Guida alla configurazione SPF

SPF, DKIM e DMARC per SiteGround.

A differenza di un semplice registrar, SiteGround prova a fare quasi tutto al posto tuo: se il tuo dominio usa i nameserver e il servizio email di SiteGround, SPF, DKIM e DMARC vengono creati automaticamente nel momento in cui il sito viene predisposto. Quindi su SiteGround il lavoro non è tanto “aggiungere tre record da zero”, quanto “sapere dove SiteGround li ha già messi, confermare che siano attivi e unire gli altri servizi con cui invii”. L'insidia è che SiteGround divide i controlli tra due posti e due interfacce: SPF e DKIM stanno in uno strumento dedicato, Email > Authentication, dentro Site Tools, mentre DMARC è sempre e solo un record TXT grezzo da modificare nel DNS Zone Editor. Questa guida li copre entrambi, con i percorsi di menu esatti, la forma predefinita dei record creati da SiteGround e l'unica condizione da cui dipende tutto: che il tuo DNS sia davvero gestito da SiteGround.

Include SPF

Your DNSAdd the CNAME / TXT records

SiteGroundSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Perché autenticare SiteGround?

L'autenticazione oggi è il biglietto d'ingresso per la posta in arrivo, non un optional. Secondo i requisiti per i mittenti di Google e Yahoo, ogni mittente deve avere almeno SPF o DKIM allineato al dominio From, e i mittenti di grandi volumi (più di 5.000 messaggi al giorno verso Gmail) devono avere SPF, DKIM e una policy DMARC. Poiché SiteGround ospita moltissimi siti WordPress, i suoi server inviano parecchia posta transazionale (conferme d'ordine, reimpostazioni della password, risposte ai moduli di contatto) a nome del tuo dominio. Senza questi record quella posta è facile da falsificare e finisce presto nello spam, e quando il tuo dominio si fa la fama di inviare posta non autenticata, ne risente tutto ciò che invii, comprese le risposte scritte dalle persone.

Come funziona davvero SPF con SiteGround

SiteGround pubblica automaticamente un record SPF per te. La sua forma predefinita è `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all`. Ogni parte conta: `include:_spf.mailspamprotection.com` autorizza il relay di posta in uscita di SiteGround (mailspamprotection.com è la piattaforma di filtraggio email di SiteGround, che si risolve in pochi intervalli ip4 senza include annidati: una sola ricerca DNS), mentre `+a +mx` autorizzano l'IP del tuo account di hosting e i tuoi record MX, così supera i controlli anche la posta generata dal server stesso (notifiche di WordPress, PHP mail(), moduli di contatto). Tieni d'occhio il budget di ricerche: questo record standard consuma già tre delle tue 10 ricerche SPF (una ciascuno per `+a`, `+mx` e l'include) prima ancora di aggiungere altri mittenti. Se tutta la tua posta parte da SiteGround, lascia stare questo record. Appena aggiungi un altro mittente (Google Workspace, Microsoft 365, un ESP come SendGrid o Brevo, oppure Email Marketing, il prodotto di SiteGround stesso), il suo `include:` va unito a questo stesso, unico record e mai pubblicato come secondo TXT SPF. E se hai spostato gli MX su Google o Microsoft e non invii più tramite SiteGround, `+a +mx include:_spf.mailspamprotection.com` potrebbe autorizzare server che non usi: vale la pena sfoltirlo. L'include in sé è la strada consigliata per la posta inviata da SiteGround, quindi tienilo, a meno che tu non abbia davvero smesso di inviare tramite SiteGround.

Passo dopo passo

Client Area > Services > Domains (oppure le impostazioni dei nameserver del tuo registrar)

1
Conferma che il tuo DNS sia davvero gestito da SiteGround
Ogni record creato automaticamente e ogni interruttore dello strumento Authentication raggiungono il tuo DNS pubblico solo se il dominio usa i nameserver di SiteGround o il DNS gestito da SiteGround. Se i tuoi nameserver puntano a Cloudflare, al registrar o a un altro host, la zona autoritativa si trova lì e niente di ciò che fai in Site Tools ha effetto: dovresti ricreare SPF, DKIM e DMARC nell'editor di quel provider. Controlla i nameserver prima di tutto: è il motivo più comune per cui i record di SiteGround “non funzionano”.

Site Tools > Email > Authentication

2
Apri lo strumento Email Authentication
È il pannello che SiteGround ha creato apposta per SPF e DKIM, organizzato in due schede. Se il tuo dominio usa il DNS e le caselle di SiteGround, entrambi sono già attivi per impostazione predefinita, quindi questo strumento serve soprattutto a controllarne lo stato e a personalizzarli. Nota cosa NON c'è: DMARC. Nello strumento Authentication non esiste un interruttore per DMARC: quel record si modifica a parte nel DNS Zone Editor.

Site Tools > Email > Authentication > SPF

3
Controlla il record SPF predefinito
SiteGround crea `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all`. La scheda SPF ti permette di aggiungere altri record A e server MX da autorizzare, bloccare indirizzi IP specifici, gestire la lista degli include e regolare il qualificatore finale “all”. Lascia il record così com'è se tutta la tua posta parte da SiteGround. `~all` è un soft fail (accetta ma segnala): l'impostazione prudente finché ogni mittente legittimo non è elencato.

Authentication > SPF (lista degli include) oppure Domain > DNS Zone Editor

4
Unisci gli altri servizi di invio a quell'unico record SPF
Se invii anche tramite Google Workspace (`include:_spf.google.com`), Microsoft 365, un ESP o SiteGround Email Marketing, l'include di ciascuno va unito a questo singolo record: un dominio può pubblicare un solo TXT SPF, e un secondo record manda SPF completamente in errore. Aggiungi gli include dalla lista dello strumento Authentication, oppure modifica direttamente il TXT SPF nel DNS Zone Editor. Fai comporre al generatore di record SPF un'unica stringa valida, così include e qualificatore sono nell'ordine corretto, e tieni d'occhio il limite di 10 ricerche man mano che aggiungi mittenti.

Site Tools > Email > Authentication > DKIM

5
Conferma che DKIM sia Active
SiteGround genera automaticamente una coppia di chiavi DKIM e pubblica la chiave pubblica sul selettore `default` (host `default._domainkey`), con un valore nella forma `v=DKIM1; k=rsa; p=…`. La scheda DKIM mostra ACTIVE o INACTIVE. Se è inattivo, fai clic su ACTIVATE e SiteGround scrive il record nella zona al posto tuo: non devi mai generare né incollare una chiave. Per ruotare la chiave, fai Deactivate e poi Activate. Ricorda che questa chiave firma solo la posta inviata da SiteGround stesso.

Site Tools > Domain > DNS Zone Editor (raggiungibile anche da Client Area > Services > Domains > Settings)

6
Trova e modifica il record DMARC creato automaticamente
Quando il sito è stato creato, SiteGround ha aggiunto un record DMARC di base su `_dmarc` che inizia con `v=DMARC1; p=none;`. Apri il DNS Zone Editor, trova il record TXT il cui valore inizia con `v=DMARC1`, fai clic sull'icona della matita e modifica il campo Value per aggiungere il tuo indirizzo per i report (es. `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com`), poi fai clic su Confirm. Tieni la policy su `p=none`, così raccogli i report senza influire sul recapito. Se vuoi i tag formattati correttamente, componi il valore con il generatore di record DMARC.

Domain > DNS Zone Editor > Create New Record (TXT o CNAME)

7
Aggiungi il DKIM dei provider esterni sui loro selettori
Il selettore `default` di SiteGround copre solo la posta inviata da SiteGround. Google Workspace, un ESP o Email Marketing ti forniscono ciascuno un selettore diverso: `google._domainkey`, `s1._domainkey` o una destinazione CNAME ospitata da loro. Pubblicali esattamente come ti vengono dati, come record aggiuntivi nel DNS Zone Editor. Avere più selettori DKIM affiancati è normale e corretto, perché ognuno sta su un host proprio.

Strumento esterno di controllo SPF/DKIM/DMARC + DNS Zone Editor

8
Verifica che tutto si risolva
Lascia al DNS da qualche minuto a un paio d'ore per propagarsi, poi passa il tuo dominio e il selettore DKIM `default` a uno strumento di controllo esterno. Conferma che ci sia esattamente un record SPF, DKIM su `default._domainkey` e un solo record `_dmarc`. La tabella Manage DNS Records del DNS Zone Editor è la tua fonte di riferimento per ciò che SiteGround pubblica davvero.

Record da aggiungere

SiteGround genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

Tipo	Host	Valore
TXT	@	v=spf1 +a +mx include:_spf.mailspamprotection.com ~allIl record SPF predefinito creato automaticamente da SiteGround. Unisci l'include di ogni altro mittente a QUESTO unico record: non pubblicare mai un secondo TXT SPF. Il valore è esatto per la posta inviata da SiteGround; +a, +mx e l'include costano una ricerca DNS ciascuno (tre in totale).
TXT	default._domainkey	v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC… (illustrative public key)Generato automaticamente da SiteGround sul selettore “default”. Non lo incolli mai: viene creato quando DKIM è Active. La chiave mostrata è a titolo di esempio; la tua sarà diversa.
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comSiteGround crea automaticamente un record p=none minimo; modificalo nel DNS Zone Editor per aggiungere il tuo indirizzo rua per i report. Valore di esempio: tieni p=none finché i report non sono puliti.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di SiteGround.

SPF 10-lookup budget1 used · 9 free

SiteGround occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

Su SiteGround DKIM è del tutto automatico e non richiede di incollare alcuna chiave. Quando il tuo dominio usa i nameserver e il servizio email di SiteGround, SiteGround genera una coppia di chiavi RSA, conserva la chiave privata sui propri server di posta e pubblica la chiave pubblica sul selettore fisso `default`: l'host del record è quindi `default._domainkey` e il valore ha la forma `v=DKIM1; k=rsa; p=<public key>`. Lo gestisci interamente da Site Tools > Email > Authentication > DKIM, dove lo stato indica ACTIVE o INACTIVE; facendo clic su ACTIVATE il record viene scritto nella tua zona, e per ruotare la chiave basta fare Deactivate e poi di nuovo Activate. Il limite importante: questa chiave firma solo la posta inviata da SiteGround. La posta che invii tramite Google Workspace, Microsoft 365 o un ESP viene firmata con il selettore di quel provider, e il relativo record DKIM va pubblicato a parte: il selettore `default` di SiteGround non la copre.

DMARC

DMARC è il livello di policy che collega SPF e DKIM all'indirizzo From visibile e attiva i report. SiteGround crea per te un record DMARC di base su `_dmarc` quando il sito viene predisposto, a partire da `v=DMARC1; p=none;`. A differenza di SPF e DKIM, NON si trova nello strumento Authentication: lo modifichi come record TXT grezzo nel DNS Zone Editor (Site Tools > Domain > DNS Zone Editor, oppure Client Area > Services > Domains > Settings). Trova il TXT che inizia con `v=DMARC1`, fai clic sull'icona della matita e aggiungi il tuo indirizzo per i report, così i report aggregati arrivano a una casella che leggi davvero: `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com`. Tieni `p=none` mentre monitori: non cambia nulla nel recapito, attiva solo i report giornalieri. Passa a `p=quarantine` e poi a `p=reject` solo dopo che i report confermano che ogni flusso legittimo supera SPF o DKIM con allineamento.

Verifica che funzioni davvero

Aspetta da qualche minuto a un paio d'ore per la propagazione, poi conferma tutti e tre i record dall'esterno di SiteGround con il controllo autenticazione email (SPF, DKIM e DMARC): incolla il tuo dominio e il selettore DKIM `default`. Devi trovare esattamente un record SPF (non due), una chiave DKIM su `default._domainkey` e un solo TXT `_dmarc`. Il DNS Zone Editor di SiteGround (la tabella Manage DNS Records) è la fonte di riferimento per ciò che la zona pubblica davvero, quindi controlla lì se una ricerca dà un risultato diverso. Se manca un record, ricontrolla in quest'ordine: che a servire il dominio siano davvero i nameserver di SiteGround, che tu abbia modificato il record DMARC nel DNS Zone Editor invece di cercarlo nello strumento Authentication, e che il DKIM di ogni provider esterno sia pubblicato sul suo selettore.

Check-up del dominio Analizzatore di report DMARC

Insidie comuni

Copertura
Tutto il sistema dipende dal fatto che il tuo DNS sia gestito da SiteGround. Se i tuoi nameserver puntano a Cloudflare, al registrar o a un altro host, i record creati automaticamente e tutti gli interruttori dello strumento Authentication non hanno alcun effetto: devi ricreare SPF, DKIM e DMARC nell'editor DNS di quel provider. Conferma i nameserver prima di cercare qualsiasi altro problema.
Configurazione DNS
SPF e DKIM stanno in Site Tools > Email > Authentication, ma DMARC si trova solo nel DNS Zone Editor. Molti cercano un interruttore DMARC nello strumento Authentication, non lo trovano e pensano che DMARC manchi: invece c'è già, come record TXT che inizia con v=DMARC1.
Copertura
Il DKIM predefinito di SiteGround (selettore “default”) firma solo la posta inviata da SiteGround. La posta che parte da Google Workspace, Microsoft 365 o un ESP non viene firmata da SiteGround e ha bisogno del DKIM di quel provider sul suo selettore, altrimenti non supera DKIM anche se SiteGround mostra DKIM come ACTIVE.
Fa fallire l'autenticazione
Non pubblicare mai un secondo record SPF. Quando aggiungi un altro servizio di invio, unisci il suo include al record v=spf1 …mailspamprotection.com… esistente, tramite la lista degli include dello strumento Authentication o il DNS Zone Editor. Due record TXT SPF fanno fallire SPF per l'intero dominio.
Copertura
Se hai spostato gli MX su Google o Microsoft e non invii più tramite SiteGround, il valore predefinito +a +mx include:_spf.mailspamprotection.com sta autorizzando server che non usi: valuta se l'include di SiteGround serve ancora prima di rendere più rigida la policy.
Configurazione DNS
L'SPF standard di SiteGround consuma già tre delle tue 10 ricerche SPF prima ancora che tu aggiunga qualcosa: una ciascuno per +a, +mx e include:_spf.mailspamprotection.com. Con Google Workspace (circa due in più) e un ESP puoi avvicinarti al limite di 10 ricerche, quindi tieni il record snello e togli +a/+mx se il server di SiteGround non invia più la tua posta.
Copertura
SiteGround Email Marketing è un prodotto separato con una propria autenticazione del dominio (record propri, compreso un include spf.dnssmarthost.net per ogni account): non confondere l'autenticazione di quel servizio con l'SPF/DKIM delle caselle gestito dallo strumento Authentication.
Copertura
Il soft fail ~all è l'impostazione predefinita di SiteGround: non passare a -all (hard fail) finché il controllo non conferma che ogni mittente legittimo è nel record, altrimenti farai rimbalzare la tua stessa posta.

Crea il tuo record SPF

SiteGround è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Selezionati

SiteGroundinclude:_spf.mailspamprotection.comGuida →

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

a (il record A del dominio)mx (gli host MX del dominio)

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Include aggiuntivi

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

Indirizzi IPv4

Indirizzi IPv6

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

-all (fail)Rigido: i server riceventi dovrebbero rifiutare la posta da qualsiasi server non elencato.~all (softfail)Impostazione consigliata: i mittenti non elencati vengono accettati ma segnalati come sospetti.?all (neutral)Nessuna indicazione: non offre quasi nessuna protezione; usalo solo durante i test.

Il tuo record SPF1/10 ricerche DNS

v=spf1 include:_spf.mailspamprotection.com ~all

Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per SiteGround: domande frequenti

SPF e DKIM sono nello strumento dedicato Email Authentication: Site Tools > Email > Authentication, con una scheda SPF e una scheda DKIM. DMARC non è lì: è un record TXT da modificare in Site Tools > Domain > DNS Zone Editor (raggiungibile anche da Client Area > Services > Domains > Settings). Tutto questo ha effetto solo se il dominio usa i nameserver di SiteGround.

Sì. Quando viene creato un sito su un dominio che usa il DNS e l'email di SiteGround, SiteGround pubblica automaticamente un record SPF (v=spf1 +a +mx include:_spf.mailspamprotection.com ~all), attiva DKIM sul selettore “default” e crea un record DMARC di base con p=none. Di solito il tuo compito è controllarli, aggiungere il tuo indirizzo per i report DMARC e unire gli altri servizi di invio, non costruirli da zero.

È “default”, quindi il record si trova su default._domainkey (SiteGround aggiunge il tuo dominio). SiteGround genera la coppia di chiavi e pubblica per te la chiave pubblica come record TXT nella forma v=DKIM1; k=rsa; p=…; non devi mai incollare una chiave. Puoi ruotarla disattivando e riattivando DKIM nello strumento Authentication.

Due cose. Primo, unisci l'include SPF di quel provider (es. include:_spf.google.com) al tuo unico record SPF esistente, senza aggiungere un secondo TXT SPF. Secondo, pubblica il DKIM di quel provider sul suo selettore (es. google._domainkey) nel DNS Zone Editor: il DKIM “default” di SiteGround non firma la posta inviata tramite loro. Avere più selettori DKIM affiancati è normale.

È la piattaforma di filtraggio della posta in uscita di SiteGround, e l'include che autorizza i server di posta di SiteGround a inviare a nome del tuo dominio. Si risolve in un piccolo gruppo di intervalli ip4 senza altri include annidati, quindi costa una sola ricerca DNS rispetto al limite di 10 ricerche di SPF. Tieni l'include finché invii posta tramite SiteGround.

Quasi sempre perché il dominio non usa davvero i nameserver di SiteGround, quindi i record che vedi in Site Tools non sono autoritativi: controlla prima i nameserver. Altre cause: cercare DMARC nello strumento Authentication invece che nel DNS Zone Editor, il DKIM di un provider esterno pubblicato sul selettore sbagliato, un record SPF duplicato, o semplicemente un DNS non ancora propagato. Conferma con uno strumento di controllo esterno.

Letture correlate

SPF, DKIM e DMARC spiegatiI concetti alla base dei record (cosa dimostra ciascuno e perché i server riceventi lo controllano) prima di mettere mano agli strumenti di SiteGround.Come configurare DMARC in sicurezzaL'intero percorso dal monitoraggio all'applicazione della policy: quanto restare su p=none e quando portare il record predefinito di SiteGround a quarantine e reject.Come leggere i report DMARCQuando il tuo indirizzo rua raccoglie i report aggregati, come leggerli e confermare che ogni flusso di SiteGround e di terze parti sia allineato.Requisiti per i mittenti di Google e YahooLe regole in vigore dal 2024 che rendono obbligatori SPF, DKIM e DMARC, e la soglia di 5.000 messaggi al giorno per i grandi volumi che impone una policy DMARC.SPF, DKIM e DMARC su CloudflareSe i tuoi nameserver puntano a Cloudflare invece che a SiteGround, è qui che ricrei gli stessi record: il pannello degli strumenti non raggiunge la tua zona.Controllo autenticazione emailIncolla il tuo dominio e il selettore DKIM “default” per confermare un solo record SPF, DKIM su default._domainkey e un solo TXT _dmarc.

Altri provider: Hosting e siti web

Tutte le guide SPF

Monitora ogni giorno SPF, DKIM e DMARC di SiteGroundConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominio SPF: troppe query DNS. Come contarle e correggere il permerror

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare