SPF, DKIM e DMARC per Zoho Mail.
Zoho Mail autentica il tuo dominio dall'Admin Console (mailadmin.zoho.com), non con una procedura guidata in un clic. Aggiungi l'include SPF condiviso di Zoho all'unico record SPF del dominio radice, generi una chiave DKIM con un selettore a cui dai tu il nome e la pubblichi come record TXT (poi imposti quel selettore su Enabled), e la policy DMARC la aggiungi tu. Poiché Zoho Mail è un servizio completo di caselle di posta che invia usando il tuo indirizzo come mittente della busta, sia SPF sia DKIM si allineano al tuo dominio organizzativo: un dominio Zoho configurato correttamente supera DMARC con entrambi i meccanismi, e in Gmail i campi mailed-by e signed-by mostrano il tuo dominio invece dell'indicazione “via zoho.com”.
Perché autenticare Zoho Mail?
Autenticare un dominio Zoho Mail decide se i tuoi messaggi raggiungono davvero la posta in arrivo. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole alla posta ad alto volume diretta a Outlook.com/Hotmail/Live. Qui Zoho Mail parte avvantaggiato rispetto alla maggior parte dei mittenti: essendo un servizio di caselle di posta, la posta in uscita usa il tuo indirizzo come mittente della busta, quindi SPF si allinea davvero al tuo dominio invece di limitarsi a un pass grezzo. Ma c'è una trappola: finché non generi una chiave DKIM e non imposti il selettore su Enabled, la tua posta si affida solo a SPF, e SPF smette di funzionare non appena un messaggio viene inoltrato (mailing list, regole .forward, gateway di filtraggio). Configurare DKIM ti dà un secondo meccanismo allineato che resiste all'inoltro, aggiunge una firma signed-by: yourdomain.com a ogni messaggio, permette a DMARC di essere superato in modo affidabile e fa sì che la reputazione di invio che costruisci resti legata al tuo dominio.
Come funziona davvero SPF con Zoho Mail
Zoho Mail è un vero provider “include”: aggiungi un solo meccanismo condiviso, include:zohomail.com, all'unico record TXT SPF del dominio radice. Il record completo consigliato dalla console di Zoho è v=spf1 include:zohomail.com -all. A differenza degli ESP (Mailchimp, Klaviyo) che controllano il Return-Path, le caselle Zoho Mail inviano usando il tuo indirizzo come mittente della busta, quindi qui SPF si ALLINEA davvero al tuo dominio organizzativo e contribuisce da solo a superare DMARC, non solo con un pass grezzo. Il costo è contenuto: include:zohomail.com si risolve in un unico include annidato e piatto (include:spf.zohomail.com, che contiene solo intervalli ip4: e il proprio -all), quindi consuma solo 2 delle tue 10 ricerche DNS SPF previste dalla RFC 7208. Ci sono due particolarità di Zoho da tenere presenti. La prima è la regione del data center: Zoho ospita gli account negli Stati Uniti, nell'UE, in India, in Australia e in altre regioni, e l'include può cambiare in base alla regione (gli account ospitati nell'UE usano include:zoho.eu, quelli in India include:zoho.in), quindi l'include della regione sbagliata non copre i tuoi IP di invio effettivi e SPF fallisce. Copia sempre il valore esatto mostrato dalla tua Admin Console. La seconda: se lo stesso dominio invia anche tramite altri prodotti Zoho (Campaigns, ZeptoMail, CRM, Desk), Zoho pubblica un include cumulativo, include:one.zoho.com, che li raggruppa tutti (si espande in spf.zoho.com + zeptomail.net + zcsend.net, circa 4 ricerche): usa quell'unico include invece di accumulare più include Zoho. Zoho consiglia di chiudere con -all (hard fail) quando solo Zoho invia per il dominio, e sul dominio deve esserci esattamente un record TXT SPF: se invii anche tramite Google Workspace, Microsoft 365, SendGrid ecc., unisci tutti i meccanismi in quell'unica riga v=spf1 invece di pubblicare un secondo record (due record SPF sono un PermError).
Due modi per configurarlo
Solo Zoho Mail: include:zohomail.com
- Il record che l'Admin Console di Zoho ti fornisce per un dominio con sole caselle di posta: v=spf1 include:zohomail.com -all
- Costa 2 delle tue 10 ricerche SPF: zohomail.com annida un solo include piatto, include:spf.zohomail.com (solo ip4)
- SPF si allinea al tuo dominio perché le caselle Zoho inviano usando il tuo indirizzo come mittente della busta
- Termina con -all, l'hard fail consigliato da Zoho, una volta elencati tutti i mittenti
Tutta la suite Zoho: include:one.zoho.com
- Usalo solo se lo stesso dominio invia anche tramite Zoho Campaigns, ZeptoMail, CRM, Desk e altri prodotti
- one.zoho.com si espande in spf.zoho.com + zeptomail.net + zcsend.net: circa 4 ricerche DNS
- Copre ogni prodotto Zoho con un solo include invece di accumulare più include Zoho
- Eccessivo e pesante in termini di ricerche se usi solo caselle Zoho Mail: resta su zohomail.com
Passo dopo passo
- 1
Apri l'Admin Console e scegli il dominio
Accedi a mailadmin.zoho.com come amministratore o super amministratore, poi vai su Domains nel menu a sinistra e seleziona il dominio da cui invii. Tutto quello che segue si trova nella scheda Email Configuration di quel dominio.
- 2
Controlla prima che il dominio sia verificato
Se hai appena aggiunto il dominio, Zoho ti chiede di dimostrarne la proprietà prima dell'autenticazione: in Domains mostra un CNAME (un host zb…) oppure un metodo di verifica TXT/HTML. Questa verifica della proprietà è separata da SPF/DKIM/DMARC e deve risultare verde prima di continuare.
- 3
Aggiungi i record MX (se Zoho ospita le tue caselle)
Presso il tuo provider DNS aggiungi tre record MX: mx.zoho.com (priorità 10), mx2.zoho.com (20) e mx3.zoho.com (50). Il TLD cambia in base alla regione del data center (es. .eu, .in): usa gli hostname esatti elencati nella sezione Configuration/Tools dell'Admin Console per il tuo account. I record MX servono a ricevere la posta, non all'autenticazione, ma fanno parte della stessa configurazione.
- 4
Pubblica o unisci il record SPF
Aggiungi un record TXT sul dominio radice (host @ o vuoto): v=spf1 include:zohomail.com -all. Se esiste già un record SPF, unisci include:zohomail.com a quell'unica riga v=spf1: non pubblicare mai un secondo record SPF. Gli account nei data center UE e India usano invece include:zoho.eu / include:zoho.in; se il dominio usa anche altre app Zoho, usa include:one.zoho.com.
- 5
Genera il selettore DKIM
In Email Configuration → DKIM, fai clic su Add. Inserisci il nome del selettore (l'esempio di Zoho è zoho, ma va bene qualsiasi etichetta, es. zmail), scegli una lunghezza della chiave di 2048 bit se il tuo provider DNS la accetta (altrimenti 1024) e fai clic su Add. Zoho genera una chiave pubblica e ti mostra il record TXT da pubblicare.
- 6
Pubblica il record TXT DKIM
Crea un record TXT con host <selettore>._domainkey (es. zoho._domainkey) e come valore la stringa v=DKIM1; k=rsa; p=… mostrata da Zoho. Se il tuo registrar aggiunge automaticamente il dominio, inserisci solo l'etichetta zoho._domainkey. Una chiave da 2048 bit può superare il limite di 255 caratteri per singola stringa TXT ed essere salvata in più blocchi tra virgolette: è normale.
- 7
Verifica E attiva il selettore
Torna nella scheda DKIM e, quando il DNS si è propagato, fai clic su Verify accanto al selettore. Quando Zoho chiede “Enable DKIM immediately or later”, scegli Enable. È il passaggio che molti saltano: solo quando il selettore è Enabled Zoho firma davvero la posta in uscita con d=yourdomain.com. Un selettore verificato ma non attivato non produce alcun pass DKIM.
- 8
Aggiungi il record di policy DMARC
Zoho non crea DMARC. Aggiungi un record TXT sull'host _dmarc con valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così il recapito non cambia mentre verifichi che SPF e DKIM siano entrambi allineati, poi rendi la policy più restrittiva. Tieni esattamente un record _dmarc per dominio.
- 9
Invia un'email di prova e leggi le intestazioni
Invia un messaggio dalla tua casella Zoho a un account Gmail, aprilo e scegli ⋮ → Show original. Devi vedere SPF: PASS con yourdomain.com, DKIM: PASS con d=yourdomain.com e il tuo selettore (non zoho.com) e DMARC: PASS. Poi conferma che ogni record si risolva con un check-up del dominio.
Record da aggiungere
Zoho Mail genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| MX | @ | mx.zoho.comPriorità 10. Aggiungi anche mx2.zoho.com (20) e mx3.zoho.com (50). Non è un record di autenticazione; il TLD cambia in base alla regione del data center: copia gli host esatti dalla tua Admin Console. |
| TXT | @ | v=spf1 include:zohomail.com -allSPF sul dominio radice: tieni esattamente un record SPF e unisci gli altri mittenti in questa riga. Costa 2 ricerche DNS. Gli account UE/IN usano include:zoho.eu / include:zoho.in; i domini che usano più app Zoho usano include:one.zoho.com. |
| TXT | zoho._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(public key from the Admin Console)Valore di esempio: la chiave viene generata per ogni dominio in Email Configuration → DKIM e l'host deve corrispondere al selettore che hai scelto. Dopo la pubblicazione, fai clic su Verify e poi su Enable in Zoho. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLo aggiungi tu: Zoho non lo crea mai. Uno per dominio; parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Zoho Mail.
Zoho Mail occupa 2 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
In Zoho Mail la chiave DKIM si genera nell'Admin Console con un selettore a cui dai tu il nome: non c'è un valore fisso da incollare. Vai su Domains → il tuo dominio → Email Configuration → DKIM e fai clic su Add: inserisci un selettore (l'esempio di Zoho è zoho, ma va bene qualsiasi etichetta, es. zmail), scegli 1024 o 2048 bit (scegli 2048 se il tuo provider DNS accetta il valore più lungo) e Zoho genera una chiave pubblica. Pubblicala come record TXT con host <selettore>._domainkey (quindi zoho._domainkey se hai chiamato il selettore zoho) e valore v=DKIM1; k=rsa; p=<chiave pubblica>. Poi arriva il passaggio cruciale, tipico di Zoho: torna nella scheda DKIM, fai clic su Verify sul selettore e, quando Zoho chiede “Enable DKIM immediately or later”, scegli Enable. Solo quando il selettore è Enabled Zoho firma davvero la posta in uscita con d=yourdomain.com: verificarlo senza attivarlo è in assoluto il motivo più comune per cui un record pubblicato correttamente non dà ancora un pass DKIM. Dato che la chiave è un record TXT che pubblichi tu (non un CNAME delegato), è tua: per ruotarla in seguito, aggiungi un nuovo selettore, pubblicalo e attivalo, poi rimuovi quello vecchio. Una chiave pubblica da 2048 bit è più lunga di una singola stringa TXT da 255 caratteri, quindi alcuni pannelli DNS la salvano in più blocchi tra virgolette all'interno di un unico record: è previsto, e la maggior parte dei registrar la ricompone correttamente.
DMARC
DMARC è un record di policy separato che aggiungi tu: Zoho non lo crea, e la sua stessa guida indica di configurare prima SPF e DKIM e poi pubblicare DMARC. Aggiungi un record TXT su _dmarc.yourdomain.com che inizi con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati, così puoi confermare che Zoho Mail superi SPF e DKIM con allineamento al tuo dominio. Poiché Zoho allinea entrambi i meccanismi (SPF tramite il tuo indirizzo di busta, DKIM tramite il tuo selettore), dovresti vedere presto controlli superati senza problemi. Tieni d'occhio i report rua per una o due settimane, assicurati che ogni mittente legittimo si autentichi, poi passa a p=quarantine e infine a p=reject. Zoho applica ciò che consiglia: il suo dominio aziendale pubblica p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; i sottodomini ereditano la policy del dominio padre, a meno che tu non la sovrascriva con un tag sp= o con un record _dmarc dedicato.
Verifica che funzioni davvero
Non fidarti solo dei badge dell'Admin Console: conferma l'autenticazione su un messaggio reale. Invia un messaggio dalla tua casella Zoho a un altro account, aprilo in Gmail e scegli ⋮ → Show original: devi vedere SPF: PASS, DKIM: PASS con d=yourdomain.com e il tuo selettore (il segnale tipico di un problema è la firma con zoho.com, che significa che il selettore non è ancora Enabled) e DMARC: PASS, tutti allineati al tuo dominio. Nell'Admin Console, le voci SPF e DKIM in Email Configuration dovrebbero risultare Verified/Enabled, e il Toolkit integrato di Zoho controlla MX/SPF/DKIM a colpo d'occhio. Puoi verificare a campione i record grezzi con dig TXT zoho._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Zoho dovrebbe comparire come sorgente allineata che supera i controlli.
Insidie comuni
- Fa fallire l'autenticazione
Verificare il selettore DKIM non basta: devi fare clic su Enable. Dopo la verifica di un selettore, Zoho mostra la richiesta “Enable DKIM immediately or later”; finché non lo attivi, Zoho non firma la tua posta e DKIM non si allinea mai. È l'equivalente Zoho del passaggio “Start authentication” di Google e il motivo n. 1 per cui una chiave pubblicata non supera ancora un controllo.
- Copertura
Una regione del data center sbagliata fa fallire SPF. Zoho ospita gli account negli Stati Uniti, nell'UE, in India, in Australia e in altre regioni, e l'include può cambiare in base alla regione: l'UE usa include:zoho.eu, l'India include:zoho.in, e cambia anche il TLD dei record MX. Copia i valori SPF e MX esatti dalla tua Admin Console invece che da una guida generica: l'include della regione sbagliata non copre i tuoi IP di invio e SPF fallisce.
- Copertura
Zoho consiglia -all (hard fail) quando invia solo Zoho, non ~all. È un'impostazione rigida: qualsiasi mittente non elencato nel tuo unico record SPF viene rifiutato. È sicura solo quando ogni fonte legittima (altri ESP, il tuo sito web, il CRM) è nel record; se hai dubbi, parti da ~all e passa a -all in seguito.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio. Se invii già tramite Google Workspace, Microsoft 365, SendGrid ecc., unisci include:zohomail.com a quell'unica riga v=spf1: due record SPF sono un PermError.
- Fa fallire l'autenticazione
La verifica del dominio non è autenticazione. Per aggiungere il dominio a Zoho serve prima un record di proprietà separato (un CNAME zb…, oppure un TXT zoho-verification / un file HTML). Dimostra la proprietà e non fa nulla per SPF/DKIM/DMARC, che configuri dopo.
- Configurazione DNS
L'host DKIM deve corrispondere al selettore scelto. Se chiami il selettore zoho, l'host TXT è zoho._domainkey; se lo chiami zmail, è zmail._domainkey. Se pubblichi la chiave sull'host sbagliato, Verify non va mai a buon fine.
- Configurazione DNS
Dominio duplicato nel campo host: i registrar che aggiungono automaticamente il dominio trasformano zoho._domainkey in zoho._domainkey.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (zoho._domainkey) se il pannello aggiunge il dominio per te.
- Configurazione DNS
Invii da più app Zoho? Non accumulare include:zohomail.com + include:zoho.com + include:zcsend.net come meccanismi separati: consolidali in include:one.zoho.com (o nel minimo indispensabile) per restare sotto il limite SPF di 10 ricerche.
Crea il tuo record SPF
Zoho Mail è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Zoho Mail: domande frequenti
Letture correlate
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.