SPF, DKIM e DMARC per SendGrid.
SendGrid (oggi Twilio SendGrid) autentica il tuo dominio tramite la procedura guidata Sender Authentication, non facendoti incollare una riga SPF condivisa. La procedura consigliata “Authenticate Your Domain” genera tre record CNAME su un sottodominio di invio dedicato, che delegano a SendGrid SPF e chiavi DKIM a rotazione. Una volta verificati quei CNAME, SendGrid può inviare a nome del tuo dominio, l'indicazione “via sendgrid.net” sparisce e non dovrai più toccare i valori SPF/IP sottostanti.
Perché autenticare SendGrid?
Autenticare il dominio in SendGrid non è una formalità: decide se i tuoi messaggi raggiungono davvero la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a rifiutare la posta non conforme. Finché non autentichi il dominio, SendGrid invia dal proprio dominio condiviso: i destinatari vedono una nota “via sendgrid.net”, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione finisce in comune con quella di tutti gli altri mittenti non autenticati su quell'infrastruttura. L'autenticazione del dominio risolve tutto in un colpo solo: SPF e DKIM si allineano entrambi al tuo dominio, l'indicazione “via” sparisce, DMARC viene superato e la reputazione di invio che costruisci si accumula sul tuo dominio anziché nel pool condiviso.
Come funziona davvero SPF con SendGrid
SendGrid è un provider con autenticazione del dominio basata su CNAME, quindi per la maggior parte delle persone NON c'è alcun “include:sendgrid.net” da aggiungere. Quando esegui Authenticate Your Domain con Automated Security attivo (l'impostazione predefinita), SendGrid crea un sottodominio di invio personalizzato (qualcosa come em1234.yourdomain.com) sotto forma di CNAME che punta in sendgrid.net. Quel sottodominio diventa il tuo dominio di Return-Path/bounce e, poiché il CNAME si risolve nello spazio autorizzato dal record SPF di SendGrid, SPF viene soddisfatto lì in automatico: non pubblichi include:sendgrid.net sul dominio radice, e DMARC viene comunque superato grazie all'allineamento SPF relaxed (il sottodominio em si allinea al tuo dominio organizzativo). Il classico include condiviso entra in gioco solo nel percorso legacy: se disattivi Automated Security, SendGrid ti fornisce invece record TXT, ed è lì che aggiungeresti v=spf1 include:sendgrid.net ~all. In sintesi: la configurazione SendGrid moderna e consigliata è l'autenticazione del dominio tramite CNAME, senza include SPF condiviso; il meccanismo include:sendgrid.net esiste ancora, ma è l'alternativa manuale più vecchia.
Due modi per configurarlo
Automated Security: CNAME (consigliato)
- SendGrid gestisce SPF e ruota le tue chiavi DKIM in automatico tramite CNAME
- Aggiunge zero ricerche DNS al tuo SPF radice: non c'è nulla da unire
- Le chiavi ruotano da sole: non devi più modificare il DNS
- IP dedicati e modifiche all'infrastruttura vengono gestiti per te
include:sendgrid.net manuale (legacy)
- Aggiungi tu v=spf1 include:sendgrid.net ~all al tuo SPF radice
- Costa una delle tue 10 ricerche DNS SPF
- DKIM diventa un record TXT statico senza rotazione automatica delle chiavi
- Conviene solo se ti servono specificamente record statici gestiti da te
Passo dopo passo
- 1
Apri Sender Authentication
Accedi su app.sendgrid.com e vai su Settings → Sender Authentication nel menu a sinistra.
- 2
Avvia l'autenticazione del dominio
Nella sezione Domain Authentication (“Authenticate Your Domain”), fai clic su Get Started.
- 3
Scegli il tuo provider DNS
Scegli il tuo provider DNS dal menu a tendina “Which DNS host do you use?” (Cloudflare, GoDaddy, Namecheap…). Serve solo ad adattare le istruzioni a schermo: scegli “Other Host / Not Listed” se il tuo non c'è.
- 4
Personalizza i link con il tuo brand
Rispondi Yes a “Would you also like to brand the links for this domain?”, così i link con tracciamento dei clic usano il tuo dominio invece di sendgrid.net (questo aggiunge un paio di CNAME in più).
- 5
Lascia attivo Automated Security
Apri Advanced Settings e lascia selezionato “Use automated security”: così SendGrid gestisce SPF e ruota DKIM tramite CNAME e non dovrai più modificare il DNS. Se vuoi, imposta un sottodominio di invio personalizzato; altrimenti SendGrid ne assegna uno come em1234.
- 6
Inserisci il dominio di invio
In “Domain You Send From”, inserisci yourdomain.com (SendGrid ne ricava il sottodominio di invio) e fai clic su Next.
- 7
Aggiungi i record CNAME
SendGrid mostra i record da aggiungere. Crea ciascuno come CNAME: Host = il sottodominio indicato da SendGrid (em1234, s1._domainkey, s2._domainkey, più gli host url/link branding se attivati), Value = l'hostname *.sendgrid.net corrispondente. Non cambiare il tipo in A o TXT.
- 8
Disattiva il proxy di Cloudflare
Se il tuo DNS è dietro Cloudflare, imposta ogni record su “DNS only” (nuvola grigia): un proxy a nuvola arancione rompe la risoluzione dei CNAME e la verifica fallisce.
- 9
Fai clic su Verify
Torna alla pagina Sender Authentication di SendGrid e fai clic su Verify. Di solito la propagazione richiede pochi minuti, ma può arrivare fino a 48 ore; il dominio risulta Verified quando tutti i CNAME si risolvono.
- 10
Invia dal dominio autenticato
Nelle impostazioni della tua app o SMTP, invia da un indirizzo del dominio autenticato (ad es. no-reply@yourdomain.com), così la posta usa davvero il sottodominio di invio autenticato.
Record da aggiungere
SendGrid genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | em1234 | u1234567.wl123.sendgrid.netSottodominio di invio (Return-Path): è questo a soddisfare SPF |
| CNAME | s1._domainkey | s1.domainkey.u1234567.wl123.sendgrid.netChiave DKIM 1 (ruotata in automatico) |
| CNAME | s2._domainkey | s2.domainkey.u1234567.wl123.sendgrid.netChiave DKIM 2 (ruotata in automatico) |
| CNAME | url1234 | sendgrid.netLink branding (facoltativo) |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di SendGrid.
La configurazione consigliata di SendGrid aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM viene gestito in automatico da due dei record CNAME che SendGrid crea: s1._domainkey.yourdomain.com e s2._domainkey.yourdomain.com, che puntano rispettivamente a s1.domainkey.uXXXXXX.wlYYY.sendgrid.net e s2.domainkey.uXXXXXX.wlYYY.sendgrid.net (le parti uXXXXXX/wlYYY sono specifiche del tuo account). Poiché sono CNAME delegati a SendGrid, e non record TXT da incollare, è SendGrid a conservare le chiavi private e a poter ruotare le chiavi DKIM pubblicate dietro quei due selettori senza che tu debba più modificare il DNS. Non crei tu un record TXT DKIM e non c'è nessuna chiave da copiare. Aggiungi solo i due CNAME s1._domainkey / s2._domainkey esattamente come mostrati (nuvola grigia/DNS only se usi Cloudflare) e fai clic su Verify.
DMARC
DMARC è un record di policy separato sul dominio radice, non uno dei CNAME, anche se la procedura di SendGrid ti invita ad aggiungerlo. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non influisce sul recapito mentre verifichi che la posta SendGrid superi SPF e DKIM con allineamento al tuo dominio. Tieni d'occhio i report aggregati (rua) per una o due settimane, poi passa a p=quarantine e infine a p=reject quando l'allineamento è costante. Tieni un solo record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungerne un secondo per SendGrid.
Verifica che funzioni davvero
Non fidarti solo del badge “Verified” della dashboard: confermalo su un messaggio reale. Inviati un'email di prova da un indirizzo del dominio autenticato, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con il tuo dominio (non sendgrid.net), più DMARC: PASS. Preferisci un report? Invia un'email di prova a check-auth@verifier.port25.com e riceverai via email un'analisi completa. Puoi anche analizzare il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e, quando iniziano ad arrivare i report aggregati DMARC, caricarne uno nell'analizzatore di report DMARC: SendGrid dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Il proxy di Cloudflare rompe tutto: imposta ogni CNAME di SendGrid su “DNS only” (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in sendgrid.net e la verifica fallisce.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire em1234.yourdomain.com produce em1234.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta del sottodominio (em1234, s1._domainkey, s2._domainkey) se il pannello aggiunge il dominio per te.
- Copertura
Single Sender Verification non è l'autenticazione del dominio: ti permette di inviare da un indirizzo, ma mostra comunque “via sendgrid.net” e non ti dà l'allineamento SPF/DKIM. Devi eseguire Authenticate Your Domain.
- Configurazione DNS
Non aggiungere un include:sendgrid.net superfluo al tuo SPF radice se hai usato la configurazione CNAME (Automated Security): non serve e consuma inutilmente una delle tue ricerche SPF.
- Configurazione DNS
Il limite di 10 ricerche SPF (RFC 7208): ogni include: nel tuo SPF radice conta ai fini di un limite rigido di 10 ricerche DNS. L'approccio CNAME di SendGrid aggiunge zero ricerche al tuo SPF radice, un vantaggio concreto se usi già Google, Microsoft, Mailchimp ecc.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice. Se invii anche tramite altri provider, unisci i loro meccanismi in un unico record v=spf1 invece di pubblicare un secondo TXT SPF (due record SPF sono di per sé un PermError).
Crea il tuo record SPF
SendGrid non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per SendGrid: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.