Guida alla configurazione SPF

SPF, DKIM e DMARC per SMTP.com.

SMTP.com è un relay SMTP e un'API email: ci colleghi la tua app, il tuo CRM o il tuo server di posta e lui recapita per conto tuo, quindi il tuo dominio deve autorizzarlo. La configurazione richiede tre record DNS più un'impostazione lato account: un vero include SPF (include:_spf.smtp.com) da unire al tuo SPF radice, un CNAME DKIM per dominio personalizzato sul selettore smtpkey, che SMTP.com deve anche abilitare sul tuo account perché la posta venga firmata con il tuo dominio invece che con quello condiviso, e un record di policy DMARC che pubblichi tu. Con tutti e tre al loro posto, SMTP.com inoltra la posta completamente autenticata a tuo nome, con DKIM allineato al tuo dominio From, così DMARC viene superato senza appoggiarsi al dominio di firma condiviso di SMTP.com.

Include SPF

Your DNSAdd the CNAME / TXT records

SMTP.comSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Perché autenticare SMTP.com?

L'autenticazione del dominio con cui inoltri tramite SMTP.com decide se i tuoi messaggi raggiungono la posta in arrivo, e per un relay ad alto volume c'è più in gioco che per un host di caselle. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live: proprio i volumi per cui si usa SMTP.com. L'insidia specifica del relay: di default SMTP.com firma con DKIM la tua posta in uscita con uno dei propri domini condivisi (d=smtpsend.com) e gestisce i bounce sul proprio Return-Path, quindi né SPF né DKIM si allineano al tuo dominio From. Un dominio non configurato su SMTP.com non ha quindi alcun meccanismo allineato: DMARC non può essere superato, i server riceventi possono mostrare la nota “via smtpsend.com” e la reputazione di invio che stai pagando per costruire finisce in comune con tutti gli altri mittenti non autenticati dell'infrastruttura condivisa. Attivare l'include SPF e, soprattutto, il DKIM per dominio personalizzato rende la posta crittograficamente tua, fa superare DMARC e fa crescere la reputazione sotto il tuo dominio.

Come funziona davvero SPF con SMTP.com

SMTP.com è un vero provider “include”: aggiungi un meccanismo condiviso, include:_spf.smtp.com, all'unico record TXT SPF del tuo dominio radice, ottenendo v=spf1 include:_spf.smtp.com ~all. È un include davvero condiviso (tutti i clienti SMTP.com usano lo stesso) ed è snello: si risolve in un record piatto che contiene solo due intervalli IPv4 e il proprio softfail (v=spf1 ip4:192.40.160.0/19 ip4:74.91.80.0/20 ~all), quindi costa solo UNA delle tue 10 ricerche DNS SPF, non le due o tre segnalate da alcuni strumenti di controllo con dati in cache. Ecco però la sfumatura che trae in inganno, detta onestamente: questo include autorizza gli IP di invio di SMTP.com, ma da solo non fa superare DMARC. Di default SMTP.com inoltra con il proprio dominio di mittente della busta / Return-Path (gestisce lui i tuoi bounce), e SPF viene sempre valutato su quel dominio della busta: il controllo viene quindi superato sull'infrastruttura di SMTP.com, senza allinearsi al tuo dominio From. L'include resta comunque il passaggio SPF corretto, documentato e consigliato (evita i fallimenti SPF grezzi ed è ciò che la configurazione di SMTP.com si aspetta), ed è per questo che devi pubblicarlo, ma il meccanismo che ti fa davvero superare DMARC è il CNAME DKIM per dominio personalizzato, che firma come d=yourdomain.com. Considera l'include necessario ma non sufficiente: pubblicalo, poi affidati a DKIM per l'allineamento (l'unica altra strada per un SPF allineato è concordare con SMTP.com un Return-Path/dominio di bounce personalizzato sul tuo dominio, cosa che la maggior parte degli account evita preferendo DKIM). E tieni esattamente un record SPF sul dominio: se invii anche tramite Google Workspace, Microsoft 365 o un altro strumento, unisci include:_spf.smtp.com a quell'unica riga v=spf1 invece di pubblicare un secondo TXT SPF (due record SPF sono un PermError).

Passo dopo passo

In SMTP.com

1
Individua il dominio con cui inoltri
Accedi al Control Panel di SMTP.com e annota il dominio From con cui invia la tua app o API (il dominio nell'intestazione From:, es. yourdomain.com). SMTP.com inoltra la posta per qualunque indirizzo From tu imposti, quindi l'autenticazione si fa su quel dominio organizzativo, non su un host di proprietà di SMTP.com. Qui trovi anche le credenziali Sender/relay e le impostazioni di Reputation Defender.

Nel tuo DNS

2
Aggiungi o unisci l'include SPF
Presso il tuo provider DNS, crea UN record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:_spf.smtp.com ~all. Se esiste già un record v=spf1 (Google Workspace, Microsoft 365, un altro relay), non aggiungerne un secondo: unisci include:_spf.smtp.com a quell'unico record, accanto agli altri meccanismi. Mantieni il softfail ~all usato da SMTP.com, a meno che tu non sia certo che ogni mittente sia elencato.

In SMTP.com

3
Attiva la firma DKIM per dominio personalizzato
Di default SMTP.com firma con il proprio dominio condiviso (d=smtpsend.com), che NON si allinea. Perché la posta venga firmata come d=yourdomain.com sul selettore smtpkey, la firma DKIM per dominio personalizzato va abilitata sul tuo account. È un'impostazione lato account, quindi richiedila al supporto di SMTP.com o al tuo account manager e conferma l'esatto selettore/destinazione che ti assegnano (la coppia comunemente pubblicata è indicata qui sotto).

Nel tuo DNS

4
Aggiungi il CNAME DKIM
Crea un record CNAME: host smtpkey._domainkey (quindi smtpkey._domainkey.yourdomain.com) che punta a smtpcustomer._domainkey.smtpsend.com. È una delega: SMTP.com conserva la chiave privata dietro quella destinazione condivisa e firma per conto tuo. Lascia il tipo CNAME; non cambiarlo in TXT o A.
5
Pubblica il record DMARC
SMTP.com non crea DMARC per te. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi che la posta di SMTP.com viene firmata e si allinea; renderai più rigida la policy in seguito.
6
Correggi il dominio duplicato e il proxy di Cloudflare
Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta (smtpkey._domainkey, e @ per SPF), così non ti ritrovi con smtpkey._domainkey.yourdomain.com.yourdomain.com. Su Cloudflare, imposta il CNAME DKIM su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in smtpsend.com e la convalida DKIM fallisce.

Verifica

7
Invia un'email di prova e leggi le intestazioni
Quando il DKIM personalizzato è abilitato e i record si sono propagati (di solito pochi minuti, fino a 24-72 ore), inoltra un'email di prova tramite SMTP.com a un indirizzo Gmail, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e selettore smtpkey (il segnale tipico del problema è d=smtpsend.com: la firma personalizzata non è ancora attiva), SPF: PASS e DMARC: PASS.
8
Conferma che ogni record si risolva
Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che l'SPF resti un unico record sotto il limite di 10 ricerche, che il CNAME smtpkey._domainkey si risolva in smtpsend.com e che il record DMARC sia presente. Quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: SMTP.com dovrebbe comparire come sorgente allineata che supera i controlli.

Record da aggiungere

SMTP.com genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.

Tipo	Host	Valore
TXT	@	v=spf1 include:_spf.smtp.com ~allSPF radice: tieni esattamente UN record SPF; unisci questo include se hai già una riga v=spf1. include:_spf.smtp.com si risolve in un record piatto (due intervalli ip4 + ~all), quindi costa 1 ricerca DNS. Autorizza gli IP di SMTP.com ma di default non si allinea.
CNAME	smtpkey._domainkey	smtpcustomer._domainkey.smtpsend.comDKIM per dominio personalizzato (il meccanismo allineato). Valore di esempio: è la destinazione condivisa ampiamente documentata, ma conferma l'esatto selettore/destinazione che SMTP.com assegna al tuo account. SMTP.com deve ANCHE abilitare la firma personalizzata lato account, altrimenti il CNAME non serve a nulla.
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: SMTP.com non lo crea mai. Un record DMARC per dominio; parti da p=none, poi passa a quarantine/reject quando DKIM si allinea senza problemi.

Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.

Il limite di 10 ricerche DNS

SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di SMTP.com.

SPF 10-lookup budget1 used · 9 free

SMTP.com occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.

DKIM

DKIM è la parte che ti fa davvero superare DMARC con SMTP.com, ed è il passaggio che la maggior parte delle persone salta perché SMTP.com “firma già” prima che tu faccia qualsiasi cosa, solo con il dominio sbagliato. Di default il relay firma con DKIM la tua posta in uscita usando uno dei propri domini condivisi (d=smtpsend.com). Quella firma è crittograficamente valida, ma non essendo il tuo dominio non si allinea, quindi non serve a nulla per DMARC su yourdomain.com. Per risolvere attivi il DKIM per dominio personalizzato, che richiede due azioni coordinate: (1) pubblicare un CNAME su smtpkey._domainkey.yourdomain.com che punta a smtpcustomer._domainkey.smtpsend.com, e (2) chiedere a SMTP.com di far passare il tuo account alla firma con il tuo dominio sul selettore smtpkey. È un'impostazione lato account che di solito si ottiene tramite il supporto di SMTP.com o il tuo account manager, quindi apri un ticket e conferma l'esatto selettore/destinazione che ti assegnano (ad alcuni account può essere data una coppia diversa). Poiché il record è un CNAME (non una chiave TXT da incollare), SMTP.com conserva la chiave privata dietro quella destinazione condivisa e può ruotarla senza che tu debba più toccare il DNS. Il compromesso del modello a destinazione condivisa è che la chiave non è solo tua, ma l'allineamento non dipende dall'unicità della chiave: conta che il valore d= della firma sia il tuo dominio organizzativo, e lo diventa quando la firma personalizzata è attiva. Il record che pubblichi è piccolo e statico; il lavoro vero (la firma) avviene sui server di SMTP.com. Finché non si verificano ENTRAMBE le condizioni (il CNAME si risolve E la firma personalizzata è attiva), Show original continuerà a riportare d=smtpsend.com e DMARC non avrà alcun meccanismo allineato.

DMARC

DMARC è un record TXT di policy separato sul tuo dominio che SMTP.com non crea: lo pubblichi tu presso il tuo provider DNS. Aggiungi un record TXT su _dmarc.yourdomain.com che inizia con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati (rua), così puoi confermare che la posta di SMTP.com superi DKIM con allineamento al tuo dominio prima di applicare qualsiasi policy. Questa fase di monitoraggio conta più del solito con SMTP.com proprio perché il suo SPF di default non si allinea: i report sono il modo per verificare che il CNAME DKIM personalizzato stia davvero garantendo l'allineamento. Osservali per una o due settimane, assicurati che ogni sorgente legittima (SMTP.com più eventuali altri mittenti) sia autenticata, poi rendi più rigida la policy passando a p=quarantine e infine a p=reject. NON passare subito a una policy rigida prima di aver confermato che DKIM firma come d=yourdomain.com: se la firma personalizzata non è ancora attiva, un record p=reject farà rimbalzare la tua stessa posta inoltrata. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC apposta per SMTP.com.

Verifica che funzioni davvero

Non fidarti solo del Control Panel o del tempo di propagazione: conferma l'autenticazione su un messaggio reale. Inoltra un'email di prova tramite SMTP.com verso una casella Gmail (o Outlook), aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e selettore smtpkey: se vedi d=smtpsend.com, la firma personalizzata non è ancora attiva, cioè il CNAME è pubblicato ma SMTP.com non ha ancora modificato il tuo account. Devi vedere anche SPF: PASS (passerà, ma ricorda che è allineato alla busta di SMTP.com, non al tuo dominio, a meno che tu non abbia concordato un Return-Path personalizzato) e DMARC: PASS, che qui dovrebbe arrivare dall'allineamento DKIM. Preferisci un report completo? Invia un'email di prova a check-auth@verifier.port25.com e riceverai in risposta un'analisi riga per riga. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il tuo SPF sia un unico record sotto il limite di 10 ricerche, che il CNAME smtpkey._domainkey si risolva correttamente in smtpsend.com e che DMARC sia presente e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: SMTP.com dovrebbe comparire come sorgente allineata che supera i controlli.

Check-up del dominio Analizzatore di report DMARC

Insidie comuni

Configurazione DNS
L'include SPF supera i controlli ma di default NON si allinea. Di default SMTP.com inoltra con il proprio dominio di Return-Path/busta, quindi include:_spf.smtp.com autorizza gli IP e dà un pass grezzo su SMTP.com, non sul tuo dominio From. Il solo include non ti farà superare DMARC: quello lo fa il CNAME DKIM personalizzato.
Fa fallire l'autenticazione
Di partenza DKIM firma come d=smtpsend.com (il dominio condiviso di SMTP.com), che è valido ma non si allinea. Devi abilitare il DKIM per dominio personalizzato perché la posta venga firmata come d=yourdomain.com sul selettore smtpkey, altrimenti DMARC non ha alcun meccanismo allineato.
Fa fallire l'autenticazione
Il DKIM personalizzato è un'impostazione lato account, non solo un record DNS. Pubblicare il CNAME smtpkey._domainkey non serve a nulla finché SMTP.com non abilita la firma personalizzata per il tuo account: apri un ticket di supporto o chiedi al tuo account manager, poi conferma l'esatto selettore e la destinazione che ti assegnano.
Configurazione DNS
La destinazione del CNAME DKIM è un host condiviso (smtpcustomer._domainkey.smtpsend.com), ed è voluto, non un errore di copia e incolla. SMTP.com conserva la chiave privata dietro quell'host e la ruota per te; l'allineamento funziona comunque perché il d= della firma è il tuo dominio. Lascialo CNAME, mai TXT.
Configurazione DNS
Il proxy di Cloudflare rompe il CNAME DKIM. Imposta smtpkey._domainkey su “DNS only” (nuvola grigia): un CNAME con proxy attivo (nuvola arancione) non si risolve in smtpsend.com e l'attivazione di DKIM fallisce.
Fa fallire l'autenticazione
Tieni esattamente UN record TXT SPF sul dominio radice. Se invii già tramite Google Workspace, Microsoft 365 o un altro relay, unisci include:_spf.smtp.com a quell'unica riga v=spf1: avere due record SPF è di per sé un PermError.
Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire smtpkey._domainkey.yourdomain.com produce smtpkey._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (smtpkey._domainkey, e @ per il record SPF) se il pannello aggiunge il dominio per te.
Copertura
Usa il ~all che l'include di SMTP.com prevede, a meno che tu non abbia censito tutti i mittenti. Un -all prematuro può far andare in hard fail la posta legittima di uno strumento che hai dimenticato di aggiungere alla stessa riga SPF.

Crea il tuo record SPF

SMTP.com è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.

Fonti di invio

Cerca ogni piattaforma con cui invii email e selezionala.

Selezionati

SMTP.cominclude:_spf.smtp.comGuida →

Server propri del dominio

Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).

a (il record A del dominio)mx (gli host MX del dominio)

Altri mittenti e IP

Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.

Include aggiuntivi

Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.

Indirizzi IPv4

Indirizzi IPv6

Policy per tutti gli altri

Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).

-all (fail)Rigido: i server riceventi dovrebbero rifiutare la posta da qualsiasi server non elencato.~all (softfail)Impostazione consigliata: i mittenti non elencati vengono accettati ma segnalati come sospetti.?all (neutral)Nessuna indicazione: non offre quasi nessuna protezione; usalo solo durante i test.

Il tuo record SPF1/10 ricerche DNS

v=spf1 include:_spf.smtp.com ~all

Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.

Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.

Verifica una lista

SPF per SMTP.com: domande frequenti

Sì: è il record SPF documentato di SMTP.com e devi pubblicarlo (unito alla tua unica riga v=spf1). Devi solo capire cosa fa: autorizza gli IP di invio di SMTP.com ed evita i fallimenti SPF grezzi, ma poiché SMTP.com inoltra con il proprio Return-Path, da solo non si allinea al tuo dominio From. Il superamento di DMARC arriva dal CNAME DKIM personalizzato, non dall'include SPF.

Quasi sempre perché non c'è ancora nulla di allineato. SPF viene superato sul dominio della busta di SMTP.com (non sul tuo) e di default DKIM firma come d=smtpsend.com (anche questo non è tuo). DMARC conta un meccanismo solo se si allinea al tuo dominio From, quindi, se nessuno dei due è allineato, fallisce. Abilita il DKIM per dominio personalizzato (pubblica il CNAME smtpkey._domainkey e fai attivare a SMTP.com la firma personalizzata), così DKIM firma come d=yourdomain.com e ti fa superare DMARC.

Un CNAME. Pubblichi l'host smtpkey._domainkey che punta a smtpcustomer._domainkey.smtpsend.com, e SMTP.com conserva la chiave privata dietro quella destinazione, così può firmare e ruotare per te. Non incollare una chiave pubblica TXT dove va il CNAME: la convalida DKIM fallirebbe.

Una sola. include:_spf.smtp.com si risolve in un record piatto con solo due intervalli ip4 e un ~all, senza include annidati, quindi è una sola ricerca DNS. Puoi affiancarlo tranquillamente ad altri mittenti, purché il totale resti sotto 10.

No, è la configurazione prevista. Tutti i clienti SMTP.com che abilitano il DKIM personalizzato delegano alla stessa destinazione smtpcustomer._domainkey.smtpsend.com; la coppia di chiavi è di SMTP.com. L'allineamento non richiede una chiave unica: richiede che il d= della firma sia il tuo dominio, e lo è quando la firma personalizzata è attiva. Conferma comunque l'esatta destinazione per il tuo account, perché ad alcuni account può essere assegnato un selettore/destinazione diverso.

Di solito sì. Pubblicare il CNAME smtpkey._domainkey spetta a te, ma far passare il tuo account alla firma con il tuo dominio (invece del dominio condiviso predefinito smtpsend.com) è una modifica lato account che può fare solo SMTP.com: apri un ticket di supporto o chiedi al tuo account manager, conferma l'esatto selettore/destinazione che ti assegnano, poi verifica con Show original che la posta venga firmata come d=yourdomain.com prima di rendere più rigida la policy DMARC.

Letture correlate

SPF, DKIM e DMARC spiegatiCome funzionano insieme i tre record e cosa significa “allineamento”, che con SMTP.com è il cuore di tutto.Come configurare DMARCPorta in sicurezza il record p=none di questa guida fino a quarantine e reject quando DKIM si allinea.Requisiti per i mittenti di Google e YahooI requisiti per i mittenti di grandi volumi che un relay SMTP.com ad alto volume deve rispettare.Come leggere i report DMARCConferma che SMTP.com compaia come sorgente allineata che supera i controlli prima di applicare la policy.Check-up del dominioVerifica che il tuo SPF resti un unico record, che il CNAME smtpkey si risolva e che DMARC sia attivo.Analizzatore di report DMARCCarica un report aggregato per vedere se SMTP.com si allinea tramite il tuo DKIM personalizzato.

Altri provider: Transazionali e API

Tutte le guide SPF

Monitora ogni giorno SPF, DKIM e DMARC di SMTP.comConfigurare il record è un solo passaggio. Il monitoraggio check-up del dominio ricontrolla ogni giorno il numero di query SPF, le chiavi DKIM e la policy DMARC e ti scrive quando uno si rompe.Scopri il monitoraggio check-up del dominio SPF: troppe query DNS. Come contarle e correggere il permerror

Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.

Dominio autenticato: ora mantieni pulita la lista

Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.

Inizia a verificare