SPF, DKIM e DMARC per Wix.
Wix autentica il tuo dominio di invio tramite record CNAME, non facendoti incollare una riga SPF condivisa. La procedura si trova in Wix Email Marketing (in passato parte di Ascend by Wix): aggiungi un indirizzo mittente, fai clic su “Authenticate this domain” e Wix ti mostra cinque record CNAME che delegano la firma DKIM e il Return-Path al suo backend email (basato su SendGrid). Quando quei CNAME si risolvono, Wix può inviare le campagne a nome del tuo dominio, DKIM si allinea al tuo dominio e SPF viene superato sul sottodominio di invio, il tutto senza che una voce “include:wix” tocchi mai il tuo SPF radice. La sfumatura che sfugge alla maggior parte delle guide: tutto questo copre solo Wix Email Marketing. La tua casella Wix e le email automatiche del sito Wix si autenticano in modo diverso, e uno dei cinque record, il CNAME per il DMARC automatico (CNAME 5), è una trappola da evitare.
Perché autenticare Wix?
Autenticare il dominio di invio di Wix è ciò che decide se le campagne raggiungono davvero la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di superare SPF o DKIM con un indirizzo From valido e allineato, e ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno verso indirizzi Gmail/Yahoo di utenti privati) deve inoltre superare DKIM e pubblicare una policy DMARC; nel 2025 Microsoft ha iniziato ad applicare regole simili ai mittenti ad alto volume. Finché non autentichi il dominio, Wix invia le tue campagne dal proprio dominio condiviso e da un IP condiviso: i destinatari vedono posta non allineata al tuo dominio, DMARC non può essere superato e la tua reputazione si mescola con quella di tutti gli altri mittenti Wix non autenticati. Wix stesso dichiara, nelle sue indicazioni sulla deliverability, che da febbraio 2024 gli utenti di email aziendali “devono configurare SPF”, e anche DKIM e DMARC una volta superata la soglia dei grandi volumi. Completare l'autenticazione del dominio sposta quella reputazione sul tuo dominio, fa allineare DKIM al tuo indirizzo From e ti fa superare in un colpo solo i requisiti di Gmail, Yahoo e Microsoft.
Come funziona davvero SPF con Wix
Wix è un provider di autenticazione basato su CNAME, quindi per Wix Email Marketing NON c'è alcun meccanismo “include:” da aggiungere al tuo SPF radice: nella tua riga v=spf1 non entra nulla di “Wix”. Quando autentichi il dominio, Wix ti fornisce un CNAME Return-Path/mail (il suo “CNAME 3”) che punta un sottodominio di invio verso il suo backend SendGrid. Poiché quel sottodominio si risolve nello spazio autorizzato via SPF di SendGrid, lì SPF viene soddisfatto in automatico, e DMARC viene superato grazie all'allineamento SPF non rigoroso (relaxed), perché il sottodominio del Return-Path condivide il tuo dominio organizzativo con l'indirizzo From: non pubblichi mai un include SPF di Wix sul dominio radice. L'unico caso in cui un include SPF condiviso entra in gioco su un dominio Wix è se usi ANCHE una casella Wix: Wix Business Email si basa su Google Workspace, quindi quel percorso usa include:_spf.google.com, un include di Google, non di Wix. E le email automatiche del sito Wix (conferme d'ordine, notifiche dei moduli, email attivate dalle automazioni) partono dal dominio di Wix su un'infrastruttura condivisa: non possono essere allineate via SPF al tuo dominio, quindi autenticare il dominio di marketing non le copre retroattivamente. In sintesi: Email Marketing = delega CNAME senza alcuna modifica al record SPF radice; casella Wix = record di Google Workspace; posta automatica del sito = dominio di Wix, fuori dal tuo controllo.
Passo dopo passo
- 1
Decidi quale email Wix stai autenticando
Wix ha tre flussi email separati e ognuno si autentica in modo diverso. Questa guida copre le campagne di Wix Email Marketing (la procedura CNAME qui sotto). La tua casella Wix è un prodotto separato basato su Google Workspace e usa invece MX, include SPF e DKIM di Google. Le email automatiche del sito (conferme d'ordine, notifiche dei moduli, automazioni) partono dal dominio di Wix e non possono essere allineate al tuo. Prima di toccare il DNS, chiarisci da quale invii davvero.
- 2
Apri la schermata di autenticazione del mittente
Nella dashboard di Wix apri Email Marketing. A destra, in Sender Details, fai clic su Manage Senders (o su Add Sender se non ne hai ancora). Qui si aggiungono e si autenticano i domini di invio personalizzati.
- 3
Aggiungi e conferma l'indirizzo mittente
Inserisci l'indirizzo From da cui invierai le campagne (per esempio hello@yourdomain.com) e confermalo con il codice che Wix invia via email a quella casella. Finché l'indirizzo non è confermato, il dominio risulta 'Not authenticated' e i record CNAME non vengono proposti.
- 4
Mostra i cinque record CNAME
Con il mittente confermato, fai clic su Authenticate this domain. Wix apre un elenco di cinque record CNAME: tre deleghe di chiavi DKIM (i suoi CNAME 1, 2 e 4), un collegamento Return-Path/mail verso il backend SendGrid di Wix (CNAME 3) e un CNAME facoltativo per il DMARC automatico (CNAME 5). Tieni aperta questa schermata per copiare i valori esatti di Host e Points-to: vengono generati per ogni account.
- 5
Aggiungi i CNAME presso il tuo provider DNS
Presso il tuo provider DNS aggiungi ogni record come tipo CNAME, incollando il valore Host di Wix nel campo host/nome e il valore Points-to nel campo destinazione/valore. Copia solo la prima parte dell'Host (il prefisso senza il tuo dominio): la maggior parte dei pannelli DNS aggiunge il dominio automaticamente. Se il tuo dominio usa i nameserver di Wix, aggiungili invece in Wix Domains > il tuo dominio > DNS Records; se invece il dominio è solo puntato e il DNS resta presso un altro registrar, aggiungili lì.
- 6
Salta il CNAME DMARC di Wix e pubblica il tuo
Il CNAME 5 di Wix crea in automatico un record DMARC per te, ma senza indirizzo di report rua: ottieni una conformità solo sulla carta e zero visibilità su chi invia a tuo nome. Invece di aggiungere il CNAME 5, pubblica un tuo record TXT su _dmarc con un indirizzo per i report: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Non aggiungerli mai entrambi: il DNS vieta un CNAME accanto a qualsiasi altro record sullo stesso nome, quindi un CNAME e un TXT su _dmarc entrano in conflitto e rompono DMARC.
- 7
Verifica in Wix
Torna nella schermata di autenticazione e fai clic su Verify (o aggiorna il Domain status). Di solito il DNS si risolve in poche ore, ma Wix prevede fino a 24-48 ore. Quando tutti i record vengono trovati, lo stato passa a 'Authenticated'. Se resta bloccato, ricontrolla di aver incollato solo il prefisso dell'Host e che nessun record abbia il suffisso del dominio duplicato.
- 8
Conferma l'allineamento in modo indipendente
Non fidarti solo del badge di Wix: invia una campagna di prova a un account Gmail, apri 'Show original' e conferma che SPF e DKIM mostrino entrambi PASS e che il dominio d= di DKIM e il Return-Path siano il tuo dominio (allineato), non un semplice indirizzo sendgrid.net. Poi analizza il tuo dominio con uno strumento di controllo esterno, così sai che i record si risolvono pubblicamente.
Record da aggiungere
Wix genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | s1._domainkey | s1.domainkey.u1234567.wl123.sendgrid.netChiave DKIM #1 (il CNAME 1 di Wix). Delega una chiave pubblica DKIM al backend SendGrid di Wix, così le campagne ricevono una firma DKIM con d=yourdomain e si allineano al tuo indirizzo From. Prefisso dell'Host e destinazione vengono generati per ogni account: copia i valori esatti che Wix ti mostra. |
| CNAME | s2._domainkey | s2.domainkey.u1234567.wl123.sendgrid.netChiave DKIM #2 (CNAME 2). Wix ti fornisce anche un terzo CNAME DKIM (il suo CNAME 4, con lo stesso schema s#._domainkey): aggiungili tutti e tre. Le chiavi stanno dietro i CNAME, quindi Wix/SendGrid possono ruotarle senza che tu debba mai ripubblicare il DNS. Selettore/destinazione di esempio: usa i valori nella dashboard. |
| CNAME | em1234 | u1234567.wl123.sendgrid.netCollegamento Return-Path / mail (CNAME 3). Punta un sottodominio di invio del tuo dominio verso i server SendGrid di Wix; poiché quel sottodominio si risolve nello spazio autorizzato via SPF di SendGrid, lì SPF viene superato e si allinea al tuo dominio con l'allineamento non rigoroso (relaxed). Ecco perché NON c'è alcuna riga include: da aggiungere al tuo SPF radice. |
| CNAME | _dmarc | (Wix-generated DMARC target - shown in dashboard)Il CNAME 5 facoltativo di Wix. Delega DMARC a un record gestito da Wix/SendGrid senza indirizzo di report rua, quindi hai zero visibilità su chi invia a tuo nome. Consiglio: NON aggiungerlo, pubblica invece il TXT gestito da te qui sotto. Un CNAME qui ti impedisce anche di aggiungere un tuo TXT _dmarc. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARC gestito da te, consigliato al posto del CNAME 5 di Wix, così i report aggregati ti arrivano davvero. Non pubblicare mai sia un CNAME sia un TXT su _dmarc: il DNS vieta un CNAME accanto a qualsiasi altro record sullo stesso nome, quindi entrano in conflitto. Parti da p=none, leggi i report, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Wix.
La configurazione consigliata di Wix aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è il cuore dell'autenticazione di Wix ed è interamente delegato tramite CNAME. Quando autentichi il dominio, Wix ti fornisce tre record CNAME DKIM (i suoi CNAME 1, 2 e 4) su host selettore come s1._domainkey e s2._domainkey, che puntano verso il suo backend SendGrid (destinazioni come s1.domainkey.u1234567.wl123.sendgrid.net). Poiché la chiave sta dietro un CNAME e non in un record TXT da incollare, Wix/SendGrid possono ruotare la chiave pubblica sottostante dalla loro parte senza che tu debba mai più modificare il DNS: pubblichi i puntatori una sola volta, e il d= della firma è il tuo dominio, quindi si allinea. Non c'è nulla da generare da parte tua: non inventare un valore p= e non convertire questi record in TXT. Copia esattamente ogni prefisso Host e ogni destinazione Points-to. Se invii da una casella Wix e non da Email Marketing, il DKIM è invece quello di Google Workspace (un selettore google attivato nella console di amministrazione Google), cioè una chiave completamente separata da quelle SendGrid descritte sopra.
DMARC
DMARC è l'unico punto in cui su Wix devi fare una scelta consapevole. Wix si offre di configurare DMARC in automatico al posto tuo tramite il quinto CNAME (CNAME 5), ma questa scorciatoia delega a un record gestito da Wix/SendGrid senza indirizzo di report rua: soddisfa il requisito 'esiste un record DMARC' per la casella da spuntare di Gmail/Yahoo, ma non ti dà alcuna applicazione della policy e, soprattutto, nessun report su chi invia a nome del tuo dominio. Saltala. Pubblica invece un tuo record TXT con host _dmarc: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Non pubblicare mai sia il CNAME DMARC di Wix sia il tuo TXT _dmarc: il DNS non permette a un CNAME di coesistere con nessun altro tipo di record sullo stesso nome, quindi entrano in conflitto e la risoluzione DMARC si rompe. Parti da p=none, così i report aggregati iniziano ad arrivare senza effetti sul recapito, conferma che ogni flusso legittimo (Email Marketing, la tua casella, qualsiasi altro ESP) sia allineato, poi passa a p=quarantine e infine a p=reject. Crea il record con un generatore, così i tag sono validi, e non passare mai direttamente a reject prima della fase di monitoraggio.
Verifica che funzioni davvero
Conferma l'autenticazione in due punti, non in uno. Primo, la schermata di Wix: dopo la propagazione DNS (qualche ora, fino a 24-48), aggiorna il Domain status in Sender Details finché non indica 'Authenticated': significa che Wix ha trovato tutti i suoi CNAME. Secondo, e più importante, verifica l'allineamento reale: invia una campagna di prova a un indirizzo Gmail, apri il messaggio, scegli 'Show original' e controlla che SPF = PASS, DKIM = PASS e che sia il dominio d= di DKIM sia il Return-Path mostrino il tuo dominio (allineato) e non un semplice indirizzo sendgrid.net. Poi analizza il tuo dominio con uno strumento esterno di controllo SPF/DKIM/DMARC per confermare che i record si risolvano pubblicamente e che il tuo _dmarc sia il TXT gestito da te, non un CNAME di Wix aggiunto per errore. Stato verde in Wix più PASS con allineamento nelle intestazioni: questo è il vero traguardo.
Insidie comuni
- Configurazione DNS
Il DMARC automatico di Wix (CNAME 5) è una trappola: pubblica una policy senza indirizzo rua, quindi ottieni una conformità solo sulla carta e zero visibilità. Saltalo e pubblica invece un tuo TXT _dmarc con una casella per i report.
- Configurazione DNS
Non mettere mai sia un CNAME sia un TXT su _dmarc. Se hai aggiunto il CNAME DMARC 5 di Wix e vuoi anche una tua policy, elimina prima il CNAME: il DNS vieta un CNAME accanto a qualsiasi altro record sullo stesso nome, quindi il conflitto rompe del tutto le ricerche DMARC.
- Fa fallire l'autenticazione
Email Marketing e la tua casella Wix sono prodotti diversi. Autenticare le campagne (CNAME SendGrid) non serve a nulla per la tua casella, che è Google Workspace e richiede MX, include SPF (include:_spf.google.com) e DKIM di Google, e viceversa.
- Copertura
Le email automatiche del sito (conferme d'ordine, notifiche di moduli/contatti, automazioni) partono dal dominio di Wix su un'infrastruttura condivisa e non possono essere allineate al tuo. Non aspettarti che l'autenticazione del dominio sistemi il loro indirizzo From o il loro allineamento DMARC.
- Copertura
Inserisci solo il prefisso dell'Host, non il dominio completo. Wix mostra il nome host intero, ma la maggior parte dei pannelli DNS aggiunge il dominio automaticamente: incollare l'FQDN completo crea un record non valido come s1._domainkey.yourdomain.com.yourdomain.com.
- Configurazione DNS
Controlla se il tuo dominio è collegato a Wix (nameserver di Wix) o solo puntato, con il DNS presso un altro registrar. Se è puntato, aggiungi i CNAME presso quel registrar: i record aggiunti in Wix vengono ignorati quando Wix non è il tuo provider DNS autoritativo.
- Configurazione DNS
Sono CNAME, non record TXT. Non cercare di 'leggere' una chiave pubblica DKIM da questi record né di incollarli in un include SPF: non esiste un include SPF di Wix, e le chiavi sono delegate, non pubblicate da te.
- Configurazione DNS
Il semplice DMARC automatico di Wix non basta quando superi la soglia dei grandi volumi (~5.000 messaggi/giorno verso Gmail/Yahoo). Il requisito è una policy DMARC funzionante e monitorata con allineamento DKIM: gestisci tu il TXT _dmarc, così puoi davvero vedere i report e rendere più restrittiva la policy.
Crea il tuo record SPF
Wix non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Wix: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.