegati a Proton, non chiavi in mano tua, Proton conserva le chiavi private e usa i tre selettori per ruotare automaticamente nuove chiavi a 2048 bit (circa ogni sei mesi) senza che tu debba più modificare il DNS: c'è sempre una chiave attiva che firma la posta, mentre le altre vengono ritirate e rigenerate in background. Ecco perché sono obbligatori tutti e tre: se ne pubblichi solo uno, prima o poi la rotazione lascia la tua posta firmata da una chiave che il tuo DNS non espone e DKIM inizia a fallire senza alcun avviso. Mostra i tre valori nella scheda DKIM (Domain names → your domain → Review → DKIM), pubblicali esattamente come appaiono e attendi la spunta verde della scheda; quando Proton li rileva, inizia a firmare ogni messaggio in uscita con d=yourdomain.com. Quella firma si allinea al tuo dominio organizzativo ed è ciò che ti fa superare DMARC, un aspetto particolarmente importante con Proton, dove non puoi contare sull'allineamento SPF. Due note operative: se in passato hai configurato DKIM alla vecchia maniera con un record TXT manuale protonmail._domainkey, elimina quel TXT prima di aggiungere i CNAME, così non entrano in conflitto; e su Cloudflare, imposta ogni CNAME su “DNS only” (nuvola grigia), altrimenti non si risolve nell'host di Proton.

DMARC

DMARC è un record di policy separato che pubblichi tu: Proton lo mostra nella scheda DMARC ma non lo scrive mai nel tuo DNS. Aggiungi un record TXT su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che la tua posta Proton supera DKIM con allineamento al tuo dominio. Dopo aver osservato i report per una o due settimane, quando ogni sorgente legittima si autentica, stringi la policy: le indicazioni di Proton sono di salire a p=quarantine come impostazione consigliata per la maggior parte dei domini, e a p=reject per i domini di alto valore che richiedono la protezione più forte contro lo spoofing (il livello usato da Yahoo, PayPal ed eBay). Procedi però con gradualità: Proton avverte esplicitamente che quarantine/reject possono compromettere l'inoltro delle email e le mailing list, perché un messaggio inoltrato perde SPF e dipende interamente da un DKIM che resti intatto. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi; i sottodomini ereditano la policy del dominio padre (puoi sovrascriverla per un singolo sottodominio con un suo record _dmarc o con il tag sp=). Poiché Proton firma DKIM allineato come d=yourdomain.com, un dominio Proton configurato correttamente supera DMARC con DKIM anche quando SPF non si allinea: è proprio per questo che non devi saltare i CNAME DKIM.

Verifica che funzioni davvero

Non fidarti solo delle spunte verdi delle schede: confermano solo che i record si risolvono, non che la tua posta si autentichi end-to-end. Invia una vera email di prova dal tuo indirizzo con dominio personalizzato a un account Gmail, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com (il selettore attivo sarà protonmail, protonmail2 o protonmail3, a seconda del punto in cui si trova la rotazione) e DMARC: PASS. Di solito anche SPF risulta superato, ma controlla se è allineato al tuo dominio o al Return-Path di Proton: se si allinea solo DKIM, è normale su Proton e DMARC viene comunque superato con DKIM. Un rapido secondo parere: invia un messaggio a un indirizzo Mail-Tester, che dovrebbe dare 10/10 con SPF e DKIM entrambi verdi. Puoi controllare a campione i record grezzi con dig CNAME protonmail._domainkey.yourdomain.com, dig TXT yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che l'include SPF, tutti e tre i CNAME DKIM e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC per confermare che Proton compaia come sorgente allineata che supera i controlli.

Insidie comuni

  • Copertura

    I domini personalizzati richiedono un piano Proton Mail a pagamento (Mail Plus, Proton Unlimited, Proton Family/Duo o Proton for Business). Con un account gratuito non puoi aggiungere né autenticare un dominio: è la prima cosa da controllare se la sezione Domain names non ti lascia proseguire.

  • Configurazione DNS

    Non affidarti a SPF per DMARC su Proton. Proton controlla il Return-Path in uscita e non ti dà modo di personalizzarlo, quindi SPF potrebbe non allinearsi al tuo dominio. DKIM, firmato come d=yourdomain.com tramite i tre CNAME, è il meccanismo che ti fa superare DMARC. Non saltare mai DKIM.

  • Configurazione DNS

    Tutti e tre i CNAME DKIM sono obbligatori. Proton ruota chiavi a 2048 bit tra i selettori protonmail, protonmail2 e protonmail3; se ne pubblichi solo uno, prima o poi la rotazione lascia la posta in uscita firmata da una chiave che il tuo DNS non espone, quindi DKIM inizia a fallire senza alcun avviso settimane dopo.

  • Configurazione DNS

    Il valore del CNAME DKIM deve corrispondere esattamente. Molti registrar aggiungono un punto finale o il tuo dominio, trasformando la destinazione in qualcosa che il controllo di Proton rifiuta: correggilo in modo che coincida esattamente con la procedura guidata, altrimenti la spunta verde non appare mai.

  • Configurazione DNS

    Stai migrando dal vecchio DKIM basato su TXT? Elimina il vecchio record TXT protonmail._domainkey prima di aggiungere i CNAME. Un TXT obsoleto e il nuovo CNAME sullo stesso host entrano in conflitto e DKIM non viene validato.

  • Configurazione DNS

    Su Cloudflare, imposta ogni CNAME DKIM su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in *.domains.proton.ch e la verifica non riesce: è un'insidia molto comune di Proton su Cloudflare.

  • Fa fallire l'autenticazione

    Tieni esattamente un record TXT SPF. Se invii anche tramite Google Workspace, Microsoft 365 o uno strumento per newsletter, unisci include:_spf.protonmail.ch all'unica riga v=spf1: due record SPF sono un PermError. E ogni sottodominio di invio ha bisogno dei propri SPF, DKIM e DMARC.

Crea il tuo record SPF

Proton Mail è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.

1

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Selezionati
Guida →
2

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

3

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

4

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

Il tuo record SPF1/10 ricerche DNS
v=spf1 include:_spf.protonmail.ch ~all
  • Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
  • Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
  • Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per Proton Mail: domande frequenti

Sì: Proton è un vero provider “include”. Aggiungi include:_spf.protonmail.ch all'unico record SPF sul dominio radice, terminando con ~all: v=spf1 include:_spf.protonmail.ch ~all. Autorizza i server in uscita di Proton e supera il controllo SPF grezzo. Però non contare sul fatto che si allinei per DMARC: su Proton quel compito spetta a DKIM.

Di solito perché SPF non è allineato. Proton possiede il Return-Path, quindi SPF grezzo può essere superato mentre il dominio controllato non corrisponde al tuo dominio From, e in quel caso SPF non contribuisce in alcun modo a DMARC. Su Proton è normale: DMARC deve essere superato con DKIM. Conferma DKIM: PASS con d=yourdomain.com; se fallisce, assicurati che tutti e tre i CNAME dei selettori protonmail siano pubblicati e diventati verdi.

No. A differenza di un ESP per grandi volumi, Proton non ti permette di impostare un Return-Path personalizzato o un sottodominio di invio in stile em, quindi il mittente della busta resta sul dominio di Proton e SPF autentica quello, non il tuo indirizzo From. Non è un errore di configurazione che puoi correggere: Proton funziona così. DKIM, che Proton firma come d=yourdomain.com, è ciò che si allinea al tuo dominio e ti fa superare DMARC, quindi pubblicare tutti e tre i CNAME DKIM è irrinunciabile.

Così Proton può conservare le chiavi private e ruotarle per te. I tre selettori (protonmail, protonmail2, protonmail3) permettono a Proton di ritirare e rigenerare automaticamente chiavi a 2048 bit, circa ogni sei mesi, mantenendone sempre una attiva, quindi non tocchi più il DNS. Un singolo CNAME smetterebbe di funzionare appena la rotazione spostasse la firma su un selettore che il tuo DNS non espone, e il tuo DKIM (quindi anche il superamento di DMARC) inizierebbe a fallire senza alcun avviso. Pubblicali tutti e tre esattamente come appaiono nella scheda DKIM e su Cloudflare imposta ciascuno su “DNS only” (nuvola grigia).

Sì. I domini personalizzati sono una funzione Mail a pagamento: li includono i piani Mail Plus, Proton Unlimited, Proton Family/Duo e Proton for Business (Mail Plus copre un dominio; i livelli superiori ne coprono di più). Un account Proton gratuito non può aggiungere né autenticare alcun dominio: è la prima cosa da controllare se la sezione Domain names non ti lascia continuare.

Unisci, non sovrapporre. Sul dominio puoi avere un solo record SPF, quindi metti il meccanismo di ogni mittente su un'unica riga v=spf1, ad esempio v=spf1 include:_spf.protonmail.ch include:_spf.google.com ~all, e tieni un solo ~all alla fine. Due record TXT SPF separati sono un PermError che compromette SPF per tutti. Ogni mittente firma comunque il proprio DKIM in modo indipendente, quindi DMARC può essere superato con il meccanismo che si allinea al tuo dominio.

Letture correlate

Altri provider: Workspace e caselle

Tutte le guide SPF
Monitora ogni giorno SPF, DKIM e DMARC di Proton MailConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominioSPF: troppe query DNS. Come contarle e correggere il permerror

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare