SPF, DKIM e DMARC per SMTP2GO.
SMTP2GO autentica il tuo dominio come fanno gli altri provider transazionali moderni: tramite la procedura Verified Senders, non facendoti incollare una riga SPF condivisa. Quando aggiungi un Sender Domain, SMTP2GO genera un piccolo gruppo di record CNAME: un sottodominio di return-path (VERP), una chiave DKIM e un host facoltativo per il tracciamento dei link. Questi record delegano a SMTP2GO l'allineamento SPF e la firma DKIM. Una volta verificati i CNAME, SMTP2GO può inviare a nome del tuo dominio con SPF e DKIM entrambi allineati, senza la nota “via smtp2go.com” e con DMARC superato; e poiché le chiavi restano dal lato di SMTP2GO, non dovrai mai modificare di nuovo il DNS quando vengono ruotate.
Perché autenticare SMTP2GO?
Registrare un Verified Sender non è più facoltativo: dal 2025 SMTP2GO blocca gli invii finché non viene verificato un dominio (o almeno un singolo indirizzo), e per la deliverability ti serve un Sender Domain completo. Il motivo sono le regole dei provider di posta: da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM, e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di pubblicare anche una policy DMARC con allineamento; nel 2025 Microsoft ha iniziato ad applicare gli stessi requisiti minimi ai mittenti ad alto volume verso Outlook e Hotmail. Finché non verifichi un Sender Domain, SMTP2GO può solo ripiegare su un invio che non si allinea al tuo dominio organizzativo: i destinatari potrebbero vedere un'attribuzione “via”, DMARC non può essere superato tramite SPF e la reputazione che costruisci si mescola con quella dello spazio condiviso di SMTP2GO invece di restare legata al tuo dominio. Aggiungere i CNAME risolve tutto in un colpo solo: SPF si allinea tramite il tuo sottodominio di return-path, DKIM firma con il tuo dominio, DMARC viene superato e la reputazione di invio si accumula a tuo favore.
Come funziona davvero SPF con SMTP2GO
SMTP2GO è un provider di autenticazione del dominio basato su CNAME, quindi con la configurazione consigliata NON c'è alcun include:spf.smtp2go.com da aggiungere al tuo SPF radice. La parte ingegnosa è come viene gestito SPF: quando aggiungi un Sender Domain, SMTP2GO ti fornisce un CNAME di return-path, cioè un host come emXXXXXX.yourdomain.com (dove XXXXXX è l'ID numerico del tuo account) che punta a return.smtp2go.net. Quel sottodominio diventa il tuo mittente della busta / Return-Path grazie alla tecnologia VERP (Variable Envelope Return Path) di SMTP2GO. Quando un provider di posta esegue il controllo SPF, verifica il record SPF di return.smtp2go.net (che elenca gli IP di invio di SMTP2GO) e il controllo viene superato; e poiché il dominio della busta è un sottodominio del tuo dominio organizzativo, SPF *si allinea* anche per DMARC con l'allineamento relaxed. Ecco perché non devi toccare affatto il tuo SPF radice: il CNAME di return-path fa il lavoro e non aggiunge alcuna ricerca DNS al tuo record SPF pubblico. Un include condiviso legacy, include:spf.smtp2go.com, si risolve ancora, ma il metodo documentato da SMTP2GO è il sottodominio CNAME/VERP, e la strada dell'include è decisamente peggiore: con l'include il Return-Path resta sul dominio di SMTP2GO, quindi SPF autorizza la posta ma NON si allinea al tuo dominio (e DMARC deve affidarsi interamente a DKIM). In sintesi: usa i CNAME del Sender Domain, lascia stare il tuo SPF radice e ottieni sia l'allineamento SPF sia un budget di ricerche che non hai dovuto spendere.
Due modi per configurarlo
Sender Domain: CNAME (consigliato)
- SMTP2GO gestisce SPF tramite il sottodominio di return-path VERP e firma/ruota DKIM dietro i CNAME
- Non aggiunge alcuna ricerca DNS al tuo SPF radice: non c'è nulla da unire
- SPF e DKIM si ALLINEANO entrambi al tuo dominio, quindi DMARC viene superato con tutti e due
- I cambi di chiavi e di IP sono gestiti dal lato di SMTP2GO; non devi mai modificare di nuovo il DNS
Legacy: include:spf.smtp2go.com (sconsigliato)
- Aggiungi a mano v=spf1 include:spf.smtp2go.com ~all al tuo SPF radice
- Costa una delle tue 10 ricerche DNS SPF
- Il Return-Path resta sul dominio di SMTP2GO, quindi SPF autorizza ma NON si allinea: DMARC si affida allora solo a DKIM
- Solo un ripiego se non puoi davvero pubblicare CNAME su un sottodominio
Passo dopo passo
- 1
Apri Verified Senders
Accedi su app.smtp2go.com e vai su Sending → Verified Senders nel menu a sinistra, poi apri la scheda Sender Domains (non Single Sender Emails).
- 2
Aggiungi il tuo Sender Domain
Fai clic su Add Sender Domain, inserisci il dominio da cui invii (yourdomain.com, il dominio del tuo indirizzo From) e conferma. SMTP2GO genera subito il gruppo di CNAME per quel dominio.
- 3
Copia i tre record CNAME
SMTP2GO mostra tre record: un host di return-path (emXXXXXX → return.smtp2go.net), un host DKIM (sXXXXXX._domainkey → dkim.smtp2go.net) e un host di tracciamento (link → track.smtp2go.net). L'etichetta emXXXXXX contiene l'ID numerico del tuo account; copia ogni etichetta esattamente come mostrata. Lascia aperta questa scheda: ci tornerai per fare clic su Validate.
- 4
Aggiungi il CNAME di return-path (SPF)
Presso il tuo provider DNS crea un CNAME: Host = emXXXXXX (esattamente come mostrato), Valore = return.smtp2go.net. È il sottodominio di return-path VERP: è ciò che fa superare SPF E lo allinea al tuo dominio, quindi non devi aggiungere alcun include: al tuo SPF radice.
- 5
Aggiungi il CNAME DKIM
Crea un secondo CNAME: Host = sXXXXXX._domainkey (il selettore DKIM che SMTP2GO mostra per il tuo account: copialo esattamente), Valore = dkim.smtp2go.net. Non incollarlo come record TXT: è un CNAME che delega la chiave DKIM a SMTP2GO.
- 6
Aggiungi il CNAME di tracciamento (consigliato)
Crea il terzo CNAME: Host = link, Valore = track.smtp2go.net. Permette di tracciare aperture e clic sui link via HTTPS sul tuo sottodominio invece che sul dominio http condiviso di SMTP2GO. Tecnicamente è facoltativo (se lo salti, SPF e DKIM vengono comunque superati), ma è consigliato per un tracciamento dei link sicuro e con il tuo brand.
- 7
Disattiva il proxy di Cloudflare
Se il tuo DNS è su Cloudflare, imposta ciascuno di questi record su DNS only (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in *.smtp2go.net e la convalida non andrà a buon fine.
- 8
Pubblica una policy DMARC
SMTP2GO non crea DMARC per te. Aggiungi un record TXT separato su _dmarc.yourdomain.com (v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com) per iniziare il monitoraggio. Tieni un solo record _dmarc per l'intero dominio.
- 9
Fai clic su Validate in SMTP2GO
Torna alla pagina Sender Domains e fai clic su Validate accanto al tuo dominio. Di solito la propagazione richiede pochi minuti, ma può arrivare a 48 ore; il dominio passa a Verified (verde) quando tutti i CNAME si risolvono.
- 10
Invia una prova reale e controlla le intestazioni
Inviati un messaggio da un indirizzo del dominio verificato, poi aprilo in Gmail → ⋮ → Show original. Devi vedere SPF: PASS e DKIM: PASS, entrambi riferiti al tuo dominio, più DMARC: PASS, non un'attribuzione smtp2go.com.
Record da aggiungere
SMTP2GO genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | em1234567 | return.smtp2go.netSottodominio di return-path (VERP): è ciò che soddisfa e ALLINEA SPF. L'etichetta em1234567 contiene l'ID numerico del tuo account; copiala esattamente dalla tua dashboard (il valore mostrato qui è solo un esempio). |
| CNAME | s1234567._domainkey | dkim.smtp2go.netDKIM: il selettore sXXXXXX._domainkey che SMTP2GO assegna al tuo account; copialo esattamente dalla dashboard (l'etichetta mostrata è solo un esempio). SMTP2GO conserva e ruota la chiave dietro questo CNAME, quindi non c'è alcun TXT da incollare. |
| CNAME | link | track.smtp2go.netTracciamento di aperture e clic via HTTPS sul tuo sottodominio. Consigliato ma tecnicamente facoltativo: SPF e DKIM vengono superati anche senza. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio, aggiunta da te, non da SMTP2GO. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di SMTP2GO.
La configurazione consigliata di SMTP2GO aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è gestito interamente dal CNAME sXXXXXX._domainkey (es. s1234567._domainkey.yourdomain.com) che punta a dkim.smtp2go.net. Poiché è un CNAME delegato a SMTP2GO, e non un record TXT da incollare, SMTP2GO conserva la chiave privata e può ruotare la chiave pubblica pubblicata dietro quel selettore senza che tu debba più toccare il DNS. Non devi generare alcuna chiave e non c'è nulla da copiare in un valore TXT: aggiungi solo quell'unico CNAME esattamente come lo mostra la dashboard (e impostalo su DNS only / nuvola grigia se usi Cloudflare). Una volta che il CNAME si risolve, ogni messaggio che SMTP2GO invia dal tuo dominio è firmato DKIM e allineato, il che da solo soddisfa il requisito minimo di Gmail/Yahoo “SPF o DKIM”; conviene però avere anche il CNAME di return-path, così si allinea anche SPF.
DMARC
DMARC è un record di policy separato sul dominio radice: la procedura Verified Senders di SMTP2GO non lo crea per te, quindi aggiungilo tu. Pubblica un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non influisce sul recapito mentre confermi che la posta di SMTP2GO superi SPF e DKIM con allineamento al tuo dominio. Tieni d'occhio i report aggregati (rua) per una o due settimane, poi passa a p=quarantine e infine a p=reject quando hai la certezza che ogni sorgente legittima sia allineata. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: non aggiungerne un secondo solo per SMTP2GO. Se fai invii di grandi volumi verso Gmail o Yahoo, almeno p=none con allineamento ora è obbligatorio, non facoltativo.
Verifica che funzioni davvero
Non fidarti solo del badge verde “Verified” nella dashboard: confermalo su un messaggio reale. Inviati un'email di prova da un indirizzo del dominio verificato, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con il tuo dominio (SPF deve fare riferimento al return-path emXXXXXX allineato al tuo dominio organizzativo, DKIM al selettore s), più DMARC: PASS. Preferisci un report scritto? Invia un'email di prova a check-auth@verifier.port25.com e riceverai via email un'analisi completa. Puoi anche analizzare il tuo dominio con il check-up del dominio di Qualisend per confermare che tutti e tre i CNAME si risolvano e che il record DMARC sia valido e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: SMTP2GO dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
Il proxy di Cloudflare blocca tutto: imposta ogni CNAME di SMTP2GO su DNS only (nuvola grigia). Un CNAME con proxy attivo (nuvola arancione) non si risolve in *.smtp2go.net e la convalida fallisce: è la causa più comune in assoluto di un dominio bloccato su “unverified”.
- Configurazione DNS
Single Sender Emails non è autenticazione del dominio: verificare un indirizzo tramite il link di conferma ti permette di inviare da quell'indirizzo, ma non ti dà alcun allineamento SPF/DKIM. Per un'autenticazione e una deliverability reali devi aggiungere un Sender Domain (la procedura con i CNAME).
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire em1234567.yourdomain.com produce em1234567.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (em1234567, s1234567._domainkey, link) se il pannello aggiunge il dominio per te.
- Configurazione DNS
Non aggiungere include:spf.smtp2go.com al tuo SPF radice se hai usato la configurazione con i CNAME: è inutile, spreca una delle tue 10 ricerche SPF e (poiché il Return-Path resta sul dominio di SMTP2GO) non ti dà nemmeno l'allineamento SPF. Il CNAME di return-path emXXXXXX gestisce già SPF.
- Configurazione DNS
Lascia il CNAME di return-path al suo posto per sempre: è il tuo Return-Path VERP. Eliminarlo in seguito compromette l'allineamento SPF e la gestione dei bounce, e può far fallire DMARC su SPF senza che te ne accorga.
- Copertura
Copia esattamente le etichette specifiche del tuo account: le etichette host em e s sono generate per il tuo account (es. em1234567, s1234567._domainkey). Indovinarle, riutilizzare quelle di un altro account o invertire delle cifre fa fallire la convalida.
- Configurazione DNS
Aggiungili come CNAME, non come A o TXT, e non lasciare che il provider DNS “appiattisca” il CNAME. Il record DKIM in particolare viene spesso scambiato per un TXT: deve restare un CNAME verso dkim.smtp2go.net.
- Fa fallire l'autenticazione
Tieni esattamente un TXT SPF e un TXT _dmarc sul dominio. Se invii anche tramite Google, Microsoft 365, Mailchimp ecc., unisci i loro meccanismi in un'unica riga v=spf1 invece di pubblicare un secondo record SPF: due record SPF sono di per sé un PermError.
Crea il tuo record SPF
SMTP2GO non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per SMTP2GO: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.