SPF, DKIM e DMARC per Rackspace Email.
Rackspace Email è il servizio di caselle ospitate di Rackspace Cloud Office (la trovi anche con il nome Rackspace Hosted Email) e si autentica con tre record DNS più un interruttore nel Cloud Office Control Panel: un record TXT SPF che aggiunge l'include condiviso di Rackspace (include:emailsrvr.com), una chiave DKIM che attivi nel pannello e pubblichi come record TXT, e una policy DMARC che aggiungi tu. L'insidia tipica di Rackspace, che condiziona tutta la configurazione: il suo SPF può dare un pass grezzo ma non può allinearsi al tuo dominio, quindi DKIM è l'unico meccanismo che fa superare DMARC. Su Rackspace attivare DKIM non è un optional: è il passaggio che regge tutto il resto.
Perché autenticare Rackspace Email?
Autenticare un dominio Rackspace Email decide se le tue email raggiungono la posta in arrivo, e Rackspace ha una particolarità strutturale che rompe DMARC senza dare nell'occhio se ti fermi a SPF. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook/Hotmail/Live, e anche i mittenti con volumi bassi vengono sempre più spesso valutati in base alla presenza di un'autenticazione valida. Il problema specifico di Rackspace: invia la tua posta in uscita con il mittente della busta (Return-Path, l'indirizzo di bounce) su uno dei propri domini e non ti dà alcun modo di impostare un Return-Path o un dominio di bounce personalizzato. Di conseguenza include:emailsrvr.com può far superare il controllo SPF grezzo, ma SPF non si allinea mai al dominio del tuo From: a DMARC non arriva nulla da SPF. L'unico meccanismo allineato che resta è DKIM firmato con il tuo dominio. Con DKIM attivo, DMARC viene superato grazie all'allineamento DKIM; la reputazione di invio che costruisci si accumula sul tuo dominio invece di finire nello stesso calderone di tutti i mittenti Rackspace non autenticati. Se lo salti, non hai alcuna autenticazione allineata.
Come funziona davvero SPF con Rackspace Email
Rackspace è un vero provider “include”: aggiungi un solo meccanismo condiviso, include:emailsrvr.com, all'unico record TXT SPF sul tuo dominio radice. Il record completo è v=spf1 include:emailsrvr.com ~all, e Rackspace consiglia il qualificatore ~all (softfail). È un include reale e ben fatto: il record SPF attivo di emailsrvr.com è un unico elenco piatto di intervalli ip4: che termina con ~all, senza sub-include annidati, quindi costa esattamente UNA delle tue 10 ricerche DNS SPF. Ecco però la parte che quasi tutti i tutorial su Rackspace saltano: pubblicare questo include NON fa superare DMARC. Rackspace invia ogni messaggio con il mittente della busta / Return-Path su uno dei propri domini (non sul tuo) e non offre alcuna opzione per un Return-Path o un dominio di bounce personalizzato. SPF viene sempre valutato su quel dominio della busta, quindi include:emailsrvr.com può dare un “pass” grezzo, ma non può mai ALLINEARSI al dominio organizzativo del tuo From, e DMARC conta SPF solo quando è allineato. Pubblica comunque include:emailsrvr.com (autorizza gli IP di invio di Rackspace e soddisfa i server riceventi che controllano un pass SPF grezzo), ma consideralo necessario, non sufficiente: DKIM firmato come d=yourdomain.com è l'unico meccanismo che ti fa superare DMARC. E tieni esattamente un record SPF: se invii anche tramite Google Workspace, Microsoft 365 o un ESP, unisci ogni meccanismo in quell'unica riga v=spf1 invece di pubblicare un secondo TXT SPF (avere due record SPF è un PermError).
Passo dopo passo
- 1
Accedi al Cloud Office Control Panel
Accedi al Rackspace Cloud Office Control Panel (cp.rackspace.com, raggiungibile da rackspace.com/login) come amministratore. Qui attivi DKIM; i record SPF e DMARC si aggiungono presso il provider DNS che gestisce la zona del tuo dominio, che può essere Rackspace oppure no.
- 2
Pubblica o unisci il record SPF
Dal tuo provider DNS aggiungi UN SOLO record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:emailsrvr.com ~all. Se esiste già un record v=spf1 (Google Workspace, Microsoft 365, uno strumento di marketing ecc.), non crearne un secondo: unisci include:emailsrvr.com a quell'unico record. Rackspace consiglia di terminare con ~all anziché con -all.
- 3
Apri Sender Authentication (DKIM)
Nella Home page del Cloud Office Control Panel, nella sezione Domains, fai clic sul link Sender Authentication (DKIM). Questo è il flusso DKIM specifico di Rackspace Email: non confonderlo con l'articolo generico di Rackspace su Cloud DNS, “create a DKIM TXT record”, in cui scegli tu il selettore.
- 4
Attiva DKIM per il tuo dominio
Seleziona il dominio da autenticare e fai clic su Enable DKIM. Rackspace genera una coppia di chiavi DKIM (conservando la chiave privata) e produce il record DNS con la chiave pubblica da pubblicare. Il selettore lo assegna Rackspace e lo mostra come parte del nome del record: non devi inventarne uno come nel flusso generico di Cloud DNS.
- 5
Copia TXT Record Key e Value (o lascia che Rackspace pubblichi in automatico)
Se il DNS del tuo dominio è ospitato da Rackspace, DKIM viene pubblicato automaticamente e puoi saltare il passaggio manuale sul DNS. Se il tuo DNS è altrove, Rackspace mostra una TXT Record Key (l'host, nel formato <selector>._domainkey.yourdomain.com) e un TXT Record Value (v=DKIM1; k=rsa; p=<public key>). Copiali entrambi esattamente.
- 6
Aggiungi il record TXT DKIM
Dal tuo provider DNS crea un record TXT: host = la TXT Record Key fornita da Rackspace (<selector>._domainkey), valore = il TXT Record Value (v=DKIM1; k=rsa; p=…). Deve restare un record TXT: Rackspace ti dà la chiave pubblica inclusa nel valore, non una delega CNAME. Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta <selector>._domainkey per evitare di duplicarlo.
- 7
Fai clic su Verify TXT Record
Torna nella pagina Sender Authentication (DKIM), attendi la propagazione del record (di solito pochi minuti, fino a 24-48 ore), poi fai clic su Verify TXT Record. Rackspace controlla il record pubblicato e solo allora inizia a firmare la tua posta in uscita con d=yourdomain.com. Una chiave generata ma non verificata non serve a nulla.
- 8
Aggiungi il record DMARC
Rackspace non crea DMARC per te. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così non cambia nulla mentre confermi che DKIM si allinea: qui è fondamentale, perché SPF non può salvare la posta Rackspace se irrigidisci la policy troppo presto.
- 9
Invia un'email di prova e leggi le intestazioni
Da una casella Rackspace del dominio inviati un'email al tuo indirizzo Gmail, apri il messaggio e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. SPF può risultare pass ma non allineato (busta su un dominio emailsrvr/Rackspace): su Rackspace è previsto; a far superare DMARC è l'allineamento DKIM.
Record da aggiungere
Rackspace Email genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:emailsrvr.com ~allSPF radice: tieni esattamente UN record SPF; unisci questo include se hai già una riga v=spf1. include:emailsrvr.com costa 1 ricerca DNS (un record ip4 piatto). Nota: autorizza gli IP di Rackspace ma NON si allinea: a far superare DMARC è DKIM. |
| TXT | <selector>._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ…(public key from the Control Panel)Valore di esempio: Rackspace genera il selettore e la chiave pubblica esatti quando fai clic su Enable DKIM. Si pubblica come record TXT (non come CNAME). Su Rackspace è l'unico meccanismo allineato ai fini di DMARC. Viene aggiunto in automatico se Rackspace ospita il tuo DNS. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Rackspace non lo crea mai. Uno per dominio; parti da p=none e non irrigidire la policy finché DKIM non è attivato e verificato. |
| MX | @ | mx1.emailsrvr.com (priority 10), mx2.emailsrvr.com (priority 20)Valore di esempio: instrada la posta in entrata verso Rackspace. Sono record di ricezione, non di autenticazione, ma fanno parte di una configurazione completa di Rackspace Email. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Rackspace Email.
Rackspace Email occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Su Rackspace DKIM è tutto, perché è l'unico meccanismo che può allinearsi al tuo dominio (SPF non può: vedi “Come funziona davvero SPF” qui sopra). Lo attivi nel Cloud Office Control Panel, non dal tuo provider DNS: Home page → Domains → Sender Authentication (DKIM) → seleziona il tuo dominio → Enable DKIM. A quel punto Rackspace genera una coppia di chiavi DKIM, conserva la chiave privata, assegna un selettore e produce il record con la chiave pubblica da pubblicare. Da qui due strade. Se il DNS del tuo dominio è ospitato da Rackspace, il record viene pubblicato automaticamente e hai finito dopo la verifica. Se il tuo DNS è altrove (un registrar, Cloudflare ecc.), Rackspace mostra una “TXT Record Key” (l'host, nel formato <selector>._domainkey.yourdomain.com) e un “TXT Record Value” (v=DKIM1; k=rsa; p=<your public key>): inseriscili in un unico record TXT dal tuo provider DNS, poi torna nel pannello e fai clic su Verify TXT Record, così Rackspace conferma che è attivo e inizia a firmare. Due cose distinguono il DKIM di Rackspace dai grandi provider con delega CNAME. La prima: è un record TXT statico con la chiave pubblica inclusa. A differenza di Microsoft 365 o della maggior parte degli ESP (SendGrid, Mailchimp e simili), che ti danno CNAME con cui ruotare le chiavi dietro le quinte senza che tu faccia nulla, Rackspace ti dà il valore effettivo della chiave, quindi se la rigeneri nel pannello devi ripubblicare il nuovo TXT. (Anche Google Workspace usa una chiave TXT come Rackspace, quindi a comportarsi diversamente sono i provider CNAME.) La seconda: pubblicare il record non basta, la firma inizia solo dopo il clic su Verify TXT Record. Storicamente le chiavi erano a 1024 bit; qualunque cosa generi il pannello, pubblicala esattamente come viene mostrata.
DMARC
DMARC è un record TXT di policy separato che pubblichi tu: Rackspace non lo crea. Aggiungilo su _dmarc.yourdomain.com partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli nei report aggregati (rua) che la tua posta Rackspace superi DKIM allineato al tuo dominio. Su Rackspace questo conta più che sulla maggior parte dei provider, perché l'autenticazione si regge su una gamba sola: qui SPF non può allinearsi, quindi DMARC si regge interamente su DKIM. La conseguenza è netta: NON andare oltre p=none finché DKIM non è attivato e verificato nel Control Panel. Se passi a p=quarantine o p=reject con DKIM spento (o non verificato), la tua posta Rackspace legittima non ha alcun meccanismo allineato e finirà in quarantena o verrà rifiutata, perché il pass grezzo di SPF non può salvarla. Quando Show original conferma DKIM: PASS con d=yourdomain.com su posta Rackspace reale, osserva i report per una o due settimane, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo; i sottodomini lo ereditano (per sovrascriverlo su uno specifico usa un suo record _dmarc o il tag sp=).
Verifica che funzioni davvero
Non fidarti del solo badge “verified” di DKIM nel Control Panel: controlla su un messaggio reale. Inviati un'email di prova da una casella Rackspace del dominio, aprila in Gmail e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. Aspettati che SPF mostri un pass NON allineato (la busta/Return-Path è su un dominio di proprietà di Rackspace): su Rackspace è normale ed è proprio il motivo per cui DKIM deve far superare DMARC; il segno inequivocabile di successo è DMARC: PASS attribuito a DKIM. Nel Control Panel, Sender Authentication (DKIM) deve mostrare il dominio come attivato e il record TXT come verificato. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che l'SPF, il TXT del selettore DKIM e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Rackspace / emailsrvr.com dovrebbe comparire come sorgente che supera i controlli con l'allineamento DKIM.
Insidie comuni
- Copertura
La trappola n. 1 di Rackspace: SPF non può MAI allinearsi. Rackspace mette il Return-Path/la busta sul proprio dominio e non offre un dominio di bounce personalizzato, quindi include:emailsrvr.com dà un pass grezzo ma non dà nulla a DMARC. DKIM firmato come d=yourdomain.com è l'unico meccanismo allineato: attivarlo è obbligatorio, non facoltativo.
- Configurazione DNS
Attivare DKIM richiede due azioni, non una: fai clic su Enable DKIM per generare la chiave, pubblica il record TXT, POI fai clic su Verify TXT Record. Rackspace inizia a firmare solo dopo la verifica: una chiave generata ma non verificata (o non pubblicata) continua a non superare alcun controllo.
- Configurazione DNS
Se Rackspace ospita il tuo DNS (i tuoi nameserver puntano a Rackspace), il pannello pubblica il record DKIM per te: non aggiungerlo anche a mano, o creerai un duplicato/conflitto. Se il tuo DNS è altrove, devi copiare tu TXT Record Key e Value nella tua zona.
- Copertura
Non andare oltre p=none in DMARC finché DKIM non è verificato. Poiché su Rackspace SPF non può allinearsi, una policy p=quarantine o p=reject con DKIM ancora spento manderà in quarantena o farà rifiutare la tua stessa posta legittima.
- Configurazione DNS
Il DKIM di Rackspace è un record TXT statico con la chiave pubblica inclusa, non un CNAME delegato a Rackspace come avviene con Microsoft 365 e la maggior parte degli ESP (SendGrid, Mailchimp ecc.). Rackspace non può ruotarla senza che tu faccia nulla, quindi se rigeneri la chiave nel pannello devi ripubblicare il nuovo valore TXT.
- Fa fallire l'autenticazione
Tieni esattamente UN record TXT SPF sul dominio. Se invii anche tramite Google Workspace, Microsoft 365 o un ESP, unisci include:emailsrvr.com a quell'unica riga v=spf1: avere due record SPF è di per sé un PermError.
- Copertura
Usa ~all, non -all (è la raccomandazione di Rackspace stessa), perché potresti inviare legittimamente anche con altri strumenti. Passa a -all solo quando ogni mittente è elencato nel tuo unico record SPF.
- Configurazione DNS
Per una casella non seguire l'articolo generico di Rackspace su Cloud DNS, “create a DKIM TXT record” (in cui inventi tu il selettore): chi usa Cloud Office/Rackspace Email deve seguire il flusso Sender Authentication (DKIM) → Enable DKIM del Control Panel, che genera selettore e chiave per te.
Crea il tuo record SPF
Rackspace Email è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Rackspace Email: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Titan
- Yandex 360
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
- Google Workspace
- mailbox.org
- Microsoft 365
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.