SPF, DKIM e DMARC per Yandex 360.
Yandex 360 for Business (la suite di caselle di posta nota in passato come Yandex.Mail for Domain / Yandex Connect) non autentica il tuo dominio con una procedura guidata in un clic: divide il lavoro tra la console di amministrazione e il tuo provider DNS. SPF è un vero meccanismo condiviso da aggiungere al record radice (include:_spf.yandex.net, oppure la scorciatoia redirect= documentata da Yandex), DKIM è un singolo record TXT sotto il selettore mail, la cui chiave generi in Domains → Add DKIM, e DMARC è un terzo record che Yandex consiglia ma non crea mai per te. Poiché Yandex 360 è un vero host di caselle (quando invii tramite il suo SMTP, usa il tuo dominio come mittente della busta), una volta configurati SPF e DKIM si allineano entrambi al tuo dominio, quindi un dominio Yandex impostato correttamente può superare DMARC con uno qualsiasi dei due meccanismi.
Perché autenticare Yandex 360?
Autenticare un dominio Yandex 360 è ciò che decide se le tue email raggiungono la posta in arrivo, e qui conta doppio perché Yandex è un grande provider di posta oltre che il tuo mittente. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato a rifiutare la posta ad alto volume non conforme diretta a Outlook.com/Hotmail/Live: la posta del tuo dominio Yandex viene quindi valutata su tutti e tre. Yandex stesso è più severo della maggior parte dei server riceventi: vuole che i messaggi in uscita abbiano la firma DKIM e applica SPF/DKIM/DMARC in modo aggressivo sulla posta in ingresso, quindi tutto ciò che invii a yandex.ru, yandex.com o a un tenant Yandex 360 viene controllato a fondo. Finché non autentichi, la posta inviata da Yandex è riconducibile al tuo dominio solo in modo debole: il tuo indirizzo From non è crittograficamente tuo, DMARC non può essere superato e la reputazione di invio non si accumula sul tuo nome. Configurare SPF, DKIM e DMARC allinea entrambi i meccanismi al tuo dominio, permette di superare DMARC e, poiché il DKIM allineato sopravvive all'inoltro mentre SPF no, ti mantiene autenticato anche quando i messaggi passano da mailing list o regole .forward.
Come funziona davvero SPF con Yandex 360
Yandex 360 è un vero provider “include”: aggiungi un meccanismo condiviso all'unico record TXT SPF del dominio radice e (a differenza degli ESP che controllano il Return-Path, come Mailchimp) qui SPF SI ALLINEA davvero, perché quando invii tramite i suoi server Yandex usa il tuo dominio come mittente della busta SMTP. Yandex documenta due forme. Quella unibile è v=spf1 include:_spf.yandex.net ~all: usala se invii anche da qualcosa di diverso da Yandex, perché l'include sta dentro il tuo record insieme agli altri mittenti (aggiungi meccanismi ip4: per eventuali altri server di invio). La scorciatoia è v=spf1 redirect=_spf.yandex.net, che costituisce l'INTERO record: passa la valutazione SPF a Yandex e funziona solo se Yandex è l'unico mittente del dominio. Yandex consiglia il qualificatore ~all (softfail), non -all, perché i domini su Yandex spesso inviano legittimamente anche tramite altri strumenti. Il punto cruciale che la maggior parte delle guide sbaglia: include:_spf.yandex.net NON è una singola ricerca piatta. Internamente fa un redirect (_spf.yandex.net → redirect=_spf.yandex.ru → include:_spf-ipv6.yandex.ru + include:_spf-ipv4-yc.yandex.ru), quindi consuma circa QUATTRO delle tue 10 ricerche DNS SPF (RFC 7208), non una sola, come sostengono la maggior parte degli articoli e dei checker con dati in cache. È un vincolo reale quando affianchi a Yandex Google Workspace, uno strumento di marketing o un relay. E sul dominio deve esserci esattamente un record TXT SPF: unisci il meccanismo di ogni mittente in un'unica riga v=spf1 invece di pubblicare un secondo record SPF (due record SPF producono un PermError).
Due modi per configurarlo
include:_spf.yandex.net: unibile (consigliato)
- Sta dentro il tuo record v=spf1 … ~all, quindi puoi affiancargli Google Workspace, SendGrid, un relay o un server ip4:
- Mantieni il controllo del qualificatore finale: Yandex consiglia ~all (softfail), che puoi impostare solo sul tuo record
- L'unica opzione praticabile non appena invii da qualcosa di diverso da Yandex
- Costa circa 4 delle tue 10 ricerche SPF a causa della catena di redirect interna di Yandex: tieni d'occhio il limite quando sommi più mittenti
redirect=_spf.yandex.net: scorciatoia solo per Yandex
- v=spf1 redirect=_spf.yandex.net è l'INTERO record: delega in blocco a Yandex la valutazione SPF
- La scelta più semplice se Yandex è l'unico mittente del dominio
- Non puoi aggiungere altri mittenti né tuoi meccanismi ip4:, perché in un record redirect non c'è spazio per loro
- Erediti il qualificatore pubblicato da Yandex, qualunque sia; se aggiungi qualcosa accanto, SPF si rompe
Passo dopo passo
- 1
Aggiungi e conferma il tuo dominio
Accedi ad admin.yandex.com come amministratore dell'organizzazione e apri la pagina Domains. Fai clic su Add domain, inserisci yourdomain.com e conferma la proprietà con uno dei metodi di Yandex: di solito si sceglie un record DNS (un TXT yandex-verification o un CNAME), ma funzionano anche un file HTML o un meta tag sul tuo sito. Il dominio deve risultare confermato prima che posta e DKIM possano funzionare.
- 2
Aggiungi il record MX per ricevere la posta con Yandex
Nella pagina Domains, Yandex mostra il record MX per la ricezione: host @, valore mx.yandex.net. (con il punto finale), priorità 10, TTL 21600. Aggiungilo presso il tuo provider DNS. Il record MX riguarda la ricezione, non l'autenticazione, ma fa parte dell'attivazione di una casella Yandex 360 e senza di esso la posta non circola.
- 3
Pubblica o unisci il record SPF
Presso il tuo provider DNS aggiungi un record TXT sul dominio radice (host @): v=spf1 include:_spf.yandex.net ~all. Se invii solo tramite Yandex, puoi usare invece la scorciatoia di Yandex v=spf1 redirect=_spf.yandex.net. Se esiste già un record v=spf1 (Google, uno strumento di marketing ecc.), unisci include:_spf.yandex.net a quell'unico record: non pubblicare mai un secondo TXT SPF. Usa TTL 21600 se è richiesto un valore.
- 4
Genera la chiave DKIM
Torna alla pagina Domains e fai clic su Add DKIM accanto al dominio. Yandex apre il pannello Configure DKIM signature e genera per te una coppia di chiavi: copia il valore completo della chiave pubblica visualizzata. Se hai delegato i nameserver del dominio a Yandex, il record DKIM viene creato automaticamente e puoi saltare la pubblicazione manuale.
- 5
Pubblica il record TXT DKIM
Crea un record TXT con host mail._domainkey (alcuni pannelli richiedono il nome completo mail._domainkey.yourdomain.tld) e incolla il valore fornito da Yandex, simile a v=DKIM1; k=rsa; t=s; p=<long public key>. È un record TXT, non un CNAME, e Yandex usa il solo selettore mail. TTL 21600 se richiesto.
- 6
Aggiungi il record DMARC
Yandex consiglia DMARC ma non lo crea. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio, quindi non cambia nulla nel recapito mentre confermi che la posta Yandex superi SPF e DKIM allineati: renderai più severa la policy in seguito.
- 7
Esegui il controllo del dominio di Yandex
Torna alla pagina Domains, fai clic su Verify your domain accanto al dominio e poi su Check. Yandex rilegge il tuo DNS; la propagazione può richiedere fino a 72 ore. Se un record risulta non trovato, non aggiungerlo di nuovo: aspetta e fai di nuovo clic su Check, oppure ricopia il valore esatto dal pannello DKIM.
- 8
Invia un'email di prova e leggi le intestazioni
Da una casella del dominio, inviati un'email a un account Gmail, apri il messaggio e scegli ⋮ → Show original. Devi vedere SPF: PASS con il tuo dominio, DKIM: PASS con d=yourdomain.com e selettore mail (non un dominio yandex.ru/yandex.net) e DMARC: PASS. Poi conferma che ogni record si risolva con un check-up del dominio.
Record da aggiungere
Yandex 360 genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.yandex.net ~allSPF radice: tieni esattamente UN record SPF; unisci questo include se hai già una riga v=spf1. Costa ~4 ricerche DNS (catena di redirect). Solo Yandex? Usa invece v=spf1 redirect=_spf.yandex.net. |
| TXT | mail._domainkey | v=DKIM1; k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ…(public key from Configure DKIM signature)Valore di esempio: la chiave reale viene generata per ogni dominio in Domains → Add DKIM. È un record TXT (non un CNAME), con il solo selettore mail, e il valore contiene il flag t=s (strict). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Yandex non lo crea mai. Un record DMARC per dominio; parti da p=none, poi passa a quarantine/reject. |
| MX | @ | mx.yandex.net.Priorità 10, TTL 21600. Indirizza la posta in ingresso a Yandex 360: non è un record di autenticazione, ma fa parte della configurazione della casella. Mantieni il punto finale. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Yandex 360.
Yandex 360 occupa 4 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Yandex 360 si genera nella console di amministrazione: non si copia da un valore fisso e non si delega tramite CNAME. Nella pagina Domains, fai clic su Add DKIM per il dominio: Yandex apre Configure DKIM signature, crea la coppia di chiavi per te e mostra una chiave pubblica da pubblicare come singolo record TXT sull'host mail._domainkey, con un valore come v=DKIM1; k=rsa; t=s; p=<public key>. Diversi aspetti distinguono il DKIM di Yandex da quello di Google o Microsoft. Primo, è un record TXT da incollare: non c'è delega CNAME né una coppia di rotazione in stile s1/s2; Yandex usa un solo selettore, mail, e conserva la chiave privata presso di sé. Secondo, il valore pubblicato contiene il flag t=s, la modalità rigorosa (strict) di DKIM, secondo cui l'identità di firma deve corrispondere al dominio esatto: una chiave su yourdomain.com non convalida la posta firmata come sottodominio, quindi un sottodominio che invia posta richiede una propria configurazione DKIM separata. Terzo, Yandex genera la chiave RSA per te: nel pannello base non puoi incollare una tua chiave né scegliere la lunghezza (storicamente le chiavi emesse da Yandex sono a 1024 bit), quindi non devi scegliere la lunghezza in bit come in Google Workspace. Pubblicare il record non è il traguardo: torna alla pagina Domains e fai clic su Verify your domain → Check, così Yandex conferma che la chiave si risolve e inizia a firmare con d=yourdomain.com. E se hai delegato i tuoi nameserver a Yandex, il record DKIM viene creato automaticamente: la pubblicazione manuale del TXT serve solo quando il tuo DNS si trova presso un registrar esterno.
DMARC
DMARC è un record TXT di policy separato che pubblichi tu: Yandex lo consiglia ma non lo crea mai. Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati, così puoi confermare che la posta Yandex superi SPF e DKIM allineati al tuo dominio prima di applicare qualsiasi regola. Poiché Yandex 360 allinea entrambi i meccanismi (SPF tramite il dominio della tua busta e DKIM tramite il selettore mail sul tuo dominio), dovresti vedere presto controlli superati senza problemi, e sul lato DKIM la configurazione sopravvive all'inoltro. Osserva i report rua per una o due settimane, assicurati che ogni mittente legittimo (Yandex più eventuali strumenti di terze parti) sia autenticato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi; i sottodomini ereditano la policy del dominio padre, a meno che tu non assegni loro un proprio record _dmarc o usi il tag sp=. Un utile bonus: Yandex è anche un provider di posta che genera report aggregati DMARC, quindi una volta pubblicato un indirizzo rua inizierai a ricevere i report di Yandex su come viene autenticata la posta del tuo dominio nel mondo reale.
Verifica che funzioni davvero
Non fidarti solo del badge nella pagina Domains di Yandex: controlla su un messaggio reale. Inviati un'email di prova da una casella del dominio, aprila in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS con il tuo dominio, DKIM: PASS con d=yourdomain.com e selettore mail (il classico segnale di errore è una firma di un dominio yandex.ru/yandex.net, che indica che il DKIM personalizzato non è ancora attivo) e DMARC: PASS. Puoi controllare a campione i record grezzi con dig TXT mail._domainkey.yourdomain.com, dig TXT yourdomain.com (per SPF) e dig TXT _dmarc.yourdomain.com. Yandex espone anche statistiche di recapito e autenticazione tramite Yandex Postmaster (postmaster.yandex.ru), una volta aggiunto e verificato lì il dominio. Infine, analizza il dominio con il check-up del dominio di Qualisend per confermare che SPF, il record DKIM mail._domainkey e il record DMARC si risolvano correttamente e che la catena di redirect da ~4 ricerche di SPF ti lasci sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Yandex dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Configurazione DNS
include:_spf.yandex.net NON è una sola ricerca DNS. Internamente fa un redirect (_spf.yandex.net → _spf.yandex.ru → _spf-ipv6 + _spf-ipv4-yc), quindi brucia circa 4 delle tue 10 ricerche SPF. La maggior parte delle guide e dei checker con dati in cache dice 1: mettine in conto 4 quando affianchi a Yandex altri mittenti.
- Configurazione DNS
redirect o include: v=spf1 redirect=_spf.yandex.net è il record INTERO e non può contenere altro. Non appena invii anche tramite Google, SendGrid o un tuo server, devi passare alla forma include, e non pubblicare mai entrambe.
- Configurazione DNS
Il DKIM di Yandex è un record TXT, non un CNAME, e c'è un solo selettore (mail), senza coppia di rotazione. Generare la chiave nel pannello Configure DKIM signature non basta: devi pubblicare il TXT e poi fare clic su Verify your domain → Check.
- Copertura
Il valore DKIM viene fornito con t=s (modalità strict), quindi la chiave sul dominio radice non convalida la posta firmata come sottodominio. Un sottodominio che invia posta richiede una propria configurazione DKIM.
- Copertura
Nel pannello base non puoi usare una tua chiave DKIM né scegliere la lunghezza della chiave: la genera Yandex (storicamente a 1024 bit). Se ti serve una chiave più robusta, sei limitato a ciò che Yandex emette.
- Copertura
Dominio duplicato nel campo host: inserisci mail._domainkey (non mail._domainkey.yourdomain.com) e @ per SPF radice e MX, perché molti pannelli aggiungono automaticamente il dominio e producono mail._domainkey.yourdomain.com.yourdomain.com.
- Fa fallire l'autenticazione
Tieni esattamente un record SPF e un record DMARC. Se invii già tramite Google Workspace, Microsoft 365 o uno strumento di marketing, unisci include:_spf.yandex.net all'unica riga v=spf1: due record TXT SPF producono un PermError.
- Copertura
La propagazione può richiedere fino a 72 ore e la pagina di stato di Yandex si aggiorna in ritardo. Usa il pulsante Check per ricontrollare; non aggiungere di nuovo né duplicare un record che semplicemente non si è ancora propagato.
Crea il tuo record SPF
Yandex 360 è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Yandex 360: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
- Google Workspace
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
- Migadu
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.