SPF, DKIM e DMARC per Salesforce.
Salesforce (Sales, Service e Platform Cloud) autentica il tuo dominio con tre elementi distinti e, da Spring '26, si rifiuta di inviare posta da un dominio che non hai verificato. SPF è un vero include condiviso (include:_spf.salesforce.com) da unire al tuo unico record SPF radice. DKIM è una coppia di record CNAME “selettore” che generi in Setup - DKIM Keys e poi attivi con Activate; creare una chiave DKIM attiva è anche il modo consigliato per soddisfare la nuova verifica del dominio di invio di Salesforce. DMARC è un quarto record, separato, che Salesforce non crea mai per te. L'insidia in cui cadono quasi tutti: Salesforce invia i bounce dal proprio dominio di Return-Path, quindi SPF non si allinea al tuo indirizzo From: è DKIM il meccanismo che fa davvero superare DMARC.
Perché autenticare Salesforce?
Autenticare la posta Salesforce non è più una formalità facoltativa: da Spring '26 (l'applicazione delle regole è iniziata il 9 marzo 2026 ed è proseguita gradualmente fino a fine aprile 2026) Salesforce blocca qualsiasi email, scritta da un utente o automatizzata, inviata da un dominio non verificato. Gli invii manuali falliscono nell'Email Composer con “Not allowed to send from an unauthorized domain”, mentre i flussi automatizzati falliscono senza alcun avviso, mostrando “550 5.7.1 Delivery not authorized, message discarded” solo nei tuoi Email Logs. Inoltre, da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com. Il comportamento predefinito di Salesforce rompe DMARC senza dare nell'occhio: imposta un Return-Path sul proprio dominio di bounce, quindi SPF autentica ma non si allinea al tuo indirizzo From, e di base sul tuo dominio non c'è alcuna firma DKIM. Un'email Salesforce apparentemente a posto può quindi fallire DMARC ovunque. Configurare una chiave DKIM risolve entrambi i problemi in un colpo solo: soddisfa il requisito di verifica del dominio e ti dà una firma allineata che fa superare DMARC, così la reputazione che costruisci si accumula sul tuo dominio invece di disperdersi sull'infrastruttura condivisa di Salesforce.
Come funziona davvero SPF con Salesforce
Salesforce core è un vero provider “include”: c'è un solo meccanismo condiviso reale, include:_spf.salesforce.com, da aggiungere all'unico record TXT SPF sul dominio radice, ad esempio v=spf1 include:_spf.salesforce.com ~all. Ma è bene avere chiaro cosa fa. L'include si risolve in v=spf1 exists:%{i}._spf.mta.salesforce.com -all, un record con macro exists che autorizza gli attuali IP di invio di Salesforce, e costa DUE delle tue 10 ricerche DNS SPF (una per l'include stesso, una per il meccanismo exists annidato). La sfumatura importante: aggiungere questo include autorizza Salesforce per SPF ma NON fa allineare SPF. Per impostazione predefinita Salesforce usa il proprio dominio come envelope-from / Return-Path (il suo dominio di gestione dei bounce), quindi il controllo SPF viene eseguito sul dominio di Salesforce, non sul tuo: SPF viene superato ma non si allinea al tuo indirizzo From visibile, e a DMARC non arriva nulla. Ecco perché qui DKIM non è facoltativo: DMARC ha bisogno di almeno un meccanismo allineato e su Salesforce quel meccanismo è DKIM. Pubblica comunque l'include (è la raccomandazione documentata di Salesforce e autorizza in modo pulito gli IP di invio), ma considera DKIM, non SPF, come ciò che ti fa superare DMARC.
Due modi per configurarlo
Chiave DKIM (consigliata)
- CNAME delegato a custdkim.salesforce.com, così Salesforce conserva e ruota le chiavi private
- Ti dà una firma DKIM allineata, il meccanismo che fa davvero superare DMARC
- Una chiave DKIM attiva soddisfa anche il requisito di verifica del dominio di invio di Spring '26
- Una sola chiave può coprire più domini dell'indirizzo From tramite il suo Domain Match Pattern
Authorized Email Domains: TXT (solo verifica)
- Un singolo record TXT su _sfdv.yourdomain.com (o sul dominio radice) dimostra che il dominio è tuo
- Soddisfa il requisito di verifica di Spring '26, così gli invii non vengono bloccati
- NON firma la tua posta: nessuna firma DKIM e nessun allineamento DMARC
- Usalo solo come soluzione temporanea: per la deliverability ti serve comunque una chiave DKIM
Passo dopo passo
- 1
Imposta il livello di accesso in Deliverability
Da Setup, usa Quick Find per aprire Email - Deliverability. Imposta “Access to Send Email” (Access level) su “All email”, così Salesforce invia davvero la posta in uscita: le sandbox e alcune org partono da “System email only” o “No access”, che scartano senza avvisi i tuoi messaggi di prova prima ancora che l'autenticazione conti qualcosa.
- 2
Crea una chiave DKIM
Da Setup, cerca “DKIM Keys” in Quick Find e fai clic su Create New Key. Scegli 2048-bit come dimensione della chiave RSA. Inserisci un Selector univoco (es. example-sf-a) e un Alternate Selector univoco (es. example-sf-b). Inserisci il Domain da cui invii e un Domain Match Pattern (es. example.com per coprire quel dominio, o un pattern più ampio per i sottodomini), poi fai clic su Save. Nota: il campo Domain è permanente dopo il salvataggio.
- 3
Pubblica i due record CNAME DKIM
Apri la pagina DKIM Key Details: Salesforce mostra un CNAME e un Alternate CNAME. Dal tuo provider DNS creali entrambi come record CNAME: host example-sf-a._domainkey.yourdomain.com che punta alla destinazione mostrata da Salesforce, come example-sf-a.k4tyd2.custdkim.salesforce.com (e il selettore -b alla propria destinazione custdkim.salesforce.com). Copia le destinazioni esatte: un solo carattere sbagliato rompe la firma. Se il tuo DNS è dietro Cloudflare, impostali su “DNS only” (nuvola grigia).
- 4
Attiva la chiave DKIM
Dopo la propagazione dei CNAME (pochi minuti, fino a 48-72 ore), torna in Setup - DKIM Keys, apri la chiave e fai clic su Activate. Salesforce non ti consente l'attivazione finché entrambi i CNAME non si risolvono nel DNS pubblico. Con la chiave attiva, Salesforce firma la posta in uscita con d=yourdomain.com e il tuo dominio risulta verificato ai fini del requisito di Spring '26.
- 5
Aggiungi o unisci l'include SPF
Dal tuo provider DNS pubblica UN SOLO record TXT SPF sul dominio radice (host @): v=spf1 include:_spf.salesforce.com ~all. Se invii già tramite Google Workspace, Microsoft 365, uno strumento di marketing ecc., unisci include:_spf.salesforce.com a quell'unica riga v=spf1 esistente: non creare mai un secondo record SPF. Autorizza gli IP di Salesforce (costa 2 ricerche), ma ricorda che da solo non si allinea.
- 6
Verifica il dominio se non usi ancora DKIM
Se devi sbloccare gli invii prima che DKIM sia attivo, usa l'alternativa TXT: Setup - Quick Find “Authorized Email Domains” - Add, inserisci il tuo dominio e Salesforce genera una chiave di verifica. Pubblicala come record TXT (host _sfdv.yourdomain.com o il dominio radice), attendi la propagazione, poi modifica il dominio con Edit e attiva “Verify domain ownership”. Questo dimostra la proprietà ma non firma la posta: l'obiettivo resta una chiave DKIM.
- 7
Porta il tuo Org-Wide Address sul dominio verificato
Ogni indirizzo From deve stare su un dominio verificato. Da Setup, apri Quick Find - “Organization-Wide Addresses” e assicurati che gli indirizzi da cui inviano i tuoi utenti, flussi e avvisi email (es. no-reply@yourdomain.com) siano sul dominio che hai appena autenticato. Gli Org-Wide Addresses non verificati sono la causa più comune di invii automatizzati bloccati.
- 8
Pubblica il record DMARC
Salesforce non crea mai DMARC. Aggiungi un record TXT su _dmarc.yourdomain.com: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre confermi che la posta Salesforce superi DKIM allineato al tuo dominio. Tieni esattamente un record _dmarc per l'intero dominio.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un vero messaggio da un Org-Wide Address di Salesforce a una casella Gmail, aprilo e scegli il menu a tre puntini - Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com (non salesforce.com) e DMARC: PASS. Di solito SPF mostra il dominio di Return-Path di Salesforce: è previsto; a far superare DMARC deve essere DKIM.
Record da aggiungere
Salesforce genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.salesforce.com ~allSPF radice: tieni esattamente UN record SPF; unisci questo include alla tua riga v=spf1 esistente, se ne hai una. Costa ~2 ricerche DNS (include + exists annidato). Autorizza Salesforce ma non si allinea. |
| CNAME | example-sf-a._domainkey | example-sf-a.k4tyd2.custdkim.salesforce.comSelettore DKIM 1: valore di esempio. Copia la destinazione esatta dalla tua pagina DKIM Key Details; la stringa di partizione k4tyd2 è unica per la tua chiave. |
| CNAME | example-sf-b._domainkey | example-sf-b.e6mxu6.custdkim.salesforce.comSelettore DKIM alternativo: valore di esempio. Il secondo selettore permette a Salesforce di ruotare le chiavi senza che tu debba rimettere mano al DNS. Usa il valore esatto mostrato da Salesforce. |
| TXT | _sfdv | 00D000000000P18=1AB00000000000BChiave di verifica di Authorized Email Domains: valore di esempio, diverso per ogni org. Serve solo se usi il metodo TXT di verifica della proprietà al posto (o prima) di una chiave DKIM attiva; come host funziona anche il dominio radice. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Salesforce non lo crea mai. Uno per dominio; parti da p=none e irrigidisci in seguito. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Salesforce.
Salesforce occupa 2 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è il cuore dell'autenticazione Salesforce, perché è l'unico meccanismo che si allinea al tuo dominio e, da Spring '26, una chiave DKIM attiva è il modo consigliato da Salesforce per verificare la proprietà del dominio ed evitare il blocco degli invii. Creala in Setup - Quick Find - “DKIM Keys” - Create New Key: scegli 2048-bit, inserisci un Selector univoco e un Alternate Selector univoco (Salesforce usa due selettori per poter ruotare le chiavi), specifica il Domain e imposta un Domain Match Pattern che stabilisce quali domini dell'indirizzo From vengono firmati da questa chiave. Dopo Save, la pagina DKIM Key Details mostra un CNAME e un Alternate CNAME, ad esempio example-sf-a._domainkey.yourdomain.com verso example-sf-a.k4tyd2.custdkim.salesforce.com ed example-sf-b._domainkey.yourdomain.com verso example-sf-b.e6mxu6.custdkim.salesforce.com. Poiché sono CNAME delegati a custdkim.salesforce.com (non record TXT da incollare), Salesforce conserva le chiavi private e ruota le chiavi pubblicate dietro i due selettori senza che tu debba mai rimettere mano al DNS. Due cose che molti non notano: il campo Domain è permanente dopo il salvataggio (per cambiarlo dovresti creare una nuova chiave) e non puoi fare clic su Activate finché entrambi i CNAME non si risolvono nel DNS pubblico. Pubblica entrambi i record, attendi la propagazione, poi torna in DKIM Keys e fai clic su Activate: solo allora Salesforce inizia a firmare la posta in uscita con d=yourdomain.com. Le vecchie chiavi DKIM di Salesforce erano chiavi TXT autogestite, da generare e incollare; la moderna chiave DKIM “secure” è la versione con delega CNAME descritta qui ed è quella da usare.
DMARC
DMARC è un record TXT di policy separato sul tuo dominio che Salesforce non crea: lo pubblichi tu su _dmarc.yourdomain.com, partendo da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre controlli nei report aggregati (rua) che la posta Salesforce superi DKIM allineato al tuo dominio. È il passaggio in cui la particolarità di allineamento di Salesforce pesa di più: poiché Salesforce invia i bounce dal proprio dominio di Return-Path, SPF autentica ma non si allinea, quindi sulla posta Salesforce DMARC viene superato solo grazie all'allineamento DKIM. Va bene così, perché DMARC richiede un solo meccanismo allineato, ma significa che la tua chiave DKIM deve essere attiva e firmare prima che tu irrigidisca la policy, altrimenti la posta Salesforce legittima fallirà. Osserva i report per una o due settimane, assicurati che Salesforce (e ogni altro mittente: Google Workspace, Microsoft 365, strumenti di marketing) mostri un pass allineato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo; non aggiungerne mai un secondo solo per Salesforce.
Verifica che funzioni davvero
Non fidarti del solo stato nella pagina DKIM Keys di Salesforce: controlla su un messaggio reale. Invia un'email da uno dei tuoi Org-Wide Addresses a una casella Gmail, apri il messaggio e scegli il menu a tre puntini - Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com (se mostra salesforce.com, la tua chiave non è attiva o il tuo Org-Wide Address è sul dominio sbagliato) e DMARC: PASS. Di solito SPF indica un dominio di Return-Path di Salesforce anziché il tuo: è previsto, perché ad allineare è DKIM, non SPF. In Salesforce, la pagina DKIM Key Details deve indicare Active. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il record SPF, entrambi i CNAME dei selettori DKIM e il record DMARC si risolvano correttamente e che il tuo SPF resti sotto il limite di 10 ricerche; quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC per confermare che Salesforce compaia come sorgente allineata che supera i controlli.
Insidie comuni
- Copertura
Applicazione delle regole di Spring '26: ora Salesforce blocca la posta dai domini non verificati. Gli invii manuali falliscono con “Not allowed to send from an unauthorized domain” e i flussi automatizzati falliscono senza avvisi, registrando “550 5.7.1 Delivery not authorized, message discarded” negli Email Logs. Attiva una chiave DKIM (o verifica tramite Authorized Email Domains) per ogni dominio usato dai tuoi Org-Wide Addresses.
- Copertura
Su Salesforce SPF non si allinea. Salesforce invia i bounce dal proprio dominio di Return-Path, quindi l'include SPF autorizza ma non si allinea mai al tuo indirizzo From: DMARC si regge interamente su DKIM. Aggiungere l'include senza una chiave DKIM attiva NON ti darà un pass DMARC.
- Copertura
Il campo Domain della chiave DKIM è permanente. Dopo Save non puoi modificare il dominio (né i selettori): dovresti creare una nuova chiave. Impostalo bene e usa il Domain Match Pattern per coprire i domini da cui invii davvero.
- Configurazione DNS
Non puoi attivare DKIM con Activate finché entrambi i CNAME non si risolvono. Il pulsante Activate non funziona mentre il DNS è ancora in propagazione: attendi (fino a 48-72 ore) e ricontrolla con una ricerca DNS prima di riprovare.
- Copertura
Il livello di accesso in Deliverability blocca gli invii senza avvisi. Se “Access to Send Email” è impostato su “System email only” o “No access” (comune nelle sandbox), Salesforce scarta la tua posta in uscita a prescindere dal DNS: impostalo su “All email” in Setup - Deliverability.
- Copertura
Email Relay aggira la firma DKIM di Salesforce. Se instradi la posta in uscita attraverso il tuo server SMTP tramite Setup - Email Relay, Salesforce non la firma: SPF e DKIM sono a carico del tuo relay e questi record Salesforce non valgono per quel percorso.
- Configurazione DNS
Questa guida copre Salesforce core (Sales/Service/Platform), non Marketing Cloud o Pardot. Marketing Cloud Engagement usa un proprio Sender Authentication Package (SAP) con CNAME diversi e Account Engagement (Pardot) ha una propria configurazione: ogni famiglia di prodotti si autentica separatamente.
- Fa fallire l'autenticazione
Tieni un solo record SPF. Unisci include:_spf.salesforce.com alla tua unica riga v=spf1: due record TXT SPF sullo stesso dominio sono un PermError che rompe SPF per tutti i mittenti.
Crea il tuo record SPF
Salesforce è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Salesforce: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.