SPF, DKIM e DMARC per Scaleway Transactional Email.
Scaleway Transactional Email (TEM) autentica il tuo dominio di invio dalla scheda DNS records della console e, a differenza dei provider che delegano tramite CNAME, è un vero provider “include”: incolli nella tua zona DNS il suo include SPF condiviso, una chiave DKIM TXT generata dalla console e una policy DMARC, poi lasci che sia la console a verificarli. TEM offre anche un record MX blackhole facoltativo e, se il tuo dominio è registrato su Scaleway Domains and DNS, una configurazione automatica in un clic che scrive per te tutti e quattro i record (SPF, DKIM, DMARC, MX). Finché il dominio non è verificato (Scaleway richiede sia SPF sia DKIM prima di accettare la posta), TEM non ti permette proprio di inviare: è quindi la primissima cosa da sistemare.
Perché autenticare Scaleway Transactional Email?
Autenticare il dominio in TEM decide se la tua posta viene accettata, non solo dove arriva. Scaleway invia la posta transazionale da intervalli di IP francesi condivisi (il suo include SPF elenca attualmente 62.210.3.0/24, 51.159.124.109 e 51.159.124.110, più blocchi IPv6 2001:bc8) e, finché non pubblichi SPF e DKIM per il tuo dominio, quella posta è attribuibile a te solo in modo debole: il tuo indirizzo From non è crittograficamente tuo, DMARC non può essere superato e la tua reputazione finisce in comune con quella di tutti gli altri mittenti non autenticati su quell'infrastruttura. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme diretta a Outlook.com. Poiché TEM ti fa inserire l'include SPF e il selettore DKIM sul tuo dominio, una volta configurati SPF e DKIM si allineano entrambi a te, DMARC viene superato e il punteggio di reputazione per dominio che TEM monitora si accumula a favore del tuo dominio invece che del pool condiviso.
Come funziona davvero SPF con Scaleway Transactional Email
Scaleway TEM è un vero provider “include”: aggiungi un solo meccanismo condiviso, include:_spf.tem.scaleway.com, all'unico record TXT SPF del tuo dominio di invio. Se il dominio non ha ancora un record SPF, la console ti dice di pubblicare il record completo v=spf1 include:_spf.tem.scaleway.com -all; se hai già un record SPF, unisci solo il frammento include:_spf.tem.scaleway.com alla tua riga v=spf1 esistente invece di pubblicare un secondo record (due record SPF sono un PermError). Contano due dettagli specifici di Scaleway. Primo, l'include costa poco: _spf.tem.scaleway.com si risolve in un unico record piatto che contiene solo intervalli ip4:/ip6: senza include annidati, quindi consuma esattamente una delle 10 ricerche DNS SPF consentite (RFC 7208), non le tre o quattro dei provider con include a cascata. Secondo, le istruzioni di Scaleway chiudono il record con il rigoroso -all (hardfail), cosa insolita: la maggior parte dei provider suggerisce ~all. Va bene se TEM è il tuo unico mittente, ma se invii anche tramite Google Workspace, Microsoft 365, Mailchimp ecc., un -all li farà fallire tutti in modo netto, a meno che ogni sorgente non sia elencata in quell'unico record SPF: aggiungili prima, oppure tieni ~all finché non hai unito ogni mittente. Nota il trattino basso iniziale (è _spf.tem.scaleway.com, non spf.tem.scaleway.com) e copia sempre la stringa include esatta mostrata nella scheda DNS records della tua console.
Due modi per configurarlo
Configurazione automatica (dominio su Scaleway Domains & DNS)
- Quando aggiungi un dominio Scaleway, spunta “Configure my Transactional Email DNS records automatically” prima di fare clic su Validate domain name
- Scaleway scrive per te SPF, DKIM, DMARC e MX nella tua zona DNS (puoi attivare l'opzione anche in seguito dalla scheda DNS Verification)
- Niente copia e incolla di nomi o valori dei record, e niente errori di dominio duplicato nel campo host
- La strada più rapida verso un dominio convalidato: tu pensi a inviare e a tenere d'occhio il punteggio di reputazione
DNS manuale (registrar esterno / di terze parti)
- Copi tu ogni record dalla scheda DNS records della console al tuo provider DNS
- SPF: v=spf1 include:_spf.tem.scaleway.com -all (oppure unisci l'include al tuo record esistente)
- DKIM: incolla come record TXT il Name (selettore) generato dalla console e il valore v=DKIM1
- La convalida della proprietà può richiedere più tempo; poi Scaleway ricontrolla periodicamente i record
Passo dopo passo
- 1
Apri Transactional Email
Accedi su console.scaleway.com e fai clic su Transactional Email nella sezione Domains & Web Hosting del menu laterale. Si apre la pagina di riepilogo di Transactional Email.
- 2
Scegli un piano e aggiungi il dominio
Fai clic su Select a plan e scegli Essential (a consumo, un webhook per dominio) o Scale (prezzo fisso, include 100.000 email, un IPv4+IPv6 dedicato, webhook illimitati e un impegno di 30 giorni per il warm-up dell'IP). Poi fai clic su Choose a plan e aggiungi un dominio.
- 3
Scegli un dominio Scaleway o esterno
Scegli Use a Scaleway domain o Add a domain external to Scaleway. Per un dominio Scaleway puoi anche spuntare Add a domain prefix per inviare da un sottodominio (es. mail.yourdomain.com); in quel caso tutti i record si trovano nella zona di quel sottodominio.
- 4
(Dominio Scaleway) Configura i record in automatico
Se il dominio è registrato su Scaleway Domains and DNS, spunta “Configure my Transactional Email DNS records automatically” prima di fare clic su Validate domain name: Scaleway scrive per te SPF, DKIM, DMARC e MX. (Puoi anche attivare o disattivare questa opzione in seguito dalla scheda DNS Verification del dominio.) Poi salta i passaggi DNS manuali e passa alla verifica.
- 5
(Dominio esterno) Apri la scheda DNS records
Fai clic sul nome del dominio, poi apri la scheda DNS records. Scorri fino alla sezione dei record SPF, DKIM e DMARC: è qui che la console mostra Name/Value esatti di ogni record da copiare.
- 6
Aggiungi o unisci il record SPF
Sulla radice del tuo dominio di invio, aggiungi un record TXT. Nessun SPF esistente: v=spf1 include:_spf.tem.scaleway.com -all. SPF già presente: unisci include:_spf.tem.scaleway.com alla tua riga v=spf1 esistente. Non pubblicare mai un secondo record SPF.
- 7
Aggiungi il record TXT DKIM
Aggiungi un record TXT nella stessa zona. Copia nel campo Name il Name mostrato nella console (un selettore univoco che termina con ._domainkey) e nel campo Value il valore (v=DKIM1; k=rsa; p=…), esattamente come mostrati. Non inventare il selettore.
- 8
Pubblica il record DMARC
Aggiungi un record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. I tag v e p sono obbligatori e i tag sono separati da punto e virgola. p=none è solo monitoraggio, quindi non viene bloccato nulla mentre confermi l'allineamento.
- 9
(Facoltativo) Aggiungi il record MX blackhole di Scaleway
Solo se il tuo dominio NON ha un server di posta in entrata: aggiungi un record MX sulla radice con priorità 10 e hostname blackhole.tem.scaleway.com. (mantieni il punto finale). È un “buco nero”: qualsiasi cosa gli venga rimandata viene scartata. Se ricevi già posta sul dominio, mantieni il tuo MX e salta questo passaggio.
- 10
Lascia che la console verifichi i record
Torna al dominio e tieni d'occhio la scheda DNS records / DNS Verification. Scaleway controlla i record in automatico e li ricontrolla periodicamente; propagazione e convalida possono richiedere fino a 48 ore, quindi lascia ogni record al suo posto.
- 11
Invia un'email di prova e leggi le intestazioni
Quando il dominio risulta verificato, invia da un indirizzo del dominio autenticato, apri il messaggio in Gmail e scegli ⋮ → Show original. Conferma SPF: PASS, DKIM: PASS (signed-by yourdomain.com) e DMARC: PASS, tutti allineati al tuo dominio.
Record da aggiungere
Scaleway Transactional Email genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.tem.scaleway.com -allSPF radice. Tieni esattamente un record SPF: se ne hai già uno, unisci solo include:_spf.tem.scaleway.com. Le istruzioni di Scaleway usano il rigoroso -all; usa ~all finché stai ancora aggiungendo altri mittenti. |
| TXT | <selector>._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…IDAQABValore di esempio. Il selettore (Name) è una stringa univoca che Scaleway genera per ogni dominio: copia Name e Value esatti dalla scheda DNS records della console, senza tirare a indovinare il selettore. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo pubblichi tu. v e p sono obbligatori, con i tag separati da punto e virgola. Parti da p=none, poi passa a quarantine/reject quando TEM supera i controlli con allineamento. |
| MX | @ | blackhole.tem.scaleway.com.Facoltativo, priorità 10. Un “buco nero” che scarta qualsiasi cosa gli venga rimandata: aggiungilo solo se il dominio non ha un vero MX in entrata. Mantieni il punto finale. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Scaleway Transactional Email.
Scaleway Transactional Email occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Per Scaleway TEM, DKIM è un record TXT statico che copi dalla console, non un CNAME delegato. Nella scheda DNS records del dominio, Scaleway mostra un record DKIM il cui Name è un selettore univoco generato per il tuo dominio (un'etichetta dall'aspetto casuale che termina con ._domainkey) e il cui Value è una chiave pubblica standard nella forma v=DKIM1; k=rsa; p=<la tua chiave pubblica>. Li incolli entrambi, alla lettera, in un record TXT nella stessa zona del dominio di invio (o del sottodominio con prefisso, se ne hai configurato uno); Scaleway conserva la chiave privata corrispondente e firma la posta in uscita tramite il suo relay (smtp.tem.scaleway.com). Due cose lo distinguono dai provider basati su CNAME. Primo, poiché incolli un valore TXT invece di delegare un CNAME, su un dominio configurato a mano non c'è rotazione automatica delle chiavi: se Scaleway dovesse ruotare la chiave devi ricopiare il nuovo valore, e al controllo periodico di Scaleway il dominio può risultare non valido se il record non corrisponde più (i domini su Scaleway DNS con configurazione automatica vengono aggiornati per te). Secondo, una chiave pubblica DKIM RSA è abbastanza lunga da superare il limite di 255 caratteri di una singola stringa TXT, quindi molti pannelli DNS la salvano come più blocchi tra virgolette dentro un unico record; quasi tutti la ricompongono correttamente, ma se la verifica segnala la chiave come non valida, la causa abituale è una concatenazione corrotta. Il selettore non è una parola fissa come “scw” da digitare a memoria: copia Name e Value esatti come mostrati.
DMARC
DMARC è un record di policy separato che pubblichi tu: Scaleway mostra un valore suggerito ma non lo crea, a meno che tu non usi la configurazione automatica. Aggiungi un record TXT il cui Name è _dmarc seguito dal tuo dominio (es. _dmarc.yourdomain.com) con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La documentazione di Scaleway richiede almeno i tag v e p, separati da punto e virgola; p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi che la posta TEM superi SPF e DKIM con allineamento al tuo dominio. Tieni d'occhio i report aggregati (rua) per una o due settimane, assicurati che ogni mittente legittimo si autentichi, poi passa a p=quarantine e infine a p=reject per una vera protezione dallo spoofing. Tieni presente che con p=reject qualsiasi posta proveniente da una sorgente non presente nel tuo record SPF o priva di una firma DKIM valida viene rifiutata senza appello, quindi prima conferma che ogni mittente sia elencato. Una sfumatura specifica di Scaleway: puoi avere più di un record DMARC per un dominio purché ciascuno abbia un Name diverso, quindi se invii da un sottodominio con prefisso (es. tem.yourdomain.com) puoi pubblicare _dmarc.tem.yourdomain.com accanto a _dmarc.yourdomain.com. Non pubblicare mai due record DMARC con lo stesso nome.
Verifica che funzioni davvero
Non affidarti solo al badge della console: la verifica può richiedere fino a 48 ore e Scaleway ricontrolla periodicamente, quindi la scheda DNS records / DNS Verification è il riferimento per sapere se SPF, DKIM, DMARC e MX si risolvono. Quando il dominio risulta verificato, confermalo su un messaggio reale: invia da un indirizzo del dominio autenticato, apri il messaggio in Gmail e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS con signed-by: yourdomain.com (il tuo selettore univoco) e DMARC: PASS, tutti allineati al tuo dominio invece che a scaleway.com. Puoi controllare a campione i record grezzi con dig TXT _spf.tem.scaleway.com (dovresti vedere un unico record piatto ip4/ip6, a conferma del costo di una sola ricerca), dig TXT <selector>._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti entro il limite di 10 ricerche, usa il controllo autenticazione email per verificare insieme i tre record e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Scaleway dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Per i nuovi domini, il record SPF predefinito di Scaleway termina con -all (hardfail rigoroso), non con il consueto ~all. Se invii anche tramite Google Workspace, Microsoft 365, Mailchimp o qualsiasi altro strumento, -all li farà fallire tutti in modo netto, a meno che ogni sorgente non sia in quell'unico record SPF. Aggiungi prima tutti i mittenti, oppure tieni ~all finché non hai la certezza che l'elenco sia completo.
- Copertura
Attenzione al trattino basso iniziale: il meccanismo è include:_spf.tem.scaleway.com, non spf.tem.scaleway.com. Copia sempre la stringa esatta mostrata nella scheda DNS records della console.
- Copertura
I tutorial Scaleway più vecchi (e un alias legacy ancora attivo) fanno riferimento a include:_spf.scw-tem.cloud invece di _spf.tem.scaleway.com. Oggi entrambi si risolvono nello stesso record piatto ip4/ip6, ma copia l'include esatto che la tua console mostra ora: non incollarne uno preso da un vecchio articolo di blog.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio. Se hai già SPF, unisci al record solo il frammento include:_spf.tem.scaleway.com: pubblicare un secondo record v=spf1 è un PermError che invalida completamente SPF.
- Configurazione DNS
Il Name DKIM è un selettore univoco generato dalla console che termina con ._domainkey, non una parola fissa da digitare a memoria. Copia Name e Value alla lettera, e attenzione al dominio duplicato nel campo host quando un registrar aggiunge il tuo dominio al nome ._domainkey.
- Copertura
Il record MX blackhole (blackhole.tem.scaleway.com.) scarta tutto ciò che gli viene rimandato, senza possibilità di recupero. Aggiungilo solo se il dominio non ha un vero server di posta in entrata: se ricevi posta sul dominio, mantieni il tuo MX esistente e salta quello di Scaleway. E mantieni il punto finale, altrimenti il registrar aggiunge il tuo dominio all'hostname.
- Copertura
La verifica può richiedere fino a 48 ore e Scaleway esegue controlli periodici. Se in seguito un record viene modificato, troncato o rimosso, il dominio può tornare non valido e gli invii si interrompono: considera questi record permanenti.
- Copertura
La configurazione automatica funziona solo se il dominio è registrato su Scaleway Domains and DNS. I domini esterni vanno configurati a mano, e la convalida della proprietà può richiedere più tempo.
- Configurazione DNS
Le chiavi DKIM RSA lunghe superano il limite di 255 caratteri per singola stringa TXT e vengono salvate come più blocchi tra virgolette. Se la verifica segnala la chiave come non valida, la causa più probabile è una concatenazione errata da parte del tuo pannello DNS.
Crea il tuo record SPF
Scaleway Transactional Email è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Scaleway Transactional Email: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.