SPF, DKIM e DMARC per Squarespace.
Squarespace è una piattaforma per siti web ed e-commerce, non un host di caselle di posta, e questo incide su come autentichi le email. Squarespace invia a nome del tuo dominio in due forme: Email Campaigns (newsletter e marketing) e notifiche di negozio e di sistema (conferme d'ordine, ricevute, aggiornamenti sulle spedizioni, risposte ai moduli di contatto e agli altri moduli). Entrambe sono firmate dalla stessa chiave DKIM delegata tramite CNAME che pubblichi nel DNS: non c'è alcun include SPF di Squarespace da aggiungere. Le caselle vere e proprie (person@yourdomain) stanno su Google Workspace, Microsoft 365 o un host IMAP e si autenticano separatamente. Questa guida spiega come pubblicare la delega DKIM di Squarespace e il record DMARC che completa il quadro.
Perché autenticare Squarespace?
Le regole di Gmail e Yahoo per i mittenti di grandi volumi richiedono ormai SPF, DKIM e un record DMARC a chiunque invii email di marketing in quantità, ed è esattamente ciò che fa Email Campaigns. Senza autenticazione, le campagne e persino le ricevute d'ordine finiscono nello spam o vengono rifiutate, e il tuo dominio può subire spoofing. Poiché Squarespace firma per tuo conto tramite DKIM delegato e mette il proprio dominio nel Return-Path, quell'unico CNAME DKIM è l'unica strada verso l'allineamento DMARC: attivarlo fa la differenza tra una posta che supera DMARC a nome del tuo dominio e una che non si allinea e viene filtrata.
Come funziona davvero SPF con Squarespace
Non esiste un include SPF di Squarespace, e aggiungerne uno non servirebbe. Squarespace ha rimosso il passaggio SPF dalla verifica del dominio (il vecchio include:_spf.squarespace.com non c'è più) e mette il proprio dominio (squarespace-mail.com) nel Return-Path sia di Email Campaigns sia delle notifiche del negozio: l'SPF viene quindi valutato sul dominio di Squarespace, mai sul tuo, e non può mai allinearsi al tuo indirizzo From. Di conseguenza, la posta Squarespace supera DMARC solo tramite DKIM, ed è per questo che il CNAME DKIM delegato deve essere attivo prima di applicare qualsiasi policy. Limita il tuo record v=spf1 radice a chi gestisce davvero le tue caselle (es. Google Workspace) e non aggiungere alcuna voce per Squarespace.
Passo dopo passo
- 1
Fai l'inventario di tutto ciò che invia a nome del tuo dominio
Squarespace invia a nome del tuo dominio in due forme, Email Campaigns (newsletter/marketing) e notifiche di negozio e di sistema (conferme d'ordine, ricevute, aggiornamenti sulle spedizioni, risposte ai moduli), e non ospita caselle di posta. Entrambe sono firmate dalla stessa chiave DKIM delegata, quindi pubblichi un solo CNAME per tutto. Una casella person@yourdomain è un'altra cosa: sta su Google Workspace, Microsoft 365 o un provider IMAP, ciascuno con i propri record. Fai l'elenco di tutti i mittenti prima di toccare il DNS.
- 2
Apri l'editor DNS giusto
Se il tuo dominio è registrato o gestito su Squarespace (compresi i domini migrati da Google Domains nel 2023-24), modifica il DNS in Settings → Domains → seleziona il dominio → DNS Settings → Custom Records / Add Record. Se il dominio è registrato altrove e punta soltanto a Squarespace, aggiungi tutti i record presso quel registrar. Il campo Host/Name è relativo: inserisci squarespace._domainkey, mai il dominio completo.
- 3
Pubblica il CNAME DKIM di Squarespace
Aggiungi un CNAME: Name squarespace._domainkey, Type CNAME, Value squarespace-domainkey.squarespace-mail.com. Questo singolo record permette a Squarespace di firmare con DKIM tutto ciò che invia a nome del tuo dominio (sia Email Campaigns sia le notifiche di negozio e di sistema) con d=yourdomain.com. Non aggiungere il tuo dominio all'host, non aggiungere https:// né spazi finali e, se il tuo DNS passa da Cloudflare, imposta il record su “DNS only” (nuvola grigia) in modo che non abbia il proxy attivo né subisca il CNAME flattening: il proxy rompe la delega DKIM.
- 4
Attiva l'invio di Email Campaigns in Sender Details
Se usi Email Campaigns, apri Email Campaigns → Settings → Sender Details, imposta il nome e l'indirizzo From sul tuo dominio e fai clic su Verify Domain (in alcuni account l'etichetta è Authenticate). Squarespace invia un codice di verifica a quell'indirizzo From: incollalo per dimostrare che controlli la casella. Il pannello mostra poi lo stesso CNAME squarespace._domainkey del passaggio precedente più un TXT _dmarc suggerito da pubblicare; non c'è alcun record DKIM separato per campagna da aggiungere.
- 5
Pubblica il record DMARC con p=none
Aggiungi un record TXT su _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La procedura di verifica di Squarespace può precompilare un valore _dmarc di solo monitoraggio, ma è consentito un solo TXT _dmarc per dominio e i report aggregati ti arrivano solo se rua punta a una casella che leggi: quindi pubblica un record il cui rua sia sotto il tuo controllo, o integra il valore in uno già esistente. p=none è solo monitoraggio e non cambia nulla nel recapito, ma i report ti dicono se la posta Squarespace supera i controlli con allineamento DKIM prima che tu renda la policy più restrittiva.
- 6
Salta l'include SPF di Squarespace e configura l'SPF solo per l'host delle caselle
Squarespace non ha alcun include SPF da aggiungere (il vecchio include:_spf.squarespace.com è stato ritirato e il suo Return-Path sta su squarespace-mail.com, quindi l'SPF non può comunque allinearsi). Il tuo unico TXT v=spf1 radice deve elencare solo chi gestisce le tue caselle e gli eventuali altri mittenti reali: ad esempio include:_spf.google.com per Google Workspace. Non inventarti una voce SPF per Squarespace: è DKIM ad autenticare la posta Squarespace.
- 7
Verifica, poi rendi DMARC più restrittivo
Torna in Sender Details e fai clic su Authenticate per ottenere la spunta verde; conferma il CNAME con dig o con uno strumento di controllo esterno, poi invia una campagna di prova a un indirizzo Gmail e apri Show original: devi vedere DKIM PASS con d=yourdomain.com e DMARC PASS. Di solito la propagazione richiede 15-60 minuti, ma può arrivare a 48-72 ore. Dopo una o due settimane di report puliti, porta DMARC a p=quarantine e poi a p=reject.
Record da aggiungere
Squarespace genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | squarespace._domainkey | squarespace-domainkey.squarespace-mail.comL'unico record DKIM per tutti gli invii Squarespace: Email Campaigns e notifiche di negozio e di sistema (ricevute, aggiornamenti su ordini e spedizioni, risposte ai moduli). Delega il selettore squarespace, così Squarespace firma con d=yourdomain.com usando una chiave che ospita e ruota direttamente. Valore reale, non legato all'account: host e valore sono gli stessi per ogni utente Squarespace, quindi puoi aggiungerlo così com'è. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo gestisci tu. La verifica di Email Campaigns di Squarespace può precompilare un valore _dmarc di solo monitoraggio, ma è consentito un solo TXT _dmarc per dominio e i report ti arrivano solo se rua punta a una casella che leggi. Parti da p=none, poi passa a quarantine/reject quando i report sono puliti. |
| TXT | @ | v=spf1 include:_spf.google.com ~allValore di esempio: questo SPF è per l'host delle tue CASELLE, non per Squarespace. Gli invii Squarespace non richiedono alcuna voce SPF (non esiste alcun include; il suo Return-Path è squarespace-mail.com, quindi l'SPF non può allinearsi). Sostituisci _spf.google.com con chi gestisce le tue caselle, oppure ometti del tutto l'SPF se non hai altri mittenti. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Squarespace.
La configurazione consigliata di Squarespace aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Squarespace autentica interamente tramite DKIM delegato con CNAME: non c'è alcuna chiave DKIM in TXT da incollare. Aggiungi un solo CNAME: host squarespace._domainkey che punta a squarespace-domainkey.squarespace-mail.com. Quell'unico record delega il selettore squarespace, così Squarespace firma ogni messaggio che invia a nome del tuo dominio (sia Email Campaigns sia la posta di negozio e di sistema: conferme d'ordine, ricevute, aggiornamenti sulle spedizioni, risposte ai moduli) con d=yourdomain.com, usando una chiave che ospita e ruota direttamente. Email Campaigns non aggiunge un record DKIM separato: la sua procedura di verifica in Sender Details conferma semplicemente che questo stesso CNAME si risolve (insieme a un codice di verifica del mittente inviato via email e a un TXT _dmarc suggerito). Trattandosi di pura delega CNAME, Squarespace può ruotare le chiavi senza che tu debba rimettere mano al DNS; se però il CNAME ha il proxy attivo (nuvola arancione di Cloudflare), è soggetto a CNAME flattening o contiene un errore di battitura, la firma fallisce senza alcun avviso e la posta perde la sua unica strada verso l'allineamento DMARC.
DMARC
DMARC è un record che pubblichi tu su _dmarc. La verifica di Email Campaigns di Squarespace genera persino un valore suggerito, ma è solo monitoraggio (p=none) e i report servono solo se rua punta a una casella che leggi davvero: quindi gestisci tu il record. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, poi passa a p=quarantine e p=reject quando i report mostrano che Squarespace (e l'host delle tue caselle) supera i controlli con allineamento. La sfumatura sull'allineamento qui è fondamentale: il Return-Path di Squarespace sta su squarespace-mail.com, quindi l'SPF non si allinea mai al tuo dominio e la posta Squarespace supera DMARC solo tramite DKIM, ed è proprio per questo che il CNAME deve essere attivo prima di applicare la policy. Un'insidia: è consentito un solo TXT _dmarc per dominio, quindi se pubblichi già DMARC, tieni il tuo record e integra lì il valore suggerito da Squarespace invece di aggiungerne un secondo.
Verifica che funzioni davvero
In Squarespace, torna in Email Campaigns → Settings → Sender Details e fai clic su Authenticate: una spunta verde significa che il CNAME si è risolto e il tuo mittente è verificato. Per le email del negozio, Squarespace verifica automaticamente lo stesso CNAME squarespace._domainkey appena si propaga. Conferma in modo indipendente con dig CNAME squarespace._domainkey.yourdomain.com (deve restituire squarespace-domainkey.squarespace-mail.com), poi invia una campagna di prova a un indirizzo Gmail e usa Show original per controllare DKIM = PASS con d=yourdomain.com e DMARC = PASS. Di solito la propagazione richiede 15-60 minuti, ma può arrivare a 48-72 ore. Il controllo SPF/DKIM/DMARC e il check-up del dominio di Qualisend segnalano eventuali record mancanti o non allineati.
Insidie comuni
- Configurazione DNS
Non esiste un include SPF di Squarespace. Aggiungere include:_spf.squarespace.com (ritirato) o qualsiasi voce SPF per Squarespace non serve: il Return-Path di Squarespace sta su squarespace-mail.com, quindi l'SPF non può mai allinearsi al tuo dominio. DKIM tramite il CNAME è l'unica strada per l'allineamento; un include Squarespace di troppo consuma solo una delle tue 10 ricerche SPF.
- Configurazione DNS
Un solo CNAME copre tutta la posta Squarespace. Lo stesso CNAME squarespace._domainkey firma sia Email Campaigns sia le notifiche di negozio e di sistema: non aggiungi un record DKIM separato per ogni flusso. Se invii campagne devi comunque aprire Sender Details per impostare l'indirizzo From e verificare il mittente, ma si usa lo stesso CNAME.
- Configurazione DNS
Poiché l'SPF non può allinearsi, DMARC per la posta Squarespace dipende interamente da DKIM. Se il CNAME delegato non è attivo (o ha il proxy attivo o subisce il flattening), la tua posta non supera DMARC anche quando il tuo dominio From ha un record SPF perfetto.
- Configurazione DNS
È consentito un solo record _dmarc per dominio. La procedura di verifica di Squarespace precompila un DMARC di solo monitoraggio; se ne pubblichi già uno, tieni il tuo (integra, non aggiungerne un secondo) e assicurati che rua punti a una casella che leggi, così ricevi davvero i report.
- Configurazione DNS
Il campo Host/Name è relativo. Inserisci squarespace._domainkey, non l'FQDN completo: Squarespace e la maggior parte dei registrar aggiungono automaticamente il dominio. Alcuni registrar richiedono anche un punto finale sulla destinazione del CNAME (squarespace-domainkey.squarespace-mail.com.).
- Configurazione DNS
Non attivare il proxy sul CNAME DKIM. Dietro Cloudflare, imposta il record su “DNS only” (nuvola grigia). Un record con nuvola arancione o soggetto a CNAME flattening rompe la delega e la firma DKIM fallisce senza alcun avviso.
- Copertura
Squarespace non ospita caselle di posta. Un indirizzo person@yourdomain funzionante richiede Google Workspace, Microsoft 365 o un host IMAP, ciascuno con il proprio include SPF e il proprio selettore DKIM (es. google._domainkey), del tutto separati da questi record Squarespace.
- Copertura
Per i domini passati da Google Domains, il DNS ora si modifica dentro Squarespace. Dopo la migrazione del 2023-24, accedi a Squarespace (Settings → Domains) per aggiungere questi record, non alla vecchia console di Google Domains.
Crea il tuo record SPF
Squarespace non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Squarespace: domande frequenti
Letture correlate
Altri provider: Hosting e siti web
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.