Come configurare SPF, DKIM e DMARC su DreamHost

Il tuo dominio è ospitato su DreamHost, le e-mail vengono inviate, ma le risposte dei clienti finiscono nella cartella dello spam, i moduli di contatto di WordPress non vengono salvati e le e-mail di Google Workspace vengono respinte a causa di errori di autenticazione.

La causa principale è quasi sempre l'autenticazione delle e-mail, in particolare un record SPF mancante, incompleto o configurato in modo errato dopo l'aggiunta di un servizio di posta elettronica di terze parti.

DreamHost gestisce l'SPF meglio della maggior parte dei provider di hosting. Genera automaticamente un record SPF funzionante per ogni dominio

Tuttavia, non appena si modifica il record per aggiungere Google Workspace, Mailchimp o qualsiasi altro servizio di invio, DreamHost rimuove automaticamente il proprio record predefinito. Se nella modifica non si includono i meccanismi propri di DreamHost, l'autenticazione delle e-mail ospitate su DreamHost cessa improvvisamente. 

Questa guida illustra come DreamHost gestisce di default SPF, DKIM e DMARC, come configurare ciascuno di essi per configurazioni con un unico mittente o con più mittenti, i comportamenti specifici di DreamHost che possono causare problemi silenziosi alla posta elettronica e come verificare e monitorare costantemente il tutto.

Qual è il record SPF predefinito di DreamHost?

L'SPF (Sender Policy Framework) è un record TXT del DNS che specifica quali server di posta sono autorizzati a inviare e-mail dal proprio dominio. I server di ricezione controllano questo record per stabilire se le e-mail in arrivo siano legittime o potenzialmente contraffatte.

DreamHost aggiunge automaticamente il seguente record SPF a ogni dominio che utilizza la posta elettronica di DreamHost:

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all

Ecco a cosa serve ciascuna parte del record SPF:

Se invii e-mail esclusivamente tramite DreamHost e non utilizzi servizi di posta elettronica di terze parti, questo record predefinito è completo. Non è necessario modificare nulla.

Usa il PowerDMARC SPF Checker per verificare che il tuo record predefinito DreamHost sia attivo. Inserisci il tuo dominio: in pochi secondi ti mostrerà il record, la convalida della sintassi, il conteggio delle ricerche DNS e tutti i meccanismi elencati.

Ecco cosa devi sapere sul funzionamento di DreamHost prima di apportare qualsiasi modifica:

L'aggiunta di un record SPF personalizzato su DreamHost comporta la rimozione automatica del record predefinito. Questa è una delle cause più comuni di errori di autenticazione delle e-mail su DreamHost. Se aggiungi un record personalizzato contenente solo include:_spf.google.com -all, hai appena revocato l'autorizzazione ai server di posta di DreamHost e, da quel momento in poi, ogni e-mail inviata tramite DreamHost non supererà il controllo SPF.

Se elimini il tuo record SPF personalizzato, DreamHost ripristina automaticamente quello predefinito. Si tratta di una soluzione utile come piano di riserva in caso di malfunzionamenti.

Come aggiungere o modificare un record SPF su DreamHost

È necessario modificare il record SPF solo se si inviano e-mail tramite servizi diversi da DreamHost, Google Workspace, Mailchimp, SendGrid, HubSpot o qualsiasi altro servizio di invio di terze parti.

Fase 1: Identifica tutte le tue fonti di invio

Elenca tutti i sistemi che inviano e-mail a nome del tuo dominio. Fonti comuni per gli utenti DreamHost:

• Email DreamHost → include:netblocks.dreamhost.com include:relay.mailchannels.net
• Google Workspace → includere:_spf.google.com
• Mailchimp → include:servers.mcsv.net
• SendGrid → include:sendgrid.net
• HubSpot → includere:_spf.hubspot.com
• Zoho Mail → includere:zoho.com
• Altri provider → consultare la documentazione SPF del fornitore per il valore "include:"

Non sai quali servizi inviano e-mail a nome del tuo dominio? 

I rapporti aggregati di PowerDMARC rapporti aggregati DMARC rivelano ogni origine di invio, comprese quelle legittime e non autorizzate, entro 72 ore dall'implementazione. Questo è il metodo di individuazione più affidabile, specialmente per i domini con mittenti IT ombra che i reparti marketing o vendite hanno adottato senza dirlo a nessuno.

Passaggio 2: Creare un unico record SPF combinato

Unisci tutte le origini di invio in un unico record SPF. È possibile avere un solo record TXT SPF per dominio, poiché la presenza di più record causa PermError e compromettono l'autenticazione per tutti i mittenti.

Controlla il numero di ricerche. Ogni meccanismo "include" attiva una o più ricerche DNS (comprese le inclusioni annidate), ma l'SPF ha un limite massimo di 10 ricerche totali secondo la RFC 7208. I meccanismi predefiniti di DreamHost consumano già 3–4 ricerche. Aggiungendo Google (2–3), Mailchimp (1–2) e SendGrid (1–2), si arriva a 8–11, potenzialmente oltre il limite.

Utilizza il Generatore SPF di PowerDMARC per creare correttamente il record combinato. Convalida la sintassi, conta le ricerche, comprese quelle annidate, e ti avvisa prima che raggiungi il limite di 10 ricerche. Se hai già superato le 10, PowerSPF appiattisce automaticamente le catene di include: in voci ip4: e mantiene il record aggiornato quando i fornitori cambiano gli IP, senza che siano necessarie modifiche manuali al DNS.

Passaggio 3: Aggiungi il record nel pannello di controllo di DreamHost

Questi passaggi presuppongono che i tuoi server dei nomi puntino a DreamHost. Se puntano invece a Cloudflare o a un altro provider, aggiungi il record TXT lì, poiché il pannello DNS di DreamHost viene ignorato quando i server dei nomi puntano altrove.

• Accedi alla sezione "Gestisci siti web".
• Clicca sul pulsante con i tre puntini in verticale sotto il tuo dominio → seleziona "Impostazioni DNS".
• Fai clic su "Aggiungi record" → passa con il mouse su "Record TXT" → fai clic su "AGGIUNGI".
• Host: lasciare vuoto per il dominio principale (oppure inserire un sottodominio, se necessario).
• Valore TXT: incolla la stringa SPF combinata.
• Fai clic su "Aggiungi record" per salvare.

Questa operazione rimuove il record SPF predefinito di DreamHost. Il tuo record combinato DEVE includere i meccanismi di DreamHost (netblocks.dreamhost.com e relay.mailchannels.net) se continui a inviare e-mail tramite DreamHost. Verifica attentamente prima di salvare.

Fase 4: Verifica dei dati

• Attendere da 15 minuti a 6 ore affinché la propagazione del DNS di DreamHost venga completata (secondo la Knowledge Base di DreamHost, occorre attendere fino a 6 ore).
• Esegui nuovamente il PowerDMARC SPF Checker per verificare che il record venga risolto correttamente e che il numero di ricerche sia inferiore a 10.
• Invia un'e-mail di prova a un account Gmail personale. Apri il messaggio → clicca su "Mostra originale" → cerca la stringa spf=pass nell'intestazione Authentication-Results.

Caso limite di Google Workspace

Il pannello di controllo di DreamHost rende il campo SPF non modificabile quando Google Workspace viene configurato tramite l'integrazione di DreamHost. Tuttavia, è possibile utilizzare il percorso del record DNS personalizzato di DreamHost (Aggiungi record → TXT) al posto del campo configurato automaticamente. Se i tuoi server dei nomi si trovano su Cloudflare, aggiungi il record TXT direttamente nella dashboard DNS di Cloudflare in modo da aggirare completamente la restrizione di DreamHost.

Come verificare e configurare DKIM su DreamHost

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica alle email in uscita, consentendo ai server di destinazione di verificare che il messaggio non sia stato alterato durante il transito.

DreamHost genera automaticamente il DKIM

Se utilizzi la posta elettronica ospitata da DreamHost, DKIM è già configurato:

• DreamHost crea automaticamente i record DNS DKIM per tutti i domini e sottodomini che utilizzano la posta elettronica di DreamHost.
• I record sono visibili nelle impostazioni DNS e sono riconoscibili dal prefisso _domainkey nel nome del record (tipo: TXT).
• DreamHost supporta chiavi DKIM a 2048 bit.
• Ogni e-mail inviata tramite SMTP dal server di posta di DreamHost viene automaticamente firmata.

Utilizza il PowerDMARC DKIM Checker per verificare che la chiave sia pubblicata e valida. Inserisci il tuo dominio e il selettore (in genere yourdomain.com._domainkey per le email ospitate su DreamHost) per confermare.

Quando DKIM NON viene applicato (lacuna critica)

Le e-mail inviate tramite Sendmail o PHP Mail NON sono firmate con DKIM. Ciò include i moduli di contatto di WordPress che utilizzano la funzione mail() di PHP, impostata di default nella maggior parte dei plugin per moduli di WordPress. Queste e-mail aggirano completamente il server SMTP di DreamHost, pertanto la chiave privata DKIM non viene mai applicata al messaggio.

Questo è il motivo più comune per cui i proprietari di siti WordPress su DreamHost vedono le email dei loro moduli di contatto finire nella cartella dello spam. Il modulo funziona e invia l'email, ma senza DKIM (e spesso senza un corretto allineamento SPF), i server di ricezione lo contrassegnano come sospetto.

Soluzione: Installa il plugin WP Mail SMTP (o simile). Configuralo in modo che tutte le email generate dal sito vengano inviate tramite il server SMTP di DreamHost (mail.tuodominio.com, porta 465 con SSL o porta 587 con TLS). In questo modo le email passeranno attraverso il server di posta, che applicherà automaticamente la firma DKIM.

Se i tuoi server dei nomi NON sono su DreamHost

Se utilizzi Cloudflare, Route 53 o un altro provider DNS, ma la gestione della tua posta elettronica è affidata a DreamHost, devi copiare i record DNS DKIM dal pannello di controllo di DreamHost e aggiungerli manualmente presso il tuo provider DNS.

Copia attentamente la chiave DKIM senza inserire spazi nella stringa della chiave. Il pannello di controllo di DreamHost accetta record contenenti spazi, ma le e-mail non supereranno la verifica DKIM se la chiave pubblicata contiene spazi. 

Se utilizzi un provider di posta elettronica di terze parti

Se la gestione della tua posta elettronica è affidata a Google Workspace, Zoho o un altro servizio (non DreamHost), è il provider in questione a gestire la firma DKIM. Ottieni la chiave pubblica DKIM e il selettore del provider, quindi aggiungi il record TXT corrispondente nelle impostazioni DNS di DreamHost (o del tuo provider DNS esterno). Segui la documentazione del provider per conoscere il formato esatto del selettore e il valore della chiave.

Come configurare un record DMARC su DreamHost

Il protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) integra SPF e DKIM. Verifica che almeno uno dei due superi il controllo E corrisponda al dominio visibile nel campo "Da:", quindi indica ai server destinatari come comportarsi in caso di autenticazione fallita. Senza DMARC, SPF e DKIM esistono ma nessuno ne garantisce l'applicazione.

Utilizza il Generatore DMARC di PowerDMARC per creare il tuo record. Seleziona il livello della tua politica, aggiungi gli indirizzi email di segnalazione e copia il valore TXT generato. 

Passo dopo passo nel pannello di controllo di DreamHost

Prima di aggiungere DMARC, assicurati che SPF e DKIM siano già configurati e funzionanti. Il blog di DreamHost consiglia di attendere 48 ore dopo la configurazione di SPF e DKIM prima di pubblicare il record DMARC.

• Vai su Gestisci siti web → Impostazioni DNS → clicca su Aggiungi record → TXT.
• Conduttore: _dmarc
• Valore TXT:

v=DMARC1; p=none; rua=mailto:[email protected];ruf=mailto:[email protected]; pct=100

• Fai clic su "Aggiungi record" per salvare.

DreamHost consiglia di creare due indirizzi e-mail distinti per i rapporti DMARC (aggregati e forensi), poiché potresti ricevere un volume elevato di messaggi. In alternativa, puoi indirizzare rua= all'indirizzo di ricezione di PowerDMARC ed evitare così del tutto il sovraccarico di e-mail, in modo che i rapporti vengano inviati direttamente a una dashboard visiva.

Il piano di implementazione graduale

DMARC non dovrebbe essere configurato su " p=reject " fin dal primo giorno. Un approccio graduale evita di bloccare accidentalmente le email legittime:

Fase	Politica	Cosa succede
Settimane 1–4	p=nessuno	Solo monitoraggio. Raccogliere i rapporti aggregati DMARC. Identificare tutti i mittenti legittimi e risolvere eventuali errori di autenticazione.
Settimane 5–8	p=quarantena	Le e-mail non autenticate finiscono nella cartella dello spam. Verificate che tutti i mittenti legittimi vengano ora accettati. Controllate i rapporti per individuare eventuali falsi positivi.
Settimana 9+	p=rifiuto	Applicazione totale delle misure. Le e-mail non autorizzate vengono immediatamente respinte. Il tuo dominio è ora protetto dallo spoofing.

Per aggiornare la politica, modifica il record TXT _dmarc nel pannello di controllo di DreamHost (clicca sull'icona a forma di matita accanto al record) e sostituisci p=none con p=quarantine, per poi passare infine a p=reject.

I report XML DMARC grezzi sono illeggibili senza l'ausilio di strumenti specifici. PowerDMARC li acquisisce automaticamente e fornisce analisi visive relative ai tassi di superamento/fallimento per ciascuna fonte, allo stato di allineamento SPF e DKIM, al rilevamento dei mittenti non autorizzati e alle linee di tendenza. 

Problemi comuni relativi all'autenticazione delle e-mail su DreamHost (e relative soluzioni)

Ogni scenario riportato di seguito segue lo stesso percorso diagnostico: sintomo → causa → soluzione.

Le e-mail di DreamHost finiscono nella cartella dello spam dopo l'aggiunta dell'SPF di Google Workspace

• Sintomo: Le email inviate dalle caselle di posta ospitate su DreamHost finiscono nella cartella dello spam o vengono respinte. Le email di Google Workspace funzionano correttamente.
• Causa: Il record SPF personalizzato è stato aggiunto includendo solo Google (include:_spf.google.com -all), il che ha automaticamente rimosso il record predefinito di DreamHost. I server di posta DreamHost non sono più autorizzati.
• Correzione: Unire in un unico record che includa sia i meccanismi di DreamHost che quelli di Google:
• v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all

Le e-mail dei moduli di contatto di WordPress non superano i controlli SPF/DKIM

• Sintomo: I moduli di contatto inviati non arrivano mai a destinazione o finiscono nella cartella dello spam del destinatario. Le e-mail dirette provenienti dallo stesso dominio funzionano correttamente.
• Causa: WordPress utilizza la funzione mail() di PHP invece di SMTP. La posta PHP non passa attraverso il server di posta di DreamHost, quindi l'allineamento SPF fallisce e DKIM non viene mai applicato.
• Soluzione: Installa il plugin WP Mail SMTP. Configuralo per l'invio tramite il server SMTP di DreamHost (mail.tuodominio.com, porta 465 SSL o 587 TLS, con le tue credenziali e-mail DreamHost). In questo modo ogni e-mail generata dal sito sarà autenticata.

Errore permanente SPF: numero eccessivo di ricerche DNS

• Sintomo: Il controllo SPF restituisce PermError. L'autenticazione di alcune o tutte le e-mail non va a buon fine.
• Causa: Il record SPF combinato con DreamHost + Google + Mailchimp + SendGrid + altri servizi supera il limite di 10 ricerche DNS. I meccanismi predefiniti di DreamHost da soli utilizzano 3–4 ricerche, quindi l'aggiunta di 3–4 inclusioni di terze parti fa superare il limite.
• Soluzione: Controlla il numero di lookup con uno strumento di verifica SPF che conti gli include annidati. Rimuovi gli include obsoleti per i servizi che non usi più. Sostituisci include: con voci ip4: dirette dove gli IP dei fornitori sono stabili. Indirizza i mittenti ad alto volume tramite sottodomini (ognuno ottiene il proprio budget di 10 lookup). Oppure usa PowerSPF per l'appiattimento automatico.

Le e-mail inviate da Gmail vengono respinte con l'errore "Non autenticato"

• Sintomo: Gmail respinge le tue e-mail con un messaggio di errore del tipo "messaggio non autenticato". I record SPF e DKIM sembrano corretti nel pannello di controllo di DreamHost.
• Causa: I tuoi server dei nomi puntano a Cloudflare (o a un altro provider), ma i tuoi record SPF e DKIM sono stati aggiunti solo nel pannello di DreamHost. Quando i server dei nomi non puntano a DreamHost, il DNS di DreamHost risulta invisibile al resto di Internet.
• Soluzione: Aggiungi tutti i record DNS di autenticazione e-mail (SPF TXT, DKIM TXT, DMARC TXT) nella dashboard DNS di Cloudflare, non nel pannello di DreamHost. Copia i record da DreamHost e pubblicali dove puntano effettivamente i tuoi server dei nomi.

DMARC restituisce un errore anche se SPF e DKIM superano singolarmente il controllo

• Sintomo: Le intestazioni dei messaggi mostrano spf=pass e dkim=pass, ma dmarc=fail.
• Causa: Errore di allineamento. DMARC richiede che il dominio nel controllo SPF (mittente dell'involucro / Return-Path) OPPURE la firma DKIM (tag d=) corrisponda al dominio visibile nell'intestazione From:. Se il mittente dell'involucro è [email protected] ma l'intestazione From: è [email protected], l'SPF viene superato per dreamhost.com ma non è allineato con yourdomain.com.
• Soluzione: Assicurati che il dominio del mittente della busta e il dominio di firma DKIM corrispondano entrambi al dominio dell'indirizzo "Da:". Per le email ospitate su DreamHost, questo avviene solitamente in modo automatico. Per i mittenti di terze parti, configurali in modo che utilizzino il tuo dominio come mittente della busta (la maggior parte degli ESP offre la configurazione personalizzata del percorso di ritorno).

Non dovrai più cercare di indovinare quale fonte sta dando problemi e perché. La dashboard dei report aggregati di PowerDMARC mostra i risultati dell'autenticazione per IP e per fonte per ogni destinatario che elabora la tua posta. Identifica l'esatto problema, risolvilo e verifica che la correzione sia andata a buon fine, il tutto da un'unica schermata. Inizia la tua prova gratuita di 15 giorni

Come verificare che l'autenticazione dell'email di DreamHost funzioni correttamente

Dopo aver configurato SPF, DKIM e DMARC, controlla questa lista di controllo per verificare che tutto sia attivo e funzioni correttamente:

• Invia un'e-mail di prova a un account Gmail personale. Apri l'e-mail → clicca su "Mostra originale" → verifica che nell'intestazione compaiano le diciture SPF: PASS, DKIM: PASS e DMARC: PASS.
• Esegui il PowerDMARC SPF Checker per verificare che il record sia risolvibile, che la sintassi sia valida e che il numero di ricerche sia inferiore a 10.
• Esegui il PowerDMARC DKIM Checker con il tuo selettore (yourdomain.com._domainkey per DreamHost, o qualunque selettore utilizzi il tuo provider di terze parti), verifica che la chiave sia pubblicata e che la lunghezza della firma sia di 2048 bit.
• Esegui il PowerDMARC DMARC Checker per verificare che il record TXT _dmarc sia attivo, che la politica sia impostata correttamente e che gli indirizzi rua/ruf siano validi.
• Dopo 72 ore, controlla i rapporti aggregati DMARC. Questi riportano i tassi effettivi di superamento/fallimento su tutti i destinatari (Gmail, Yahoo, Microsoft, ecc.), non solo su un singolo messaggio di prova. È qui che potrai verificare se qualche fonte di invio non supera il test e non è stata rilevata dalla tua verifica.

Esegui l' Domain Analyzer gratuito . Verifica SPF, DKIM, DMARC, BIMI, MTA-STS e lo stato generale della sicurezza delle email in un'unica scansione. Ottieni immediatamente un voto da A+ a F per il tuo dominio DreamHost.

Migliori pratiche per l'autenticazione delle e-mail su DreamHost

La configurazione di SPF, DKIM e DMARC è solo il punto di partenza. La deliverability a lungo termine delle e-mail su DreamHost dipende dal mantenimento di registri di autenticazione puliti, dal monitoraggio delle variazioni di configurazione e dall'adeguamento delle vostre pratiche di invio ai requisiti in continua evoluzione dei provider di posta elettronica.

• Quando si aggiunge un record SPF personalizzato, assicurarsi di includere sempre i domini di DreamHost (netblocks.dreamhost.com e relay.mailchannels.net). La rimozione automatica coglie di sorpresa la maggior parte degli utenti.
• Utilizza SMTP per tutte le e-mail generate dal sito. I moduli di contatto di WordPress, le notifiche relative agli ordini di WooCommerce e le conferme di iscrizione devono essere inviate tramite SMTP per garantire la firma DKIM.
• SPF gestisce i sottodomini separatamente. Se blog.tuodominio.com o shop.tuodominio.com inviano e-mail, ciascuno di essi deve disporre di un proprio record SPF. I record dei sottodomini non ereditano quelli del dominio principale.
• Implementa DMARC in più fasi: inizia con p=none, monitora i rapporti tramite PowerDMARC, poi applica le regole. Passare direttamente a p=reject senza prima effettuare un monitoraggio comporta il rischio di bloccare email legittime.
• Controlla il tuo record SPF ogni tre mesi e subito dopo aver aggiunto un nuovo servizio di invio e-mail. I fornitori modificano gli intervalli di indirizzi IP, i team di marketing adottano nuovi strumenti e i record possono subire variazioni.
• Se i server dei nomi sono su Cloudflare o su un altro provider esterno, tutti i record DNS relativi alla posta elettronica (SPF, DKIM, DMARC) devono essere inseriti lì, non nel pannello di controllo di DreamHost. Il DNS di DreamHost viene ignorato quando i server dei nomi puntano altrove.

Smettila di cercare di risolvere alla cieca i problemi di autenticazione delle e-mail su DreamHost. PowerDMARC ti aiuta a monitorare SPF, DKIM e DMARC in tempo reale, a individuare gli errori silenziosi prima che la deliverability cali e a mantenere i tuoi record conformi man mano che aggiungi nuovi servizi di invio. 

Inizia la tua prova gratuita di 15 giorni

Domande frequenti

Qual è il record SPF predefinito per DreamHost?

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. DreamHost aggiunge automaticamente questa riga per tutti i domini che utilizzano l'email di DreamHost. Non è necessaria alcuna configurazione manuale se DreamHost è il tuo unico mittente di email.

Come posso integrare DreamHost SPF con Google Workspace?

Crea un unico record che includa entrambi i gruppi di meccanismi:

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all

Se si aggiunge solo l'SPF di Google, il record predefinito di DreamHost viene rimosso, causando il malfunzionamento della posta elettronica di DreamHost. È necessario includere sempre entrambi.

DreamHost configura automaticamente il DKIM?

Sì, per i domini che utilizzano l'email ospitata da DreamHost con SMTP. Il record DKIM viene creato automaticamente e le email vengono firmate quando vengono inviate tramite il server di posta di DreamHost. Tuttavia, le email inviate tramite PHP Mail (moduli di contatto di WordPress senza SMTP) NON sono firmate con DKIM. Installa WP Mail SMTP per risolvere il problema.

Perché le mie e-mail di DreamHost finiscono nella cartella dello spam?

Tra le cause più comuni figurano la mancanza o l'errata configurazione del record SPF (soprattutto dopo l'aggiunta di un mittente di terze parti, che sostituisce quello predefinito di DreamHost), la mancata applicazione del DKIM perché le email vengono inviate tramite PHP mail anziché SMTP, l'assenza di un record DMARC pubblicato o nameserver che puntano a Cloudflare mentre i record DNS sono presenti solo nel pannello di controllo di DreamHost. Esegui una scansione gratuita con il Domain Analyzer di PowerDMARC per individuare con esattezza il problema.

Posso avere due record SPF su DreamHost?

No. La RFC 7208 impone un unico record TXT SPF per dominio. Se esistono due record che iniziano con v=spf1, SPF restituisce un PermError e l'autenticazione fallisce. Unire tutti i mittenti autorizzati in un unico record.