SPF, DKIM e DMARC per Zoho CRM.
Zoho CRM autentica il tuo dominio di invio da un unico punto, Setup → Channels → Email → Email Deliverability → Email Authentication: lì aggiungi il dominio, lo verifichi con un codice ricevuto via email e Zoho ti fornisce un record DKIM (obbligatorio) e un valore SPF (consigliato) da pubblicare nel DNS. Il dettaglio che confonde molti: Zoho CRM invia la tua posta tramite l'infrastruttura transazionale di Zoho (transmail.net) con un envelope-from/Return-Path di proprietà di Zoho, quindi SPF non si allinea mai al tuo dominio. Per questo è DKIM, un record TXT con selettore e chiave pubblica generati automaticamente, il meccanismo che garantisce davvero il superamento di DMARC, ed è esattamente il motivo per cui Zoho segna DKIM come obbligatorio e SPF solo come consigliato. DMARC è un terzo record, separato, che aggiungi tu. Con DKIM convalidato e DMARC pubblicato, la posta del tuo CRM si autentica con il tuo dominio invece di mostrare una nota “via zoho”.
Perché autenticare Zoho CRM?
Autenticare il dominio di Zoho CRM decide se le tue email commerciali e di marketing raggiungono davvero la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Zoho CRM è direttamente interessato perché è per natura un mittente di grandi volumi: sequenze, email di massa, notifiche dei workflow. Finché non autentichi, Zoho firma la tua posta in uscita con il proprio dominio, quindi i destinatari vedono che crittograficamente non proviene da te, il tuo indirizzo From non si allinea e DMARC non può essere superato. C'è una particolarità di Zoho che rende DKIM imprescindibile: Zoho CRM usa come envelope-from SMTP un dominio di proprietà di Zoho (sulla sua infrastruttura di invio transmail.net), quindi SPF viene sempre valutato su Zoho, mai sul tuo dominio From, e perciò non si allinea mai. La stessa guida alla risoluzione dei problemi di Zoho lo spiega chiaramente: se DKIM è configurato, superi DMARC anche se l'allineamento SPF fallisce; senza DKIM non hai alcuna autenticazione allineata. Configurare DKIM (e una policy DMARC) è ciò che elimina l'etichetta “via”, permette di superare DMARC con l'allineamento DKIM e costruisce la reputazione di invio sul tuo dominio.
Come funziona davvero SPF con Zoho CRM
Zoho elenca Zoho CRM come provider “include”: nella pagina Email Deliverability ti fornisce un valore SPF di Zoho da unire all'unico record TXT SPF del dominio radice; la riga per il data center statunitense è v=spf1 include:zoho.com ~all. Pubblicala, ma capisci bene cosa fa e cosa non fa per la posta del CRM. Zoho CRM invia tramite la sua infrastruttura transazionale (transmail.net) usando un envelope-from/Return-Path di proprietà di Zoho, quindi per la posta inviata dal CRM il controllo SPF viene valutato sul dominio di Zoho e sul record SPF di Zoho: lo SPF del tuo dominio non viene nemmeno consultato e il risultato non può mai allinearsi al tuo dominio From. (Per lo stesso motivo alcune configurazioni Zoho mostrano include:transmail.net; aggiungerlo al TUO SPF non cambia nulla per la posta del CRM, perché la busta usa un dominio di Zoho, non il tuo: ecco perché EasyDMARC e altri dicono che “non serve” aggiungerlo.) DMARC considera SPF solo quando si allinea, quindi per la posta del CRM SPF non dà alcun contributo: proprio per questo Zoho rende DKIM obbligatorio e SPF soltanto “consigliato”. Allora perché pubblicare include:zoho.com comunque? Perché lo stesso dominio spesso gestisce anche caselle Zoho Mail (e talvolta Zoho Campaigns), e per quella posta la busta È il tuo dominio: lì SPF viene valutato sul tuo record e SI ALLINEA, quindi l'include è lo SPF corretto e necessario. Se invece le tue caselle sono su Google Workspace o Microsoft 365, unisci quegli include anziché quello di Zoho. Due cose a cui fare attenzione. La prima è il data center: include:zoho.com è per gli Stati Uniti; l'UE usa include:zoho.eu, l'India include:zoho.in, l'Australia include:zoho.com.au, la Cina include:zoho.com.cn, il Giappone include:zoho.jp: scegli la regione che corrisponde all'URL del tuo account Zoho. La seconda è che include:zoho.com NON è piatto: annida include:spf.zoho.com, include:zcsend.net, include:spf.zohomail.com e include:popspf.zohomail.com, quindi consuma circa 5 delle tue 10 ricerche DNS SPF (RFC 7208). Se usi solo Zoho Mail, include:zohomail.com è molto più leggero (circa 2 ricerche); se usi diversi servizi Zoho, include:one.zoho.com li raggruppa in un unico include. Tieni esattamente un record TXT SPF sul dominio e unisci l'include agli altri mittenti: avere due record SPF è di per sé un PermError.
Due modi per configurarlo
Autenticazione del dominio con DKIM (obbligatoria: garantisce DMARC)
- Obbligatoria in Zoho CRM: un record TXT con selettore e chiave pubblica generati automaticamente
- Firma la posta come d=yourdomain.com, quindi SI ALLINEA e supera DMARC
- L'unico meccanismo allineato per la posta del CRM: qui SPF non può allinearsi
- Dopo la pubblicazione, convalidala nella pagina Email Deliverability
SPF include:zoho.com (consigliato: solo di supporto)
- Zoho ti fornisce v=spf1 include:zoho.com ~all da unire al tuo SPF radice
- Per la posta del CRM lo SPF del tuo dominio non viene nemmeno valutato (la busta su transmail.net è di Zoho), quindi lì non può garantire DMARC
- Resta lo SPF corretto e allineato per le caselle Zoho Mail sullo stesso dominio
- Costa ~5 delle tue 10 ricerche SPF: usa la variante del data center o quella più leggera se serve
Passo dopo passo
- 1
Apri Email Authentication
Accedi come amministratore e vai in Setup → Channels → Email → Email Deliverability, poi apri la scheda Email Authentication. Qui Zoho genera per te i record DKIM (obbligatorio) e SPF (consigliato); DMARC non è qui: lo aggiungi tu presso il tuo provider DNS.
- 2
Aggiungi e verifica il tuo dominio di invio
Fai clic su + Add Domain e inserisci un indirizzo From sul dominio da cui invii la posta del CRM (es. sales@yourdomain.com). Zoho invia un codice di verifica a quell'indirizzo: inseriscilo (Enter Code → Verify) per confermare che controlli il dominio. Dopo la verifica, Zoho mostra i record DKIM e SPF da pubblicare.
- 3
Copia il record DKIM
Zoho mostra un record TXT DKIM: un Host nella forma <selector>._domainkey (il selettore è una lunga stringa generata automaticamente, spesso un valore numerico o un timestamp come 1522905413783) e un Value che inizia con v=DKIM1; k=rsa; p=… Copia entrambi esattamente. Annota anche il valore SPF mostrato da Zoho (include:zoho.com o la variante del tuo data center). Lascia aperta questa pagina: dovrai tornarci per fare clic su Validate Records.
- 4
Pubblica il record TXT DKIM
Presso il tuo provider DNS aggiungi un record TXT con Host = <selector>._domainkey e Value = la stringa v=DKIM1; k=rsa; p=… fornita da Zoho. Mantieni il tipo TXT (il DKIM di Zoho CRM è un record TXT, non un CNAME). Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo <selector>._domainkey, non l'FQDN completo.
- 5
Aggiungi o unisci l'include SPF
Sul dominio radice (host @ o vuoto) pubblica v=spf1 include:zoho.com ~all, oppure la variante del tuo data center (zoho.eu, zoho.in, zoho.com.au, zoho.com.cn, zoho.jp). Se esiste già un record v=spf1, unisci l'include a quell'unico record invece di aggiungere un secondo TXT SPF. Ricorda che questo include costa ~5 ricerche sul limite di 10; usa include:zohomail.com (~2 ricerche) se il dominio gestisce solo Zoho Mail.
- 6
Pubblica il record DMARC
Zoho non crea DMARC. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così nulla cambia mentre confermi che DKIM firmi e si allinei; renderai più severa la policy in seguito.
- 7
Fai clic su Validate Records
Dopo la propagazione DNS (di solito pochi minuti, fino a 24-48 ore), torna in Email Deliverability e fai clic su Validate Records per il dominio. DKIM deve risultare convalidato: fino ad allora, Zoho potrebbe non firmare la tua posta con la tua chiave. Se la convalida si blocca, ricontrolla che l'host del selettore non abbia il dominio duplicato e che il valore TXT non sia stato troncato.
- 8
Invia un'email di prova e leggi le intestazioni
Invia un'email dal CRM a un account Gmail, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con d=yourdomain.com e DMARC: PASS. Di norma SPF mostrerà il dominio della busta di Zoho anziché il tuo (non allineato): è previsto per Zoho CRM e va bene, perché è l'allineamento DKIM a garantire DMARC.
- 9
Usa indirizzi From verificati
Assicurati che gli indirizzi From usati da utenti e workflow siano sul dominio autenticato e configurati come indirizzi From verificati nel CRM. La posta inviata da un indirizzo gratuito (gmail.com) o da un dominio non autenticato non avrà la tua firma DKIM e non beneficerà di questa configurazione.
Record da aggiungere
Zoho CRM genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | 1522905413783._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…(public key from Zoho's Email Deliverability page)Obbligatorio. Valore di esempio: il selettore (il numero prima di ._domainkey) e la chiave vengono generati automaticamente per ogni dominio da Zoho CRM. Copia Host e Value esatti da Email Authentication. È un record TXT, non un CNAME. |
| TXT | @ | v=spf1 include:zoho.com ~allSPF radice: consigliato. Usa la variante del tuo data center (zoho.eu, zoho.in, zoho.com.au, zoho.com.cn, zoho.jp). Tieni UN solo record SPF e unisci questo include. Costa ~5 ricerche DNS. Nota: per la posta inviata dal CRM lo SPF del tuo dominio non viene nemmeno valutato (la busta su transmail.net è di Zoho): è DKIM a garantire DMARC; l'include si allinea solo per Zoho Mail sullo stesso dominio. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Zoho non lo crea mai. Uno per dominio; parti da p=none. Per la posta del CRM viene superato con l'allineamento DKIM, quindi convalida DKIM prima di passare a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Zoho CRM.
Zoho CRM occupa 5 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
DKIM è il record più importante per Zoho CRM, perché è l'unico meccanismo che si allinea al tuo dominio. Nella pagina Email Deliverability → Email Authentication, Zoho genera per te un record DKIM: un record TXT (non un CNAME, a differenza di Google Workspace o Microsoft 365) con Host <selector>._domainkey.yourdomain.com e Value v=DKIM1; k=rsa; p=<public key>. Il selettore è una lunga stringa generata automaticamente da Zoho (spesso un valore numerico o un timestamp, come 1522905413783), quindi non aspettarti un nome leggibile come “zoho”: copia ciò che Zoho mostra. Pubblica quel TXT presso il tuo provider DNS esattamente come fornito; se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta <selector>._domainkey per non duplicarlo. Poi, ed è il passaggio che molti saltano, torna in Zoho e fai clic su Validate Records, così Zoho conferma la chiave e inizia a firmare. Zoho conserva la chiave privata corrispondente e la usa per firmare la posta in uscita del CRM, quindi dopo la convalida i messaggi hanno una firma DKIM con d=yourdomain.com. Poiché Zoho CRM usa il proprio envelope-from e SPF quindi non può allinearsi, è questa firma DKIM a garantire il superamento di DMARC: Zoho stesso documenta che una configurazione DKIM completa supera DMARC anche se l'allineamento SPF fallisce. Due errori a cui fare attenzione: una chiave pubblica a 2048 bit può superare il limite di 255 caratteri per singola stringa TXT e va memorizzata in blocchi separati tra virgolette (la maggior parte dei pannelli lo gestisce da sola), e una chiave alterata o troncata è il motivo abituale per cui un record pubblicato continua a non essere convalidato.
DMARC
DMARC è un record di policy separato che pubblichi tu: Zoho CRM non lo crea mai. Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, mentre i server riceventi ti inviano via email i report aggregati (rua), così puoi confermare che la posta di Zoho CRM superi DKIM con allineamento al tuo dominio. Con Zoho questo conta più che con la maggior parte dei mittenti: poiché SPF non può allinearsi (l'envelope-from è di Zoho), qui DMARC poggia interamente sull'allineamento DKIM, quindi non rendere più severa la policy finché non hai visto nei report la posta del CRM superare DKIM. Osserva i report rua per una o due settimane, assicurati che ogni mittente legittimo del dominio (Zoho CRM, Zoho Mail ed eventuali strumenti di terze parti) sia autenticato, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio organizzativo, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC solo per Zoho. Nota che le regole di Google e Yahoo per i mittenti di grandi volumi richiedono come minimo soltanto p=none, ma è p=reject a impedire davvero agli aggressori di fare spoofing del tuo dominio.
Verifica che funzioni davvero
Non fidarti solo del badge “validated” di Zoho: controlla su un messaggio reale. Invia un'email dal CRM a un account Gmail, aprila e scegli ⋮ → Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com e DMARC: PASS. Aspettati che SPF mostri il dominio della busta di Zoho anziché il tuo e che risulti non allineato: è normale per Zoho CRM e non è un errore, perché è l'allineamento DKIM a soddisfare DMARC. Sul lato Zoho, la pagina Email Deliverability deve indicare il dominio come validated. Puoi controllare a campione i record grezzi con dig TXT <selector>._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Poi analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che i record DKIM, SPF e DMARC si risolvano e che il tuo SPF resti sotto il limite di 10 ricerche (include:zoho.com da solo ne consuma circa 5) e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Zoho dovrebbe comparire come sorgente con allineamento DKIM che supera i controlli, anche se SPF risulta non allineato.
Insidie comuni
- Configurazione DNS
DKIM è obbligatorio, non facoltativo. Poiché Zoho CRM invia con il proprio dominio envelope-from (su transmail.net), SPF non si allinea mai al tuo dominio: DKIM firmato come d=yourdomain.com è l'UNICO meccanismo che garantisce il superamento di DMARC. Se pubblichi SPF ma salti DKIM, non hai alcuna autenticazione allineata.
- Fa fallire l'autenticazione
Per la sola posta del CRM, lo SPF del tuo dominio è irrilevante. Il controllo SPF viene eseguito sul dominio della busta di Zoho e sullo SPF di Zoho, non sul tuo, quindi aggiungere include:zoho.com (o include:transmail.net) non cambia nulla per la posta del CRM. Ha senso solo se lo stesso dominio invia anche tramite Zoho Mail o Zoho Campaigns, dove la busta È il tuo dominio e SPF si allinea.
- Configurazione DNS
include:zoho.com NON è una singola ricerca DNS: annida include:spf.zoho.com, include:zcsend.net, include:spf.zohomail.com e include:popspf.zohomail.com, quindi consuma circa 5 delle tue 10 ricerche SPF. Se usi solo Zoho Mail (non Zoho Campaigns), include:zohomail.com è più leggero (~2 ricerche); per più servizi Zoho, include:one.zoho.com li raggruppa.
- Copertura
Il data center cambia l'include. Gli account statunitensi usano include:zoho.com, ma l'UE usa include:zoho.eu, l'India include:zoho.in, l'Australia include:zoho.com.au, la Cina include:zoho.com.cn e il Giappone include:zoho.jp. L'include di una regione sbagliata non autorizza i server giusti: scegli quello che corrisponde al dominio nell'URL del tuo account Zoho.
- Configurazione DNS
Il DKIM di Zoho CRM è un record TXT, non un CNAME. A differenza di Google Workspace e Microsoft 365 (che usano CNAME di selettore), incolli la chiave pubblica di Zoho in un record TXT su <selector>._domainkey. Aggiungerlo come CNAME fa fallire la convalida.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire <selector>._domainkey.yourdomain.com produce <selector>._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta <selector>._domainkey se il pannello aggiunge il dominio per te.
- Configurazione DNS
Pubblicare il record DKIM non basta: devi tornare alla pagina Email Deliverability di Zoho e fare clic su Validate Records. Finché Zoho non mostra il dominio come convalidato, potrebbe non firmare la tua posta con la tua chiave.
- Copertura
L'indirizzo From deve essere un indirizzo verificato sul dominio autenticato. La posta inviata da un indirizzo gratuito (gmail.com, outlook.com) o da un altro dominio non avrà la tua firma DKIM e non otterrà alcun beneficio.
Crea il tuo record SPF
Zoho CRM è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Zoho CRM: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.