SPF, DKIM e DMARC per Sender.
Sender (sender.net) è una piattaforma di email marketing e newsletter, e autentica il tuo dominio di invio con una procedura a tre record che esegui in Account settings → Domains: un include SPF condiviso, un singolo CNAME DKIM e un record di policy DMARC. Aggiungi il dominio, dimostri che è tuo facendo clic su un link che Sender invia a un indirizzo di quel dominio, e Sender ti mostra i record SPF, DKIM e DMARC esatti da pubblicare presso il tuo provider DNS. Quando tutti e tre sono verificati (tre segni di spunta verdi nella colonna Authentication di Sender), le tue campagne partono dal tuo dominio: autorizzate da SPF, firmate DKIM con d=yourdomain.com e allineate per DMARC, invece di mostrare una nota “via sender.net” o finire nello spam.
Perché autenticare Sender?
Autenticare il dominio in Sender non è una formalità: per una piattaforma di marketing che invia grandi volumi fa la differenza tra posta in arrivo e cartella spam. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, di pubblicare una policy DMARC valida, almeno p=none, e di offrire la disiscrizione in un clic; nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail. Newsletter e invii promozionali sono esattamente la posta a cui puntano queste regole. Finché non autentichi il dominio, Sender invia su un'infrastruttura condivisa che non è legata crittograficamente al tuo dominio: i destinatari potrebbero vedere una nota “via”, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione finisce in comune con quella di tutti gli altri mittenti non autenticati sulla piattaforma. Completare SPF + DKIM + DMARC firma ogni campagna come d=yourdomain.com, fa superare DMARC, elimina l'indicazione “via” e fa sì che la reputazione di invio che costruisci si accumuli a favore del tuo dominio: è questo che protegge i tuoi tassi di apertura nel tempo.
Come funziona davvero SPF con Sender
Sender è un vero provider “include”, ma il meccanismo è include:sendersrv.com, NON include:sender.net. È un errore frequentissimo: sender.net è il sito web dell'azienda e non si risolve come include SPF valido, quindi qualsiasi configurazione basata su di esso fallisce in modo netto. Il vero include condiviso che ogni cliente Sender aggiunge è include:sendersrv.com, pubblicato dentro l'unico record TXT SPF del tuo dominio radice. La documentazione di Sender mostra il record completo come v=spf1 include:sendersrv.com ?all: nota il qualificatore neutro ?all, che rivela come funziona davvero SPF con Sender. Qui contano due cose. Primo, l'include NON è piatto: il record SPF di sendersrv.com annida include:_spf.mx.cloudflare.net, quindi include:sendersrv.com costa DUE delle 10 ricerche DNS consentite (RFC 7208), non una: da tenere d'occhio se hai già Google Workspace, Microsoft 365 o altri mittenti. Secondo, e più importante: come la maggior parte degli ESP di marketing, Sender controlla la busta/il Return-Path. Le tue campagne rimbalzano verso il dominio di Sender, ed è quel dominio a essere sottoposto al controllo SPF. Quindi l'include:sendersrv.com che pubblichi sulla TUA radice non produce allineamento SPF per DMARC: autorizza i server di Sender e soddisfa il controllo di Sender, ma il meccanismo che ti fa davvero superare DMARC è DKIM (il CNAME qui sotto firma come d=yourdomain.com). Ecco perché Sender consiglia tranquillamente ?all. Pubblica l'include (il controllo Authentication di Sender lo cerca e fa parte del trio obbligatorio), ma tieni presente che il record davvero decisivo è DKIM. E tieni esattamente un record TXT SPF sul dominio: se esiste già un record v=spf1, unisci include:sendersrv.com a quello invece di aggiungere un secondo record SPF (due record SPF sono un PermError).
Passo dopo passo
- 1
Apri la sezione Domains
Accedi su app.sender.net e vai in Account settings → Domains. Fai clic sul pulsante Add domain (in alto a destra) per iniziare ad autenticare un nuovo dominio di invio.
- 2
Inserisci il dominio di invio
Digita il dominio da cui invierai le campagne (es. yourdomain.com: il dominio del tuo indirizzo From, non un sottodominio a meno che tu non invii da uno) e fai clic su Next.
- 3
Verifica la proprietà del dominio
Inserisci un indirizzo email di quel dominio e fai clic su Verify ownership: Sender invia un link di conferma a quella casella. Apri l'email e fai clic sul link; nella colonna Ownership confirmed compare quindi un segno di spunta verde. I record SPF, DKIM e DMARC NON compaiono finché la proprietà non è confermata. È un primo passaggio obbligatorio, separato dal DNS.
- 4
Apri la finestra dei record DNS
Torna in Domains e fai clic sulla riga del dominio per aprire la finestra intitolata “Authenticate your SPF, DKIM and DMARC records.” Sender mostra tre record, ognuno con Type, Name e Value, da copiare presso il tuo provider DNS.
- 5
Aggiungi o unisci il record SPF
Presso il tuo provider DNS aggiungi un record TXT sulla radice (Name @): v=spf1 include:sendersrv.com ?all. Se esiste già un record v=spf1 (Google, Microsoft 365, un altro strumento), NON aggiungerne un secondo: unisci include:sendersrv.com alla riga esistente, mantenendo il tuo qualificatore (di solito ~all o -all) invece di declassarlo a ?all.
- 6
Aggiungi il CNAME DKIM
Crea un record CNAME: Name sender._domainkey, Value dkim.sendersrv.com. È un CNAME, non un TXT: non c'è nessuna chiave da incollare. Se il tuo DNS è su Cloudflare, imposta il record su DNS only (nuvola grigia): un proxy con nuvola arancione impedisce la risoluzione del CNAME e la verifica DKIM fallisce.
- 7
Aggiungi il record DMARC
Aggiungi un record TXT con Name _dmarc. Il valore predefinito di Sender è un semplice v=DMARC1; p=none; da pubblicare comunque, aggiungendo però un indirizzo per i report, così impari davvero qualcosa: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi l'allineamento.
- 8
Avvia il controllo di autenticazione
Torna in Domains e fai clic sul pulsante di ricontrollo (etichettato Recheck DNS records / Check SPF, DKIM and DMARC records). Quando tutti e tre si risolvono, vedrai tre segni di spunta verdi nella colonna Authentication. Di solito la propagazione richiede pochi minuti, ma può richiedere dalle 24 alle 48 ore; ricontrolla se un record non è ancora verde.
- 9
Invia un'email di prova e leggi le intestazioni
Inviati una campagna di prova, aprila in Gmail e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS firmato da yourdomain.com (selettore sender) e DMARC: PASS. DKIM con d=yourdomain.com è il segnale che Sender firma con il tuo dominio, e non con quello condiviso.
Record da aggiungere
Sender genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:sendersrv.com ?allSPF radice: è sendersrv.com, NON sender.net. Tieni esattamente UN record SPF; unisci questo include a qualsiasi riga v=spf1 esistente e mantieni il tuo qualificatore più rigoroso (~all/-all). Costa 2 ricerche DNS (annida un include di Cloudflare). |
| CNAME | sender._domainkey | dkim.sendersrv.comDKIM: un CNAME, non una chiave TXT. Lo stesso selettore fisso “sender” per ogni account; Sender ospita e ruota la chiave. Su Cloudflare impostalo su DNS only (nuvola grigia). È il record che ti fa superare DMARC. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIl valore predefinito di Sender è un semplice segnaposto p=none: aggiungi un indirizzo rua per i report e tieni un solo record DMARC per dominio. Parti da p=none, poi passa gradualmente a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Sender.
Sender occupa 2 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Per Sender, DKIM è un singolo CNAME, non una chiave TXT da incollare. Aggiungi un solo record, Name sender._domainkey, Value dkim.sendersrv.com, e hai finito. Poiché è un CNAME delegato all'infrastruttura di Sender, Sender conserva la chiave privata e pubblica la chiave pubblica dal proprio lato (dkim.sendersrv.com pubblica attualmente una chiave RSA da 1024 bit), quindi può ruotare le chiavi a livello centrale senza che tu debba più toccare il DNS. Non c'è nessuna chiave da copiare e il selettore è sempre sender, per ogni account. Ecco perché questo è il record importante: Sender controlla la busta/il Return-Path, quindi SPF non si allinea al tuo dominio, ma DKIM sì. Quando Sender firma la tua campagna usa d=yourdomain.com con il selettore sender e, poiché il CNAME permette ai server riceventi di recuperare la chiave sotto il tuo dominio, DKIM si allinea e ti fa superare DMARC. Il CNAME DKIM è quindi il record che non puoi saltare. Due note pratiche: se il tuo DNS è su Cloudflare, il record deve essere DNS only (nuvola grigia), perché un CNAME con proxy attivo non si risolve in dkim.sendersrv.com e la verifica fallisce; inoltre, poiché il selettore sender è fisso e condiviso, la chiave è comune a tutti i clienti (nessun problema per l'allineamento, ma è una chiave da 1024 bit che non puoi aggiornare in autonomia).
DMARC
DMARC è un record di policy separato che pubblichi tu, e il valore predefinito di Sender è volutamente minimo: v=DMARC1; p=none; e nient'altro. Pubblicalo su _dmarc.yourdomain.com, ma non lasciarlo così spoglio: aggiungi un indirizzo per i report, in modo che il record serva davvero a qualcosa, es. v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito mentre i server riceventi ti inviano report aggregati (rua) che mostrano se le tue campagne Sender (e ogni altro mittente sul dominio) superano SPF e DKIM con allineamento al tuo dominio. Per Sender l'allineamento arriva da DKIM (d=yourdomain.com, selettore sender), quindi una volta attivo il CNAME dovresti vedere esiti positivi puliti con allineamento DKIM. Tieni d'occhio i report per una o due settimane, verifica che ogni mittente legittimo si autentichi, poi rendi più restrittiva la policy con p=quarantine e infine p=reject: è questo il passaggio che blocca davvero lo spoofing. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti strumenti usi per inviare; non aggiungere mai un secondo record DMARC apposta per Sender.
Verifica che funzioni davvero
Non fidarti solo dei tre segni di spunta verdi nella colonna Authentication di Sender: confermalo su un messaggio reale. Inviati una campagna di prova, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, con la firma DKIM che mostra d=yourdomain.com e il selettore sender (se DKIM firma come sendersrv.com o il CNAME non si è risolto, il record non è ancora attivo). Puoi anche controllare a campione i record grezzi con dig TXT yourdomain.com (SPF), dig CNAME sender._domainkey.yourdomain.com (dovrebbe restituire dkim.sendersrv.com) e dig TXT _dmarc.yourdomain.com. Poi analizza il dominio con il check-up del dominio di Qualisend per confermare che tutti e tre i record si risolvano e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Sender dovrebbe comparire come sorgente allineata tramite DKIM che supera i controlli.
Insidie comuni
- Configurazione DNS
È include:sendersrv.com, NON include:sender.net. sender.net è il sito web dell'azienda e non si risolve come include SPF: pubblicarlo fa fallire SPF. Ogni cliente Sender usa lo stesso include:sendersrv.com.
- Configurazione DNS
Il CNAME DKIM non funziona dietro il proxy di Cloudflare. sender._domainkey → dkim.sendersrv.com deve essere DNS only (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve e la verifica DKIM fallisce. È il motivo più comune per cui i record risultano verificati ovunque tranne che in una vera casella di posta.
- Configurazione DNS
L'include SPF costa 2 ricerche DNS, non 1. Il record SPF di sendersrv.com annida include:_spf.mx.cloudflare.net, quindi non è piatto: conta entrambe le ricerche nel limite di 10 dell'RFC 7208 se hai anche Google Workspace, Microsoft 365 o altri mittenti.
- Copertura
Sender documenta un qualificatore neutro ?all. Quando unisci include:sendersrv.com a un SPF radice esistente, mantieni il tuo qualificatore più rigoroso (~all o -all): non declassare l'intero record a ?all solo perché lo fa l'esempio di Sender.
- Configurazione DNS
Il superamento di DMARC dipende da DKIM, non da SPF. Il Return-Path è di Sender, quindi l'include:sendersrv.com sulla tua radice non si allinea: è il CNAME DKIM (d=yourdomain.com) a far superare DMARC. Se hai tempo per un solo record, scegli il CNAME.
- Configurazione DNS
Verifica prima la proprietà del dominio. Sender invia un link di conferma a un indirizzo del dominio, e i record SPF/DKIM/DMARC non compaiono finché non ci fai clic: pubblicare il DNS prima di questo passaggio non porta da nessuna parte.
- Copertura
Non lasciare DMARC sul semplice segnaposto p=none. Il valore predefinito di Sender non ha rua né effetti concreti: aggiungi un indirizzo per i report e procedi verso p=reject, altrimenti il record non protegge nulla.
- Copertura
Il selettore DKIM “sender” e la chiave sono condivisi e fissi. Non puoi rinominare il selettore né aggiornare la chiave (a 1024 bit) in autonomia; per l'allineamento va bene, ma se qualcos'altro sul tuo dominio usa già sender._domainkey ci sarebbe un conflitto (raro).
Crea il tuo record SPF
Sender è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Sender: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.