SPF, DKIM e DMARC per Shopify.
Su Shopify, “inviare email dal tuo dominio” significa quasi sempre che la posta automatica del negozio (conferme d'ordine, aggiornamenti sulla spedizione, avvisi di carrello abbandonato e campagne di marketing inviate dall'app Shopify Email) parte con un indirizzo From personalizzato come orders@yourstore.com invece che con un indirizzo Shopify generico. Shopify autentica questo flusso con l'autenticazione del dominio basata su CNAME: una serie di record CNAME (il numero esatto varia da negozio a negozio) che configurano DKIM, mentre SPF viene gestito sull'infrastruttura di invio di Shopify, più un record TXT DMARC che aggiungi tu. Non c'è un include SPF condiviso da incollare nel record radice e, se hai acquistato il dominio tramite Shopify, quasi tutto è già configurato per te.
Perché autenticare Shopify?
Dal 1° febbraio 2024 Gmail e Yahoo richiedono che ogni dominio che invia loro posta sia autenticato con SPF, DKIM e un record DMARC. Shopify applica questa regola a livello di piattaforma. Se il tuo dominio di invio non è autenticato, Shopify aggiunge “via shopifyemail.com” al tuo indirizzo From; se non è né autenticato né coperto da un record DMARC, Shopify va oltre e riscrive completamente l'indirizzo From con un generico store+123@shopifyemail.com (il numero è univoco per il tuo negozio), così la posta raggiunge comunque i clienti. Il recapito continua a funzionare, ma il tuo brand sparisce: i clienti vedono un indirizzo Shopify invece del tuo, le risposte possono finire nel posto sbagliato e i messaggi sembrano meno affidabili. Completare l'autenticazione CNAME e aggiungere un record DMARC ferma la riscrittura, permette alle email d'ordine e di marketing di partire dal tuo vero indirizzo, le firma con DKIM allineato al tuo dominio e soddisfa le regole di Google/Yahoo per i mittenti di grandi volumi. Migliora anche direttamente il recapito nella posta in arrivo delle email transazionali che i tuoi clienti si aspettano davvero.
Come funziona davvero SPF con Shopify
Shopify non ti fornisce un include SPF da aggiungere al record TXT radice del tuo dominio: non c'è nessun “include:shopify...” da incollare e nessun meccanismo SPF di alcun tipo da pubblicare. Shopify descrive i suoi CNAME come record che “gestiscono SPF in automatico”; in pratica significa che SPF viene soddisfatto sull'infrastruttura di invio di Shopify: la posta del negozio parte con un Return-Path (envelope-from) su shopifyemail.com, che ha il record SPF di Shopify, quindi il controllo SPF viene superato lì senza nulla nel tuo DNS. Poiché quel Return-Path è un dominio di Shopify e non un tuo sottodominio, non è SPF ad allineare la posta del negozio al tuo dominio, ma DKIM. I CNAME che aggiungi sono record di selettori DKIM sotto _domainkey, e il valore d= della loro firma è il tuo dominio: è questo che fa superare DMARC (sia dmarcian sia Shopify la considerano una configurazione basata prima di tutto su DKIM). Due conseguenze pratiche. Primo: non cercare di “aiutare” aggiungendo un meccanismo SPF di Shopify al record radice, perché non esiste e inventarne uno non serve a nulla. Secondo: se pubblichi già un record SPF radice per le caselle personali (Google Workspace, Microsoft 365, Zoho), così che you@yourstore.com funzioni, lascialo esattamente com'è: la posta del negozio Shopify è un flusso separato, autenticato dai propri CNAME, mentre SPF/DKIM del tuo provider di posta coprono la posta che invii personalmente. I due non si sovrappongono, e l'autenticazione di Shopify aggiunge zero ricerche DNS al tuo SPF radice.
Due modi per configurarlo
Configurazione automatica tramite Domain Connect
- Disponibile solo se il tuo DNS è ospitato su Cloudflare, GoDaddy o IONOS
- Shopify scrive per te i record CNAME DKIM/SPF dopo che hai collegato l'account
- La strada più rapida, con meno rischi di sbagliare a digitare un token del negozio
- NON aggiunge comunque il record DMARC: il TXT _dmarc devi aggiungerlo tu
Inserimento manuale dei CNAME (tutti gli altri provider DNS)
- Necessario per Namecheap, Route 53, Porkbun, Squarespace DNS e quasi tutti gli altri
- Copia host e destinazione di ogni CNAME dalla finestra Authenticate your domain nel tuo editor DNS
- Ogni prefisso host è un token casuale del negozio: copialo alla lettera, altrimenti il record non funziona
- Anche in questo caso il record TXT DMARC lo aggiungi tu
Passo dopo passo
- 1
Controlla se Shopify gestisce già il tuo dominio
Se hai registrato o trasferito il dominio tramite Shopify (un dominio gestito da Shopify), l'autenticazione email (DKIM, SPF e DMARC) viene configurata in automatico e non devi aggiungere nulla: passa direttamente alla verifica. Solo i domini di terze parti (registrati su Namecheap, GoDaddy, Cloudflare, Route 53, Porkbun e così via) richiedono il lavoro manuale dei passaggi successivi.
- 2
Apri la finestra di autenticazione dell'indirizzo mittente
Trova la sezione Sender email, conferma l'indirizzo From personalizzato da cui vuoi che il negozio invii (ad esempio orders@yourstore.com o hello@yourstore.com) e fai clic su Authenticate your domain (in alcuni negozi l'etichetta è “Email domain authentication”). Shopify genera una serie di record CNAME univoci per il tuo negozio e apre una finestra che elenca nome host e valore di destinazione di ogni record. Il numero di record varia, quindi preparati ad aggiungere tutti quelli che la finestra mostra.
- 3
Scegli la configurazione DNS automatica o manuale
Se il tuo DNS è ospitato su Cloudflare, GoDaddy o IONOS, Shopify può scrivere i record CNAME per te tramite Domain Connect: collega l'account e Shopify li pubblica in automatico. Importante: la configurazione automatica NON aggiunge il record DMARC, quindi il passaggio DMARC devi comunque completarlo a mano. Con tutti gli altri provider DNS usa la configurazione manuale: tieni aperta la finestra e copia i record nell'editor DNS in un'altra scheda.
- 4
Aggiungi i record CNAME che Shopify mostra
Crea ogni record elencato da Shopify con tipo CNAME. Per ciascuno, inserisci il prefisso host/nome esattamente come mostrato (solo il prefisso relativo, ad esempio xk1._domainkey, perché il provider DNS aggiunge il dominio) e incolla la destinazione di Shopify come valore/points-to. Questi record configurano DKIM (e coprono SPF tramite il return-path di Shopify), quindi non aggiungere alcun record TXT SPF separato per Shopify. Ogni prefisso contiene un token casuale del negozio, quindi copia ogni valore alla lettera: basta un carattere modificato per rompere il record.
- 5
Pubblica un record DMARC
Shopify richiede un record DMARC prima di smettere di riscrivere l'indirizzo del mittente, e vale anche se hai usato la configurazione automatica tramite Domain Connect, che non aggiunge mai DMARC. Aggiungi un record TXT sull'host _dmarc con almeno v=DMARC1; p=none; e, idealmente, un indirizzo di report rua= per ricevere i report aggregati. Pubblica un solo record DMARC e non usare i tag di allineamento strict (adkim=s o aspf=s): con l'allineamento strict Shopify continua a riscrivere il tuo indirizzo From.
- 6
Non toccare i record del tuo provider di posta
I CNAME di Shopify autenticano solo la posta in uscita del negozio (le notifiche e l'app di marketing Shopify Email). Le email che invii e ricevi come persona, tramite Google Workspace, Microsoft 365, Zoho o simili, sono un flusso diverso con propri record SPF e DKIM. Non rimuoverli e non unirli: i due flussi convivono sotto lo stesso dominio.
- 7
Attendi la propagazione e conferma in Shopify
Le modifiche DNS possono richiedere fino a 48 ore per propagarsi del tutto, anche se spesso sono attive entro un'ora o due. Torna alla sezione Sender email: quando Shopify rileva i record, contrassegna il dominio come Authenticated e smette di riscrivere l'indirizzo From, così la posta del negozio parte dal tuo vero indirizzo personalizzato.
- 8
Verifica dall'esterno, poi rendi DMARC più restrittivo
Con uno strumento pubblico di controllo dei record, conferma dall'esterno di Shopify che DKIM e DMARC si risolvano per il tuo dominio (e che SPF venga superato per il flusso di invio), poi inviati un ordine di prova o una Shopify Email per verificare che la firma sia corretta. A quel punto porta avanti il rollout di DMARC: resta su p=none mentre leggi i report aggregati, e passa a p=quarantine e infine a p=reject solo quando ogni flusso legittimo (Shopify più il tuo provider di posta) supera i controlli ed è allineato.
Record da aggiungere
Shopify genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | xk1._domainkey | dkim1.xk1.shopifyemail.comSelettore DKIM di esempio. Il vero prefisso host del tuo negozio è un token casuale (i negozi reali mostrano qualcosa come err._domainkey), e sia il prefisso sia la destinazione vanno presi direttamente dalla finestra Authenticate your domain: copiali alla lettera. |
| CNAME | xk2._domainkey | dkim2.xk1.shopifyemail.comSecondo selettore DKIM di esempio. Shopify pubblica diversi selettori per poter ruotare le chiavi; il numero esatto di record varia da negozio a negozio, quindi aggiungi tutti quelli elencati nella finestra. |
| CNAME | xk3._domainkey | dkim3.xk1.shopifyemail.comTerzo selettore DKIM di esempio. Non c'è alcun record SPF o di bounce separato da aggiungere: SPF è gestito sul return-path di Shopify (shopifyemail.com), ed è per questo che non serve un include SPF sul dominio radice. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourstore.comQuesto lo aggiungi tu: Shopify non lo crea mai, nemmeno con la configurazione automatica tramite Domain Connect. Pubblica esattamente un record DMARC ed evita adkim=s / aspf=s, altrimenti Shopify continua a riscrivere l'indirizzo del mittente. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Shopify.
La configurazione consigliata di Shopify aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Il DKIM di Shopify è delegato tramite CNAME: non è una chiave pubblica da incollare. Quando autentichi il dominio, Shopify pubblica diversi record DKIM come CNAME su host in stile selettore sotto _domainkey. Il numero esatto varia da negozio a negozio e ogni prefisso host è un token casuale specifico del negozio (i negozi reali vedono prefissi come err._domainkey, err2._domainkey o mailererr._domainkey, non nomi ordinati come shopify1/shopify2). Ognuno punta a una chiave ospitata da Shopify su shopifyemail.com. Poiché la chiave vera e propria risiede presso Shopify, Shopify può ruotarla senza che tu debba più toccare il DNS: non devi mai gestire tu una stringa v=DKIM1; p=... Questi selettori firmano la posta in uscita del negozio e, poiché i CNAME si trovano sul tuo dominio, il valore d= della firma DKIM si allinea al tuo dominio: in una configurazione Shopify è proprio questo l'allineamento su cui si basa DMARC (SPF viene superato sul return-path di Shopify, ma non è allineato a te). L'unica cosa da fare bene è copiare ogni prefisso host e ogni destinazione esattamente come li mostra la finestra: quei token del negozio non corrisponderanno a nessun esempio.
DMARC
DMARC è l'unico record che Shopify non crea per te (nemmeno con la configurazione automatica tramite Domain Connect) ed è obbligatorio: senza, Shopify riscrive il tuo indirizzo From anche dopo che i CNAME sono al loro posto. Aggiungi un unico record TXT su _dmarc. Il minimo accettato da Shopify è v=DMARC1; p=none; ma includi un indirizzo rua=mailto: per ricevere davvero i report aggregati che ti dicono quali flussi superano i controlli. Due regole specifiche di Shopify: pubblica un solo record DMARC (un secondo TXT su _dmarc fa fallire la verifica e riattiva la riscrittura del mittente) e non impostare l'allineamento strict. Con adkim=s o aspf=s Shopify continua a riscrivere il tuo indirizzo, perché la posta del negozio si autentica tramite DKIM (il suo d= è il tuo dominio organizzativo) e tramite un return-path SPF su shopifyemail.com che non può allinearsi in modo strict. Parti da p=none, controlla i report finché sia Shopify sia il tuo provider di posta non risultano autenticati correttamente, poi passa a p=quarantine e infine a p=reject. Passare subito all'applicazione della policy rischia di seppellire posta legittima di ordini e marketing.
Verifica che funzioni davvero
Non giudicare il risultato solo dalla schermata di Shopify: conferma che i record si risolvano pubblicamente. Dopo aver atteso la propagazione (fino a 48 ore), analizza il dominio con uno strumento esterno di controllo SPF/DKIM/DMARC: deve trovare le chiavi DKIM sui selettori di Shopify, confermare che SPF venga superato per il flusso di invio e mostrare un unico record DMARC valido. In Shopify, la sezione Sender email deve indicare Authenticated, e una notifica di prova (fai un ordine di prova o inviati una Shopify Email) deve arrivare dal tuo indirizzo personalizzato, non riscritta in store+123@shopifyemail.com né con l'indicazione “via shopifyemail.com”. Se l'indirizzo viene ancora riscritto, le cause tipiche sono record non ancora propagati, un record DMARC mancante o duplicato, oppure un allineamento DMARC strict. Quando iniziano ad arrivare i report DMARC, usali per confermare che ogni sorgente legittima sia allineata prima di rendere più restrittiva la policy.
Insidie comuni
- Configurazione DNS
L'indirizzo From viene riscritto in store+123@shopifyemail.com se salti una delle due metà della configurazione. Servono SIA i record CNAME SIA un record DMARC: se autentichi il dominio ma dimentichi DMARC, l'indirizzo viene comunque riscritto.
- Configurazione DNS
La configurazione automatica (Domain Connect) salta DMARC. Se il tuo DNS è su Cloudflare, GoDaddy o IONOS e lasci che Shopify scriva i CNAME per te, il record _dmarc non viene comunque aggiunto: devi aggiungerlo a mano, altrimenti la riscrittura continua.
- Fa fallire l'autenticazione
Non esiste un include SPF di Shopify da aggiungere al record radice. SPF è gestito sul return-path di Shopify (shopifyemail.com), quindi incollare un include:shopify... inventato nel tuo SPF radice non serve a nulla.
- Copertura
L'allineamento DMARC strict rompe tutto. Se il tuo record DMARC contiene adkim=s o aspf=s, Shopify continua a riscrivere l'indirizzo del mittente: usa l'allineamento relaxed (quello predefinito).
- Configurazione DNS
È consentito un solo record DMARC. Un secondo TXT su _dmarc (magari lasciato da un altro strumento o da un provider precedente) non supera la verifica e riattiva la riscrittura.
- Copertura
Gli strani prefissi host di tre lettere sono normali. Shopify genera selettori con token casuali come err._domainkey o mailererr._domainkey: 'err' non indica un errore, è solo un prefisso del negozio. Aggiungili esattamente come mostrati.
- Copertura
Inserisci solo il prefisso host, non il dominio completo. Quasi tutti gli editor DNS aggiungono il dominio in automatico, quindi digitare err._domainkey.yourstore.com invece di err._domainkey crea un record non valido.
- Configurazione DNS
Non confondere la posta del negozio con la tua casella. I CNAME di Shopify coprono solo le notifiche del negozio e l'app Shopify Email; la posta che invii personalmente da you@yourstore.com ha comunque bisogno dei propri SPF/DKIM di Google Workspace, Microsoft 365 o Zoho.
- Copertura
La propagazione può richiedere fino a 48 ore. Shopify non imposta il dominio su Authenticated finché non rileva i record, quindi una configurazione che sembra incompleta potrebbe solo avere bisogno di tempo prima del prossimo controllo.
Crea il tuo record SPF
Shopify non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Shopify: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.