Guida alla configurazione di Cloudblast DKIM, DMARC e SPF

Cloudblast è un provider di hosting VPS su cloud, non un servizio di posta elettronica. Ti fornisce un server, un indirizzo IP pubblico e l’accesso root, ma non offre alcuna schermata del tipo “collega il tuo dominio di invio”. Se utilizzi quel VPS per gestire il tuo server di posta, sia tramite Postfix, un pannello di controllo come CyberPanel o OpenPanel, sia tramite un’altra applicazione SMTP, la configurazione di SPF, DKIM e DMARC è interamente a tuo carico. Questa guida spiega cosa configurare, dove farlo e come verificare che funzioni effettivamente.

Perché autenticare un dominio ospitato su Cloudblast?

Cloudblast si propone come fornitore di infrastrutture "grezze": piani VPS basati su processori AMD EPYC, protezione DDoS integrata e fatturazione oraria, pensati per gli sviluppatori che desiderano gestire il proprio stack. Nessuna di queste funzionalità include un servizio gestito di invio e-mail; pertanto, se si configura un server di posta sul proprio account Cloudblast, che sia per un prodotto SaaS, una casella di posta di assistenza o e-mail transazionali, l’autenticazione del proprio dominio richiede una configurazione DNS manuale e una tantum, anziché essere gestita dall’host per conto dell’utente.

Configurare correttamente SPF, DKIM e DMARC su un sistema self-hosted garantisce gli stessi risultati di qualsiasi dominio correttamente autenticato:

• Impedisce l'usurpazione d'identità: rende più difficile per chiunque altro inviare e-mail contraffatte o di phishing che sembrano provenire dal tuo dominio.
• Migliora il posizionamento nella posta in arrivo: offre a Gmail, Outlook e altri provider un motivo per fidarsi delle email provenienti da un IP VPS senza una cronologia di invio pregressa.
• Protegge la tua reputazione come mittente: poiché gli indirizzi IP dei VPS possono essere riassegnati o essere stati utilizzati in precedenza da qualcun altro, l'autenticazione, abbinata al monitoraggio, ti aiuta a individuare tempestivamente eventuali problemi di reputazione.
• Ti mostra chi sta realmente inviando i messaggi: i report DMARC rivelano tutte le fonti che utilizzano il tuo dominio per inviare e-mail, il che è importante se il tuo server Cloudblast non è l'unico a inviare messaggi con quel nome.

Procedura per configurare SPF e DKIM su un server di posta ospitato su Cloudblast

Non c'è un'opzione nella dashboard per questa operazione. Dovrai operare direttamente tramite il tuo provider DNS e all'interno del software di posta elettronica in esecuzione sul VPS.

Passaggio 1: indirizzare il dominio verso il server

Scegli un nome host per la posta in uscita, ad esempio mail.tuodominio.com, e utilizzalo in modo coerente in tutta la configurazione.

1. Aggiungi un record A che indirizzi mail.tuodominio.com all'indirizzo IPv4 assegnato da Cloudblast alla tua istanza. Aggiungi anche un record AAAA se utilizzi il protocollo IPv6.

2. Nel pannello di controllo di Cloudblast, imposta il record PTR (DNS inverso) per quell'IP sullo stesso nome host, in modo che una ricerca sull'IP rimandi a mail.tuodominio.com.

3. Utilizza lo stesso nome host nel messaggio di benvenuto SMTP (EHLO/HELO) del tuo server di posta, in modo che corrisponda a quanto pubblicato nel DNS.

Nessuno di questi aspetti viene verificato direttamente da SPF, DKIM o DMARC, ma un record PTR non corrispondente o mancante è una delle cause più comuni per cui le e-mail provenienti da un server self-hosted vengono respinte o filtrate prima ancora che entri in gioco l'autenticazione.

Passaggio 2: Configurare il record SPF di Cloudblast

Il tuo record SPF deve autorizzare l'indirizzo IP specifico da cui invia il tuo server Cloudblast, poiché non esiste un meccanismo fornito da Cloudblast a cui fare riferimento.

1. Elenca tutti gli indirizzi IP (IPv4 e IPv6) che inviano posta per conto di questo dominio. Se utilizzi un solo VPS, di solito si tratta di un solo indirizzo.

2. Verifica se il tuo dominio dispone già di un record SPF. In tal caso, aggiungi l'IP di Cloudblast al record esistente. Un dominio può avere un solo record SPF, quindi non pubblicare mai un secondo record TXT accanto a quello già esistente.

3. Nel tuo programma di posta elettronica, imposta il mittente della busta (Return-Path) su un dominio di cui hai il controllo, ad esempio yourdomain.com o un sottodominio come bounce.yourdomain.com. Questo permette all'SPF di allinearsi con l'indirizzo "Da" visibile ai fini del DMARC.

4. Una volta confermato l'elenco completo dei mittenti, chiudi il record con -all. Nel frattempo, usa ~all se stai ancora verificando di aver acquisito tutto.

Esempio di record SPF:

tuodominio.com. TXT “v=spf1 ip4:198.51.100.10 -all”

Se anche altri strumenti inviano e-mail a nome del tuo dominio, come ad esempio un CRM o una piattaforma di marketing, inserisci i relativi meccanismi nello stesso record. L'SPF consente fino a 10 ricerche DNS per meccanismi come "include", ma una voce diretta IPv4 o IPv6, che è quella che solitamente si utilizza per un singolo VPS, non viene conteggiata ai fini di tale limite.

Se gestisci diverse fonti di invio e ti stai avvicinando al limite, vale la pena prendere in considerazione la nostra soluzione SPF in hosting; inoltre, puoi verificare il tuo record attuale con lo strumento di verifica SPF di PowerDMARC.

Passaggio 3: Configurare il record DKIM di Cloudblast

Il DKIM deve essere generato all'interno del tuo programma di posta elettronica, poiché non esiste una chiave emessa da Cloudblast da copiare.

1. Genera una coppia di chiavi utilizzando lo strumento di firma del tuo server di posta (OpenDKIM è comunemente usato con Postfix, e la maggior parte dei pannelli di controllo dispone di un gestore DKIM integrato). Attualmente si raccomanda l'uso di una chiave RSA a 2048 bit, a condizione che il tuo provider DNS supporti la lunghezza del record risultante.

2. Scegli un nome per il selettore, che diventerà parte del record DNS. È consigliabile scegliere un nome facilmente identificabile, ad esempio dkim2026.

3. Pubblica la metà pubblica della chiave come record TXT, senza interruzioni di riga né virgolette superflue residue dalla copia dal terminale.

Esempio di record DKIM:

dkim2026._domainkey.tuodominio.com. TXT “v=DKIM1; k=rsa; p=[la tua chiave pubblica]”

4. Configura il tuo programma di posta elettronica in modo che firmi ogni messaggio in uscita utilizzando d=tuodominio.com e s=dkim2026, facendo corrispondere esattamente i valori a quelli che hai pubblicato.

Assicurati che la chiave privata rimanga limitata al processo che firma la tua posta e cambia il selettore se dovessi sospettare che sia stato compromesso. Il fatto che un record venga risolto correttamente nel DNS conferma solo che la chiave pubblica è stata pubblicata; non conferma che il tuo server stia effettivamente firmando con la chiave privata corrispondente, motivo per cui è comunque importante effettuare un test con un messaggio reale.

È possibile verificare il record stesso utilizzando lo strumento di verifica DKIM di PowerDMARC.

Procedura per abilitare un record DMARC sul proprio dominio Cloudblast

Cloudblast non ha alcun coinvolgimento con DMARC; viene pubblicato in modo indipendente a livello di dominio e si applica a tutte le fonti che inviano email a nome di quel dominio, non solo al tuo VPS. Creane uno utilizzando il generatore gratuito di record DMARC di PowerDMARC, invece di scrivere la sintassi a mano.

1. Se non ne avete già una, create una casella di posta elettronica per ricevere i rapporti aggregati, ad esempio [email protected].

2. Inizia con la politica impostata su p=none. Ecco cosa fanno effettivamente le tre opzioni:

• p=nessuno (Monitor): la posta viene recapitata normalmente mentre si raccolgono i rapporti su chi invia messaggi utilizzando il proprio dominio.
• p=quarantena (Fase): la posta non autenticata viene indirizzata alla cartella dello spam.
• p=reject (Applica): la posta non autenticata viene bloccata immediatamente.

3. Inserisci il tuo indirizzo di riferimento nel campo " rua ".

4. Pubblica il valore generato come singolo record TXT su _dmarc.tuodominio.com. Se su quel dominio è già presente un record DMARC derivante da una configurazione precedente, sostituiscilo anziché aggiungerne un secondo.

Esempio di registrazione in modalità monitoraggio:

_dmarc.tuodominio.com. TXT “v=DMARC1; p=none; rua=mailto:[email protected]”

Con il mittente della busta e il valore d= di DKIM entrambi puntati al proprio dominio, come indicato nei passaggi 2 e 3, un server Cloudblast in proprio è generalmente in grado di far passare il DMARC con entrambi i metodi. Tuttavia, non passare direttamente a `p=reject` prima di averlo verificato con dati reali. Se il tuo dominio è già impostato su `p=quarantine` o `p=reject` a seguito di una configurazione precedente, mantieni quella politica mentre risolvi il problema di autenticazione specifico del server Cloudblast.

Verifica della configurazione

Controlla i record DNS

Controlla i tuoi record SPF, DKIM, DMARC, A e PTR per verificare che siano stati pubblicati correttamente e che non contengano errori di digitazione. Il Domain Analyzer di PowerDMARC è in grado di verificare contemporaneamente SPF, DKIM e DMARC in un unico passaggio.

Invia un'e-mail di prova vera e propria

Il fatto che un record venga risolto nel DNS non dimostra che il tuo server lo stia utilizzando. Invia un messaggio vero e proprio utilizzando la stessa applicazione e le stesse credenziali impiegate dalla tua posta in produzione, non un client di posta desktop separato, che seguirebbe un percorso completamente diverso.

Leggi i risultati dell'autenticazione

Apri le intestazioni del messaggio e verifica che siano presenti spf=pass, dkim=pass e dmarc=pass. Assicurati che il campo header.from corrisponda sia a smtp.mailfrom (SPF) che a header.d (DKIM). Se preferisci non analizzare manualmente le intestazioni grezze, l'analizzatore di intestazioni e-mail di PowerDMARC lo fa per te.

Se qualcosa non funziona al primo tentativo, attendi dalle 24 alle 48 ore affinché il DNS si propaghi prima di procedere con ulteriori operazioni di risoluzione dei problemi; un record appena pubblicato non sarà immediatamente visibile ovunque.

Domande frequenti

In che modo questa configurazione differisce dalla configurazione di SPF, DKIM e DMARC su una piattaforma di posta elettronica?

Su una piattaforma come Kit o Twikey, il fornitore genera automaticamente i valori SPF e DKIM CNAME per te, e tu devi semplicemente copiarli nel DNS. Su Cloudblast, invece, non esiste una schermata equivalente. Sei tu a dover generare la coppia di chiavi DKIM e a identificare l’IP di invio, poiché Cloudblast si limita a ospitare il server, senza eseguire l’applicazione di posta elettronica su di esso.

Ho saltato la fase relativa al DNS inverso (PTR) e ho configurato solo SPF, DKIM e DMARC. L'autenticazione funzionerà comunque?

SPF, DKIM e DMARC continueranno a funzionare normalmente, poiché nessuno dei tre protocolli verifica direttamente i record PTR. Tuttavia, diversi provider di caselle di posta elettronica rifiutano o filtrano in modo rigoroso le connessioni provenienti da un indirizzo IP il cui DNS inverso non risolve in un nome host corrispondente; pertanto, la posta potrebbe comunque essere contrassegnata o bloccata in fase di connessione, anche se tutti e tre i record sono stati pubblicati correttamente.

Ho diversi domini ospitati sullo stesso VPS Cloudblast. Possono utilizzare tutti lo stesso selettore DKIM?

I selettori hanno un ambito di applicazione specifico per ciascun dominio nel DNS (selector._domainkey.yourdomain.com), quindi lo stesso nome di selettore può tecnicamente essere riutilizzato su domini diversi senza creare conflitti, a condizione che ciascun dominio pubblichi la propria chiave pubblica corrispondente. Ciò che conta è che il valore d= in ciascun messaggio firmato corrisponda al dominio il cui DNS contiene la chiave di quel selettore.

Il mio record SPF include già altri servizi (come un CRM o uno strumento di assistenza). L'aggiunta dell'IP di Cloudblast potrebbe comprometterne il funzionamento?

No, purché modifichi il record esistente invece di pubblicare un secondo record SPF TXT sullo stesso host. Aggiungi l'IP di Cloudblast come meccanismo IPv4 aggiuntivo accanto a quelli già presenti. È la presenza di due record SPF distinti per un dominio a causare l'errore SPF, non la presenza di più meccanismi all'interno di un unico record.

Dopo quanto tempo dalla pubblicazione del mio record DMARC vedrò il mio IP Cloudblast nei report aggregati?

La maggior parte dei principali provider di posta invia rapporti aggregati (RUA) con un ciclo di elaborazione in batch di circa 24 ore, quindi è opportuno prevedere almeno un giorno prima che arrivi il primo rapporto e, eventualmente, un periodo più lungo a seconda del volume di posta che il provider riceve dal tuo dominio.

Devo continuare a verificare l'autenticazione dopo la configurazione iniziale, oppure si tratta di un'operazione da eseguire una sola volta?

È opportuno considerarlo un processo continuo. Una configurazione VPS può subire variazioni in modo impercettibile: un indirizzo IP può essere riassegnato durante una migrazione, un selettore DKIM può essere aggiornato o qualcuno può modificare manualmente un record DNS, senza che ciò generi alcun messaggio di errore al momento dell’invio. Esaminare regolarmente i report aggregati DMARC è il modo migliore per individuare questo tipo di variazioni prima che incidano sulla deliverability.

Parole finali

L'hosting autonomo della posta su un VPS Cloudblast ti offre il pieno controllo sulla tua infrastruttura di invio, ma significa anche che la configurazione e il monitoraggio di SPF, DKIM e DMARC ricadono interamente sulle tue spalle. Se desideri un secondo parere sulle tue politiche, un percorso che vada dal monitoraggio all'applicazione delle regole o avvisi continui in caso di cambiamenti, il team di PowerDMARC è qui per aiutarti.

Contattaci o richiedi una demo con PowerDMARC per scoprire come funziona il monitoraggio continuo dell'autenticazione in una configurazione autogestita come questa.

• Informazioni su
• Ultimi messaggi

Ayan Bhuiya

Responsabile di turno, esperto di infrastrutture e sicurezza e-mail presso PowerDMARC

Con oltre 13 anni di esperienza nella sicurezza informatica, Ayan Bhuiya è specializzato in infrastrutture, continuità aziendale, gestione del rischio e sicurezza delle e-mail. Attualmente ricopre il ruolo di Shift Lead presso PowerDMARC. Ha conseguito un diploma post-laurea in Networking e Sicurezza e vanta una comprovata esperienza nella conduzione di iniziative strategiche di sicurezza per mitigare le minacce e garantire la resilienza aziendale.

Ultimi messaggi di Ayan Bhuiya (vedi tutti)

• Guida alla configurazione di Cloudblast DKIM, DMARC e SPF - 12 agosto 2026
• Come configurare SPF, DKIM e DMARC su Beehiiv [2026] - 7 luglio 2026
• Guida alla risoluzione dei problemi e alla correzione dei codici di errore Microsoft - 22 giugno 2026