SPF, DKIM e DMARC per Titan.
Titan è un provider di posta ospitata: ti offre vere caselle (invio e ricezione) sul tuo dominio ed è rivenduto in white label da molti host e registrar (Hostinger, hosting.com, Bluehost, A2 Hosting, Crazy Domains e altri), quindi la tua dashboard può avere il marchio di chi te l'ha venduto. Poiché ogni messaggio lascia i server di Titan per conto del tuo dominio, i server riceventi di Gmail, Yahoo, Outlook e Apple lo valuteranno in base ai record SPF, DKIM e DMARC pubblicati nel DNS del TUO dominio. Titan rende tutto semplice: pubblica un unico include SPF condiviso, genera una chiave DKIM per account nel suo Control Panel e lascia a te l'aggiunta di DMARC. Questa guida li affronta tutti e tre dall'inizio alla fine, con il formato esatto dei record di Titan, il percorso nel Control Panel per DKIM e il modo di verificare ciascuno.
Perché autenticare Titan?
Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente un record SPF o DKIM valido, e i mittenti di grandi volumi devono avere DMARC con allineamento al dominio: la posta che non supera i controlli finisce nello spam o viene rifiutata del tutto. Anche per una piccola azienda con poche caselle Titan, la mancata autenticazione è il motivo più comune per cui la posta legittima finisce nello spam o rimbalza. L'SPF dice ai server riceventi che i server di Titan sono autorizzati a inviare per te; DKIM firma crittograficamente ogni messaggio perché non possa essere falsificato o alterato; DMARC collega i due, dice ai server riceventi cosa fare con la posta che non supera i controlli e ti invia report per vedere chi sta inviando a nome del tuo dominio. Pubblicarli tutti e tre è ciò che trasforma “email da Titan” in “email autenticata e affidabile del tuo brand”.
Come funziona davvero SPF con Titan
Titan pubblica un vero include SPF condiviso, ed È la strada consigliata: aggiungi `include:spf.titan.email` all'unico record TXT SPF radice del tuo dominio. Dietro quell'unico include, `spf.titan.email` si ramifica in tre include annidati (`_spf1.titan.email`, `_spf2.titan.email`, `_spf3.titan.email`) più un blocco di intervalli `ip4:` in linea: il singolo meccanismo `include:spf.titan.email` consuma quindi circa 4 delle 10 ricerche DNS consentite dall'SPF. Poiché Titan è l'host delle tue caselle (non un canale secondario come uno strumento di marketing) e invia con il tuo dominio come mittente della busta, questo include va nel record SPF del tuo dominio principale, non su un sottodominio: è ciò che permette all'SPF di allinearsi al tuo dominio per DMARC. Pubblica esattamente un record SPF per dominio: se hai già un SPF per un altro mittente, unisci l'include di Titan a quel record invece di creare una seconda riga `v=spf1`, che romperebbe del tutto l'SPF.
Passo dopo passo
- 1
Conferma che Titan sia attivo sul tuo dominio
Accedi al tuo Titan Control Panel (dalla dashboard del tuo host o registrar: spesso è un pulsante Admin login o Manage accanto al tuo prodotto email). Se il dominio risulta ancora non verificato, devi prima aggiungere i record MX di Titan perché possa ricevere la posta. L'autenticazione (SPF/DKIM/DMARC) è separata dagli MX, ma Titan deve essere attivo prima che tu possa generare DKIM.
- 2
Aggiungi i record MX di Titan (prerequisito per la ricezione)
Nella zona DNS del tuo dominio, crea due record MX sull'host radice (@): mx1.titan.email con priorità 10 e mx2.titan.email con priorità 20, TTL 1 ora. Instradano la posta in entrata verso Titan e sono necessari perché la casella funzioni: non autenticano la posta in uscita, ma li imposti nella stessa zona DNS dei record qui sotto.
- 3
Pubblica il record SPF
Aggiungi un singolo record TXT sull'host radice (@) con valore v=spf1 include:spf.titan.email ~all, TTL 1 ora. Usa il tipo di record TXT (non il tipo SPF, ormai deprecato). Se esiste già un record v=spf1 per un altro servizio, NON aggiungerne un secondo: inserisci include:spf.titan.email nel record esistente prima di ~all/-all, così resta esattamente un record SPF.
- 4
Genera la chiave DKIM in Titan
Nel Titan Control Panel apri Email Reputation (da Manage / Admin login dell'account), trova DKIM e fai clic per aggiungere/generare la chiave. Titan crea una coppia di chiavi pubblica/privata, conserva quella privata per firmare la tua posta in uscita e ti mostra un Host Name (di solito titan1._domainkey) e un lungo TXT Value che inizia con v=DKIM1; k=rsa; p=… . Copiali entrambi esattamente come sono: il valore è unico per il tuo account e non si può indovinare.
- 5
Pubblica il record TXT DKIM sul tuo provider DNS
Crea un record TXT con l'host fornito da Titan (es. titan1._domainkey) e incolla il valore v=DKIM1; k=rsa; p=… completo. Inserisci l'host esattamente come mostrato: la maggior parte dei registrar vuole solo titan1._domainkey e aggiunge automaticamente il dominio, quindi evita di scrivere due volte il dominio completo. Se la chiave pubblica è molto lunga, incollala così com'è: alcuni pannelli la dividono automaticamente in blocchi da 255 caratteri.
- 6
Verifica DKIM nel Control Panel
Torna nella schermata Email Reputation / DKIM di Titan, spunta “I've added TXT records in my DNS control panel” e fai clic su Verify changes. Titan non inizia a firmare con la chiave finché questa nuova verifica non riesce, anche se il record DNS è già corretto. Lo stato dovrebbe passare a VERIFIED; prima concedi al DNS il tempo di propagarsi, fino alla durata del tuo TTL (e fino a qualche ora).
- 7
Aggiungi un record DMARC (parti da p=none)
Crea un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none monitora senza influire sul recapito, mentre confermi che SPF e DKIM vengano superati e si allineino al tuo dominio. L'indirizzo rua raccoglie i report aggregati XML che mostrano ogni sorgente che invia a nome del tuo dominio: puntalo a una casella che leggi davvero. Per Titan l'allineamento relaxed predefinito è già sufficiente, quindi non serve aggiungere adkim=s/aspf=s.
- 8
Verifica, poi rafforza l'applicazione della policy DMARC
Conferma che tutti i record si risolvano (vedi Verifica più avanti) e invia un messaggio di prova a un account Gmail, controllando in Show original SPF=PASS, DKIM=PASS e DMARC=PASS. Quando i tuoi report mostrano un allineamento pulito per una o due settimane, porta DMARC a p=quarantine e infine a p=reject per bloccare attivamente lo spoofing.
Record da aggiungere
Titan genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| MX | @ | mx1.titan.emailPriorità 10. Solo ricezione: necessario per la casella, non per l'autenticazione in uscita. |
| MX | @ | mx2.titan.emailPriorità 20. Server di posta secondario. |
| TXT | @ | v=spf1 include:spf.titan.email ~allUn record SPF per dominio. Se invii anche tramite altri servizi, unisci i loro meccanismi a questo singolo record prima di ~all. |
| TXT | titan1._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC… (unique key from your Control Panel)Valore di esempio: l'host del selettore e la chiave pubblica vengono generati per account nel pannello Email Reputation di Titan. Copia esattamente l'host e il valore che Titan ti mostra. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comParti da p=none per monitorare, poi passa a quarantine e reject. Punta rua a una casella che leggi davvero. Un record _dmarc per dominio: per Titan l'allineamento relaxed (predefinito) è già sufficiente. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Titan.
Titan occupa 4 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Titan usa chiavi DKIM per account che generi nel Control Panel: non c'è delega CNAME e nulla viene firmato finché non hai sia pubblicato la chiave sia ripetuto la verifica in Titan. Apri Email Reputation (ci arrivi da Manage / Admin login nel tuo account Titan), trova DKIM e genera la coppia di chiavi. Titan conserva la chiave privata e firma la posta in uscita; ti mostra un Host Name (di solito titan1._domainkey) e un valore TXT che inizia con v=DKIM1; k=rsa; p=… . Pubblicalo come record TXT sul tuo provider DNS usando esattamente l'host indicato, poi torna in Titan, conferma di averlo aggiunto e fai clic su Verify changes, così lo stato passa a VERIFIED. La chiave è unica per il tuo account, quindi non puoi copiarla da un altro dominio o dalla documentazione. Se il DNS del tuo dominio sta su Cloudflare, tieni il record TXT su “DNS only” (il proxy non si applica ai TXT, ma assicurati di modificare la zona autoritativa risolta dai nameserver di Titan, non una zona obsoleta).
DMARC
Titan non crea DMARC al posto tuo: lo aggiungi manualmente come record TXT sull'host _dmarc. Parti da v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, così monitori senza mettere a rischio il recapito, e punta rua a una casella che controlli (o a un analizzatore di report). DMARC viene superato quando SPF o DKIM viene superato E si allinea al tuo dominio From, e Titan ti dà entrambi: il percorso include:spf.titan.email usa il tuo dominio come mittente della busta (quindi l'SPF si allinea) e la sua firma DKIM riporta d=yourdomain.com (quindi DKIM si allinea) una volta generata e verificata la chiave: di solito risultano superati entrambi. Poiché Titan invia esattamente dal tuo dominio radice, l'allineamento relaxed predefinito è già sufficiente, quindi non serve imporre l'allineamento rigoroso (strict, adkim=s/aspf=s), che aggiunge solo fragilità se in seguito invii da un sottodominio o da un altro strumento. Dopo una o due settimane di report aggregati puliti, porta la policy a p=quarantine e poi a p=reject per bloccare attivamente chiunque faccia spoofing del tuo dominio. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi.
Verifica che funzioni davvero
Controlla il DNS dalla riga di comando: dig TXT yourdomain.com (SPF), dig TXT titan1._domainkey.yourdomain.com (DKIM) e dig TXT _dmarc.yourdomain.com (DMARC); chi usa Windows può ricorrere a nslookup -type=TXT. Conferma l'MX con dig MX yourdomain.com o mxtoolbox.com. In Titan, il pannello Email Reputation deve mostrare DKIM come VERIFIED e Domain Verification come completata. Il test definitivo: invia un messaggio dalla tua casella Titan a un account Gmail, apri Show original e controlla SPF: PASS, DKIM: PASS e DMARC: PASS con il tuo dominio indicato. Per un unico report che riunisca tutti e tre i record più l'allineamento, analizza il tuo dominio con il controllo SPF/DKIM/DMARC e il check-up del dominio di Qualisend.
Insidie comuni
- Fa fallire l'autenticazione
DKIM va prima generato in Titan: non puoi indovinare o riutilizzare una chiave. Il valore è unico per account e Titan non firma la tua posta finché non fai clic su Verify changes dopo averlo pubblicato, anche se il record DNS è già attivo.
- Fa fallire l'autenticazione
Non pubblicare mai due record SPF. Se hai già una riga v=spf1 per un altro servizio, aggiungi include:spf.titan.email a quell'unico record: un secondo record TXT SPF fa fallire l'SPF con un permerror.
- Fa fallire l'autenticazione
L'include di Titan consuma già ~4 delle tue 10 ricerche SPF (spf.titan.email annida _spf1/_spf2/_spf3 più intervalli ip4 in linea). Se invii anche con altri strumenti, tieni d'occhio il limite di 10 ricerche, altrimenti l'SPF finirà in permerror.
- Copertura
Non sostituire troppo presto ~all con -all. Il valore predefinito di Titan è ~all (softfail); passa a -all solo quando sei certo che ogni mittente legittimo (Titan più eventuali altri) sia incluso, altrimenti farai rimbalzare la tua stessa posta.
- Configurazione DNS
Dominio duplicato nel campo host: la maggior parte dei registrar aggiunge automaticamente il dominio, quindi inserisci l'host DKIM come titan1._domainkey, non titan1._domainkey.yourdomain.com. Un dominio duplicato rompe il record senza alcun avviso.
- Copertura
Il tuo Control Panel può essere in white label con il marchio del tuo host (Hostinger, Bluehost, hosting.com, A2, Crazy Domains). Il menu può avere un marchio diverso, ma il flusso (Manage/Admin login → Email Reputation → DKIM → Verify changes) è lo stesso.
- Fa fallire l'autenticazione
Gli MX non sono autenticazione. Aggiungere mx1/mx2.titan.email ti permette di ricevere posta ma non fa nulla per SPF/DKIM/DMARC: ti servono comunque tutti e tre i record perché la posta in uscita superi i controlli di Gmail e Yahoo.
- Copertura
Modifica la zona autoritativa. Se il tuo dominio usa nameserver esterni (es. Cloudflare) invece del DNS predefinito del registrar, aggiungi i record dove puntano davvero i nameserver, altrimenti la verifica di Titan continuerà a non riuscire.
Crea il tuo record SPF
Titan è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Titan: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Yandex 360
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
- Google Workspace
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.