SPF, DKIM e DMARC per Purelymail.
Purelymail è un provider di posta economico e attento alla privacy, che autentica il tuo dominio con un vero include SPF, DKIM delegato tramite CNAME e, cosa insolita, un record DMARC gestito da Purelymail. Nel portale Account Admin (purelymail.com/manage) aggiungi il tuo dominio e ricevi un elenco breve e fisso di record: un TXT di prova della proprietà, un MX, un TXT SPF basato su include:_spf.purelymail.com, tre CNAME DKIM e un CNAME DMARC. Pubblicali presso il tuo provider DNS, fai clic su “Check DNS records” e Purelymail invia e riceve usando il tuo dominio, con SPF e DKIM entrambi allineati. L'unica decisione da prendere con attenzione riguarda DMARC: accettare il CNAME p=reject gestito da Purelymail oppure pubblicare un tuo record, così i report arrivano a te.
Perché autenticare Purelymail?
Autenticare un dominio Purelymail non è una formalità: decide se la tua posta raggiunge la posta in arrivo e se qualcuno può fare spoofing a tuo nome. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di pubblicare anche DMARC con allineamento; Yahoo si è adeguata alle stesse regole nello stesso mese e nel 2025 Microsoft ha iniziato ad applicarle su Outlook.com/Hotmail/Live. Finché i record non sono attivi, la posta che invii tramite Purelymail è attribuibile solo debolmente al tuo dominio, DMARC non può essere superato e un dominio registrato ma non protetto è banale da falsificare. Una volta configurato, Purelymail è in una posizione insolitamente solida: poiché invia con il tuo dominio come mittente della busta (Return-Path), SPF si allinea al tuo dominio organizzativo e DKIM firma come d=yourdomain.com, quindi entrambi i meccanismi vengono superati con allineamento, non solo DKIM come con la maggior parte degli ESP. Inoltre il DMARC gestito di Purelymail nasce con p=reject, che blocca attivamente la posta falsificata non appena il record si risolve. Il rovescio della medaglia è che una policy p=reject rifiuta anche qualsiasi mittente legittimo che dimentichi di autenticare, quindi questa configurazione premia chi imposta tutti e tre i record con attenzione.
Come funziona davvero SPF con Purelymail
Purelymail è un vero provider “include”: non è un ESP con delega CNAME (Mailchimp, Klaviyo) né un relay che possiede il Return-Path. Aggiungi un meccanismo condiviso, include:_spf.purelymail.com, all'unico record TXT SPF sul dominio radice; il record completo è v=spf1 include:_spf.purelymail.com ~all. Due aspetti rendono questo SPF davvero efficace. Il primo: l'include si risolve in un record piatto che contiene solo tre indirizzi ip4 e il proprio ~all (verificato in tempo reale: v=spf1 ip4:34.202.193.197 ip4:54.89.13.140 ip4:3.231.132.23 ~all), senza include annidati, quindi costa esattamente UNA delle tue 10 ricerche DNS SPF, non le due o tre che alcuni strumenti di controllo ipotizzano. Il secondo: a differenza della maggior parte delle piattaforme di invio, Purelymail usa il tuo dominio come mittente SMTP della busta quando invii come you@yourdomain.com, quindi SPF si ALLINEA davvero al tuo dominio organizzativo e contribuisce da solo al superamento di DMARC, insieme a DKIM. Purelymail pubblica ~all (softfail), non -all, che è il valore predefinito sensato mentre confermi che ogni mittente sia elencato. Valgono le solite regole: tieni esattamente un record TXT SPF sul dominio radice (se invii anche tramite Google Workspace, Microsoft 365 o un relay transazionale, unisci ogni include in quell'unica riga v=spf1 invece di pubblicare un secondo record SPF: avere due record SPF è un PermError) ed elimina ogni SPF rimasto da un precedente host di posta.
Due modi per configurarlo
Il tuo record DMARC (TXT): controllo + report
- Pubblichi v=DMARC1; p=none; rua=mailto:you@yourdomain.com e ricevi direttamente i report aggregati
- Ti permette la progressione p=none → quarantine → reject dopo aver confermato che ogni mittente si allinea
- Sicuro quando invii anche da uno strumento per newsletter, un CRM o un modulo del sito: li vedi nei report prima di applicare la policy
- Necessario se usi qualsiasi mittente oltre a Purelymail o vuoi visibilità su chi invia posta a nome del tuo dominio
DMARC gestito da Purelymail (CNAME): manutenzione zero
- Un singolo CNAME (_dmarc → dmarcroot.purelymail.com) dà subito un p=reject applicato, senza manutenzione
- Purelymail mantiene aggiornata la policy per te; non modifichi mai il record
- I report di errore vanno a dmarc@purelymail.com, non a te: nessuna visibilità aggregata (rua) sul tuo dominio
- p=reject si applica immediatamente, quindi QUALSIASI mittente che non hai autenticato viene rifiutato senza appello, non solo Purelymail
Passo dopo passo
- 1
Apri la pagina Add Domain
Accedi al portale Account Admin su purelymail.com/manage, fai clic su Domains nella barra di navigazione in alto, poi su Add New Domain e inserisci il tuo dominio (es. yourdomain.com).
- 2
Copia l'elenco di record mostrato da Purelymail
La pagina di configurazione elenca tutto ciò che serve per questo account: il valore TXT purelymail_ownership_proof, un MX (mailserver.purelymail.com), il TXT SPF, tre CNAME DKIM (purelymail1/2/3._domainkey) e il CNAME DMARC. Copia esattamente il valore di proprietà: è univoco per il tuo dominio.
- 3
Aggiungi il TXT di proprietà ed elimina i vecchi record
Presso il tuo registrar/provider DNS, aggiungi un record TXT sul dominio radice (Host @ o vuoto) con il valore purelymail_ownership_proof=…. Già che ci sei, elimina eventuali record MX e SPF rimasti da un provider di posta precedente, così non entrano in conflitto.
- 4
Aggiungi il record MX
Crea un record MX: Host @ (o vuoto), valore mailserver.purelymail.com, priorità 50. È l'unico MX di cui Purelymail ha bisogno: rimuovi tutti gli altri, così la posta in entrata non si divide tra più provider.
- 5
Aggiungi o unisci il TXT SPF
Aggiungi un record TXT sul dominio radice: v=spf1 include:_spf.purelymail.com ~all. Se esiste già un record v=spf1 per un altro mittente, unisci l'include a quell'unico record invece di creare un secondo TXT SPF.
- 6
Aggiungi i tre CNAME DKIM
Crea tre record CNAME: purelymail1._domainkey → key1.dkimroot.purelymail.com, purelymail2._domainkey → key2.dkimroot.purelymail.com e purelymail3._domainkey → key3.dkimroot.purelymail.com. Mantienili come CNAME (non passare a TXT) e, su Cloudflare, imposta ciascuno su “DNS only” (nuvola grigia).
- 7
Aggiungi DMARC: scegli quello gestito o il tuo
Per l'opzione senza pensieri, aggiungi un CNAME _dmarc → dmarcroot.purelymail.com (la policy p=reject gestita da Purelymail). Se invii da altri servizi oltre a Purelymail o vuoi i tuoi report, salta il CNAME e aggiungi invece un TXT su _dmarc come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Puoi avere l'uno o l'altro, mai entrambi.
- 8
Fai clic su Check DNS records, poi completa la configurazione
Torna alla pagina di configurazione di Purelymail e fai clic su Check DNS records. Calcola ~15 minuti (fino a 24-48 ore) per la propagazione. Quando tutto è validato, imposta Deliver Mail To = Purelymail, se vuoi lascia attivo Allow Account Reset per il recupero, fai clic su Save, poi crea le caselle utente per il dominio.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un messaggio dal tuo nuovo indirizzo Purelymail a un account Gmail, aprilo e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e DMARC: PASS, tutti allineati al tuo dominio.
Record da aggiungere
Purelymail genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | purelymail_ownership_proof=xxxxxxxxxxxxxxxxxxxxValore di esempio: copia il valore esatto per il tuo dominio dalla pagina Add Domain. Necessario prima che Purelymail aggiunga il dominio. |
| MX | @ | mailserver.purelymail.comPriorità 50: l'unico MX usato da Purelymail. Prima elimina i record MX di eventuali provider precedenti. |
| TXT | @ | v=spf1 include:_spf.purelymail.com ~allSPF radice: tieni esattamente un record SPF; unisci gli altri mittenti. L'include si risolve in un record piatto da 3 IP = 1 ricerca DNS e si allinea perché il mittente della busta è il tuo dominio. |
| CNAME | purelymail1._domainkey | key1.dkimroot.purelymail.comChiave DKIM a rotazione 1 (gestita da Purelymail). Delega CNAME: mantienilo CNAME, “DNS only” su Cloudflare. |
| CNAME | purelymail2._domainkey | key2.dkimroot.purelymail.comChiave DKIM a rotazione 2: tutte e tre sono necessarie perché Purelymail firma con una delle tre chiavi che ruota. |
| CNAME | purelymail3._domainkey | key3.dkimroot.purelymail.comChiave DKIM a rotazione 3. |
| CNAME | _dmarc | dmarcroot.purelymail.comDMARC gestito da Purelymail (attualmente si risolve in v=DMARC1; p=reject; ruf=mailto:dmarc@purelymail.com). Usa questo OPPURE un tuo TXT _dmarc: un nome non può essere sia un CNAME sia un TXT. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Purelymail.
Purelymail occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Purelymail è delegato tramite CNAME su tre chiavi a rotazione, ed è per questo che pubblichi tre record anziché uno. Crea purelymail1._domainkey, purelymail2._domainkey e purelymail3._domainkey come CNAME che puntano rispettivamente a key1.dkimroot.purelymail.com, key2.dkimroot.purelymail.com e key3.dkimroot.purelymail.com. Poiché sono CNAME, non record TXT da incollare, Purelymail conserva le chiavi private e pubblica le chiavi pubbliche dietro quegli hostname dkimroot (ciascuno si risolve in un TXT v=DKIM1; k=rsa; p=… sul lato di Purelymail) e può ruotare tra le tre chiavi secondo la propria pianificazione senza che tu debba più modificare il DNS. È il senso stesso dell'approccio CNAME e il motivo per cui tutti e tre sono obbligatori: ogni messaggio è firmato con una delle tre chiavi, quindi se pubblichi un solo CNAME, circa due terzi della tua posta non supereranno DKIM. Le firme sono effettuate come d=yourdomain.com, quindi DKIM si allinea al tuo dominio organizzativo e soddisfa DMARC. Due note pratiche: non convertirli in record TXT (si interrompe la rotazione di Purelymail) e, se il tuo DNS è dietro Cloudflare, imposta ciascuno dei tre CNAME su “DNS only” (nuvola grigia), altrimenti il proxy nasconde la destinazione e DKIM non viene validato.
DMARC
DMARC è il punto in cui Purelymail fa qualcosa che la maggior parte dei provider non fa: offre una policy interamente gestita e fornita tramite CNAME. Se aggiungi _dmarc → dmarcroot.purelymail.com, attualmente quel CNAME si risolve in v=DMARC1; p=reject; ruf=mailto:dmarc@purelymail.com, una policy reject applicata che Purelymail mantiene per te. Per un dominio che invia solo tramite Purelymail è un bel vantaggio a manutenzione zero: ottieni subito una forte protezione contro lo spoofing e non tocchi mai il record. Prima di sceglierlo, però, valuta i compromessi. Primo: i report di errore/forensi (ruf) vanno alla casella di Purelymail e a te non arriva alcun report aggregato rua, quindi non hai nessuna visibilità su chi invia a nome del tuo dominio né sul fatto che una sorgente legittima stia fallendo. Secondo: p=reject si applica nel momento in cui si risolve, quindi la posta di qualsiasi altro mittente che usi (uno strumento per newsletter, un CRM, un relay per il modulo di contatto del sito, una piattaforma di marketing) verrà rifiutata senza appello se non è già autenticata e allineata al tuo dominio. Se invii da qualunque altro servizio oltre a Purelymail, o vuoi i tuoi report e un passaggio graduale e sicuro, pubblica invece un tuo record: un TXT su _dmarc come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, osserva i report aggregati per una o due settimane finché ogni mittente legittimo non supera i controlli con allineamento, poi passa a p=quarantine e infine a p=reject. Non puoi usare entrambi (un hostname può essere un CNAME o contenere record TXT, mai entrambe le cose, RFC 1034), quindi è una strada o l'altra. In ogni caso, tieni esattamente un record _dmarc per l'intero dominio organizzativo.
Verifica che funzioni davvero
Non affidarti solo alla spunta verde di “Check DNS records” di Purelymail: conferma su un messaggio reale. Invia un'email di prova dal tuo indirizzo Purelymail a un account Gmail, aprila e scegli ⋮ → Show original: devi vedere SPF: PASS (allineato a yourdomain.com, dato che Purelymail usa il tuo dominio come mittente della busta), DKIM: PASS con d=yourdomain.com e DMARC: PASS. Puoi controllare a campione i record grezzi anche da terminale: dig TXT _spf.purelymail.com deve mostrare i tre indirizzi ip4, dig CNAME purelymail1._domainkey.yourdomain.com deve puntare a key1.dkimroot.purelymail.com e dig TXT _dmarc.yourdomain.com deve restituire la tua policy DMARC (seguendo il CNAME se hai usato quella gestita). Poi analizza il dominio con il check-up del dominio di Qualisend per confermare che SPF resti a una ricerca, che tutti e tre i CNAME DKIM si risolvano e che DMARC sia presente. Se hai scelto il CNAME gestito, ricorda che i suoi report vanno a Purelymail: appena vuoi avere visibilità diretta, passa a un tuo record DMARC con un rua che punta a te e carica i report aggregati nell'analizzatore di report DMARC.
Insidie comuni
- Configurazione DNS
Qui DMARC è un CNAME, non un TXT, e non puoi avere entrambi. Se vuoi i tuoi report rua o un passaggio graduale da p=none a reject, NON aggiungere il CNAME _dmarc di Purelymail; pubblica invece un TXT _dmarc. Un hostname può essere un CNAME o contenere record TXT, mai entrambe le cose (RFC 1034), quindi mescolarli è un errore di configurazione che il tuo provider DNS rifiuterà.
- Copertura
Il DMARC gestito è p=reject e si applica immediatamente. Rifiuterà la posta legittima di qualsiasi mittente che non hai autenticato (uno strumento per newsletter, un CRM, un plugin per moduli o un relay transazionale), non solo di Purelymail. Autentica prima ogni mittente, oppure usa un tuo record p=none durante il passaggio graduale.
- Configurazione DNS
I report del DMARC gestito vanno a dmarc@purelymail.com e a te non arriva alcun report aggregato (rua). Non hai alcuna visibilità su chi invia posta a nome del tuo dominio. Pubblica un tuo DMARC con rua= se vuoi i report.
- Configurazione DNS
Tutti e tre i CNAME DKIM sono obbligatori. Purelymail firma ogni messaggio con una di tre chiavi a rotazione, quindi pubblicando solo purelymail1._domainkey i messaggi firmati con le chiavi 2 e 3 non superano DKIM. Aggiungi tutti i purelymail1/2/3._domainkey.
- Fa fallire l'autenticazione
Elimina vecchi MX e SPF di eventuali provider precedenti. Un MX rimasto divide la posta in entrata tra più host e un secondo record TXT SPF è un PermError. Tieni esattamente un MX (mailserver.purelymail.com, priorità 50) e un TXT SPF.
- Configurazione DNS
Il proxy di Cloudflare rompe i CNAME. Imposta i tre CNAME DKIM e (se usato) il CNAME DMARC su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve negli host dkimroot/dmarcroot di Purelymail e la validazione non riesce.
- Configurazione DNS
Copia esattamente la prova di proprietà. Purelymail non aggiunge il dominio finché il TXT purelymail_ownership_proof non si risolve; un valore troncato o modificato fa fallire senza avvisi il passaggio “Check DNS records”.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire purelymail1._domainkey.yourdomain.com produce purelymail1._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (purelymail1._domainkey, _dmarc, @) se il pannello aggiunge il dominio per te.
Crea il tuo record SPF
Purelymail è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Purelymail: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Rackspace Email
- Titan
- Yandex 360
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
- Google Workspace
- mailbox.org
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.