SPF, DKIM e DMARC per Zoho Desk.
Zoho Desk è una piattaforma di help desk, quindi la posta che autentichi qui è fatta di risposte ai ticket, risposte degli agenti e notifiche inviate da un indirizzo come support@yourdomain.com tramite i server di Zoho. Per fare le cose bene bastano un meccanismo protagonista e un complemento: DKIM, che attivi dentro Zoho Desk (Setup → Channels → Email → DKIM Authentication), e una policy DMARC che pubblichi tu. La particolarità che distingue Zoho Desk da Zoho Mail: Desk mette il proprio dominio nel Return-Path (envelope-from) per gestire i bounce, quindi SPF non può mai allinearsi al tuo dominio From. Per la posta di Desk, DKIM è perciò l'unico meccanismo che garantisce il superamento di DMARC. Per Desk in sé non serve alcun include SPF condiviso sul dominio radice: include:zoho.com conta solo se lo stesso dominio gestisce anche caselle Zoho Mail.
Perché autenticare Zoho Desk?
Autenticare Zoho Desk decide se le risposte dell'assistenza raggiungono la posta in arrivo del cliente invece di finire nello spam, e un ticket che sembra senza risposta perché la tua risposta è stata filtrata è un fallimento dell'assistenza, non solo un problema di deliverability. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Zoho Desk ha qui una trappola specifica: poiché usa un proprio dominio Mail-From (di bounce), SPF viene sempre valutato sul dominio di Zoho, non sul tuo, quindi può dare un pass grezzo ma non si allinea mai. Resta DKIM come unica strada per superare DMARC. Senza DKIM la posta di Desk non ha alcuna autenticazione allineata: DMARC fallisce, Gmail può etichettarla come inviata per conto di Zoho e la reputazione di invio che costruisci si mescola a quella di tutti gli altri tenant Zoho non autenticati. Attiva il DKIM sul dominio personalizzato e Desk firma come d=yourdomain.com, DMARC viene superato con l'allineamento DKIM (anche con p=reject) e quella reputazione si accumula sul tuo dominio.
Come funziona davvero SPF con Zoho Desk
Anche se Zoho pubblica un vero include condiviso (include:zoho.com), Zoho Desk si comporta come un ESP che controlla il Return-Path, non come Zoho Mail: per la posta di Desk, quindi, in pratica non c'è nulla di utile da aggiungere al tuo SPF radice. Ecco perché: Zoho Desk invia ogni messaggio con un mittente della busta / Return-Path sul proprio dominio di bounce (i bounce li elabora Zoho, non tu). SPF viene sempre controllato su quel dominio della busta, quindi si risolve sui server di Zoho e non si allinea mai al tuo dominio organizzativo (From). Può dare un pass grezzo, ma DMARC considera SPF solo quando si allinea, quindi aggiungere include:zoho.com al tuo SPF radice non cambia nulla per l'allineamento DMARC di Desk. Per questo il flusso DKIM Authentication di Zoho per Desk è costruito intorno a DKIM: anche dove la documentazione combinata “SPF and DKIM” di Zoho indica un valore SPF, quello SPF non può allinearsi per Desk, quindi è DKIM firmato come d=yourdomain.com il meccanismo che si allinea davvero e garantisce il superamento di DMARC. Quando include:zoho.com conta davvero: se lo STESSO dominio ospita anche caselle Zoho Mail (molto comune tra i clienti Desk), Zoho Mail usa il tuo dominio come mittente della busta, quindi lì SPF si allinea; per quella posta aggiungi l'include al tuo unico record SPF radice, ad esempio v=spf1 include:zoho.com ~all. Due cose da sapere se lo fai. La prima è che include:zoho.com è un include pesante: annida quattro sotto-record Zoho (spf.zoho.com, zcsend.net, spf.zohomail.com, popspf.zohomail.com), quindi costa circa 5 delle tue 10 ricerche DNS SPF. Se usi solo Zoho Mail (non il resto della suite), il più leggero include:zohomail.com richiede circa 2 ricerche. La seconda è che dipende dal data center: gli account UE usano include:zoho.eu, l'India include:zoho.in, l'Australia include:zoho.com.au: scegli la regione del tuo account. E tieni esattamente un record TXT SPF sul dominio; unisci ogni mittente in quello invece di pubblicarne un secondo.
Due modi per configurarlo
DKIM: il meccanismo che autentica Desk (obbligatorio)
- Si attiva dentro Zoho Desk: Setup → Channels → Email → DKIM Authentication → Verify
- L'unico meccanismo che si allinea per Desk, quindi è ciò che fa superare DMARC alla posta di Desk
- Zoho firma come d=yourdomain.com, conserva la chiave privata e la ruota per te
- Funziona anche se SPF non può allinearsi e sopravvive all'inoltro verso le mailing list
SPF include:zoho.com: facoltativo e solo per Zoho Mail
- NON crea l'allineamento SPF per la posta di Zoho Desk (il Return-Path è di Desk)
- Vale la pena aggiungerlo solo se lo stesso dominio gestisce anche caselle Zoho Mail
- Un include pesante da ~5 ricerche (annida quattro record SPF di Zoho) sul tuo budget di 10 ricerche
- Uniscilo alla tua unica riga SPF radice: non pubblicare mai un secondo record TXT SPF
Passo dopo passo
- 1
Aggiungi e verifica il tuo indirizzo From
Accedi come Support Administrator, apri Setup (l'icona dell'ingranaggio) → Channels → Email e, nella scheda From Address, fai clic su New From Address. Inserisci il reparto, l'indirizzo di invio (es. support@yourdomain.com) e un nome visualizzato, poi fai clic su Save. Zoho invia una conferma a quell'indirizzo: fai clic sul link (o incolla il codice) per verificarlo. Finché non lo fai, non puoi autenticare l'indirizzo né inviare da esso.
- 2
Apri DKIM Authentication
Sempre in Setup → Channels → Email, seleziona la scheda DKIM Authentication. Trova il tuo dominio di invio nella lista e fai clic su Verify accanto a esso. Solo i Support Administrator possono accedere a queste impostazioni.
- 3
Copia i record DKIM
Zoho Desk mostra i record DKIM da pubblicare: di solito due record di tipo TXT. Ciascuno ha un Host/Name nella forma <selector>._domainkey.yourdomain.com (il selettore di esempio di Zoho è zoho) e un Value che inizia con v=DKIM1; k=rsa; p=<long public key>. Copia esattamente ogni host e valore; i selettori e la chiave vengono generati per il tuo account.
- 4
Pubblica i record TXT DKIM
Nel tuo provider DNS, crea ciascun record come TXT. Host = l'etichetta del selettore fornita da Zoho (es. zoho._domainkey); incolla il valore completo v=DKIM1; k=rsa; p=... Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta, non il nome completo ...yourdomain.com, per non duplicarlo. Aggiungi entrambi i record se Zoho ne ha mostrati due. Mantieni il tipo TXT.
- 5
Pubblica il record DMARC
Zoho non crea DMARC. Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così nulla cambia mentre confermi che DKIM si allinei. Salta questo passaggio se esiste già un record _dmarc: un dominio deve averne esattamente uno.
- 6
(Solo se usi anche Zoho Mail) Aggiungi l'include SPF
Questo passaggio NON serve per la posta di Zoho Desk. Eseguilo solo se lo stesso dominio ospita anche caselle Zoho Mail: unisci include:zoho.com (o la variante della tua regione: zoho.eu, zoho.in, zoho.com.au) al tuo unico record SPF radice, ad esempio v=spf1 include:zoho.com ~all. Tieni presente che consuma circa 5 delle tue 10 ricerche SPF. Se invii solo da Desk, lascia intatto il tuo SPF radice.
- 7
Fai clic su Verify in Zoho Desk
Torna alla scheda DKIM Authentication e fai clic su Verify quando il record TXT si è propagato (di solito pochi minuti, fino a 24-48 ore). Lo stato passa a Verified e Zoho inizia a firmare la posta di Desk con il tuo dominio. Zoho ricontrolla il TXT DKIM all'incirca ogni due giorni, quindi lascia il record al suo posto in modo permanente.
- 8
Invia una vera risposta a un ticket e leggi le intestazioni
Rispondi a un ticket di prova in modo che un vero messaggio di Desk arrivi a una casella Gmail, aprilo e scegli il menu a tre puntini → Show original. Devi vedere DKIM: PASS con signed-by / d=yourdomain.com e DMARC: PASS. SPF mostrerà un dominio di bounce di Zoho e risulterà non allineato o fallito: per Desk è previsto e non è un problema, perché a DMARC basta un solo meccanismo allineato (DKIM).
Record da aggiungere
Zoho Desk genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | zoho._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...(public key from Zoho Desk)Valore di esempio. Zoho Desk genera i selettori esatti e la chiave nella pagina DKIM Authentication e di solito mostra DUE record TXT: aggiungili esattamente come visualizzati. È il record che garantisce il superamento di DMARC per Desk. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comQuesto lo aggiungi tu: Zoho non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject quando DKIM è verificato. |
| TXT | @ | v=spf1 include:zoho.com ~allFACOLTATIVO: solo se lo stesso dominio gestisce anche caselle Zoho Mail. NON crea l'allineamento SPF per la posta di Desk (Desk usa il Return-Path di Zoho) e costa ~5 ricerche DNS. Usa l'include della tua regione (zoho.eu / zoho.in / zoho.com.au); tieni un solo record SPF. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Zoho Desk.
La configurazione consigliata di Zoho Desk aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
Per Zoho Desk tutto dipende da DKIM, perché è l'unico meccanismo che può allinearsi al tuo dominio (SPF no: il Return-Path è di Desk). Lo attivi dentro Zoho Desk, non prima nel DNS: Setup → Channels → Email → DKIM Authentication, poi fai clic su Verify accanto al tuo dominio. Zoho crea automaticamente le chiavi e mostra i record DKIM da pubblicare: di solito due record di tipo TXT con host <selector>._domainkey.yourdomain.com (il selettore di esempio di Zoho è zoho) e valore v=DKIM1; k=rsa; p=<public key>. Poiché sono record TXT da incollare, Zoho conserva la chiave privata corrispondente e la usa per firmare la posta in uscita di Desk. C'è una piccola differenza rispetto alla console di amministrazione di Zoho Mail, dove scegli tu il selettore e 1024 o 2048 bit prima di generare la chiave: in Desk i valori ti vengono forniti pronti da copiare. Procedura: copia i record, pubblica ciascuno come record TXT nel tuo provider DNS (inserisci solo l'etichetta del selettore se il tuo registrar aggiunge il dominio), attendi la propagazione, poi torna e fai clic su Verify: lo stato passa a Verified e Zoho inizia a firmare come d=yourdomain.com. Due avvertenze specifiche per Desk: Zoho ricontrolla il TXT DKIM nel tuo DNS all'incirca ogni due giorni, quindi se in seguito elimini o alteri il record, Desk smette di firmare senza avvisare e la tua posta inizia a non superare DMARC; inoltre DKIM (come SPF) non si applica agli indirizzi From configurati per inviare tramite il tuo server SMTP: in quel caso l'autenticazione va fatta presso il tuo provider SMTP.
DMARC
DMARC è un record TXT di policy separato che pubblichi tu; Zoho Desk non lo crea. Aggiungilo su _dmarc.yourdomain.com, con un valore che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, mentre i report aggregati (rua) ti permettono di confermare che la posta di Desk superi DKIM con allineamento al tuo dominio. Con Desk questo conta più che con la maggior parte dei mittenti: poiché SPF non può mai allinearsi (l'envelope-from è di Zoho), DMARC poggia interamente su DKIM, quindi non rendere più severa la policy finché Show original e i tuoi report non mostrano entrambi un superamento pulito con allineamento DKIM da Desk. A quel punto passa da p=none a p=quarantine e infine a p=reject: la posta di Desk continua a superare i controlli anche con p=reject, purché DKIM sia verificato e firmi. Tieni esattamente un record _dmarc per l'intero dominio organizzativo; i sottodomini ereditano automaticamente la policy del dominio padre (se invii posta di Desk da un sottodominio, puoi sovrascriverla con un suo record _dmarc o con il tag sp=). E aspettati che i report mostrino SPF non allineato per la sorgente Zoho: per Desk è normale e non c'è nulla da correggere.
Verifica che funzioni davvero
Non fidarti solo del badge Verified di Zoho: controlla su un messaggio reale. Rispondi a un ticket di prova in modo che una vera email di Zoho Desk arrivi a una casella Gmail, aprila e scegli il menu a tre puntini → Show original. Devi vedere DKIM: PASS con d=yourdomain.com (il selettore fornito da Zoho) e DMARC: PASS. SPF mostrerà un dominio di bounce/Return-Path di Zoho e risulterà non allineato o addirittura fallito: per Desk è previsto e NON compromette DMARC, perché DMARC viene superato con la sola firma DKIM allineata. Nei report aggregati DMARC, cerca la sorgente Zoho con DKIM=pass/allineato; una riga SPF=fail accanto, sullo stesso messaggio, va bene. Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il TXT DKIM e il tuo record DMARC si risolvano correttamente e carica un report aggregato nell'analizzatore di report DMARC per vedere Zoho Desk comparire come sorgente con allineamento DKIM che supera i controlli.
Insidie comuni
- Copertura
SPF non può allinearsi per Zoho Desk: usa un proprio dominio di Return-Path/bounce, quindi SPF viene valutato sul dominio di Zoho, non sul tuo. DKIM è l'UNICO meccanismo che garantisce DMARC per Desk. Quando i report mostrano SPF non allineato o fallito per la sorgente Zoho, è normale, non un errore da correggere.
- Fa fallire l'autenticazione
Aggiungere include:zoho.com al tuo SPF radice non cambia nulla per l'allineamento DMARC della posta di Desk. Aggiungilo solo se lo STESSO dominio gestisce anche caselle Zoho Mail, sapendo che è un include pesante da ~5 ricerche (annida spf.zoho.com, zcsend.net, spf.zohomail.com e popspf.zohomail.com).
- Copertura
Verifica prima il tuo indirizzo From. Zoho Desk non ti permette di autenticare support@yourdomain.com né di inviare da esso finché non fai clic sul link nell'email di conferma: se salti questo passaggio, blocchi tutta la procedura DKIM.
- Configurazione DNS
Zoho ricontrolla il TXT DKIM nel tuo DNS all'incirca ogni due giorni. Se in seguito elimini o modifichi quel record, Desk smette di firmare senza avvisare e la tua posta inizia a non superare DMARC: lascialo pubblicato in modo permanente.
- Copertura
L'autenticazione DKIM e SPF non è disponibile per gli indirizzi From configurati per inviare tramite il tuo server SMTP. In quel caso Desk inoltra la posta tramite il tuo server e l'autenticazione va fatta presso quell'host SMTP.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire zoho._domainkey.yourdomain.com produce zoho._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (zoho._domainkey) se il pannello DNS aggiunge il dominio per te.
- Copertura
Scegli il data center giusto. Se il tuo account Zoho è ospitato nella regione UE, India o Australia, l'include SPF è diverso (include:zoho.eu, include:zoho.in, include:zoho.com.au) e conta solo se usi anche Zoho Mail; se usi l'include sbagliato, quello SPF si rompe.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF. Se aggiungi include:zoho.com per Zoho Mail insieme a Google Workspace, Microsoft 365 o un altro mittente, unisci ogni meccanismo in un'unica riga v=spf1: avere due record SPF è di per sé un PermError.
Crea il tuo record SPF
Zoho Desk non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Zoho Desk: domande frequenti
Letture correlate
Altri provider: Helpdesk e CRM
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.