Dominio di posta: che cos'è e come configurare i 4 record DNS

Un dominio di posta è un normale nome di dominio (yourcompany.com) configurato per ricevere e inviare email. La configurazione comprende quattro record DNS: MX, SPF, DKIM e DMARC. Ogni record svolge una funzione e, insieme, i quattro trasformano un dominio che ospita soltanto un sito web in uno capace di gestire la posta in modo affidabile.

La maggior parte delle spiegazioni sui domini di posta non esamina i singoli record e lascia agli operatori la vaga sensazione che il DNS faccia qualcosa di misterioso. Non è così. I quattro record sono semplici voci di testo con una sintassi specifica che qualsiasi operatore può pubblicare tramite un pannello DNS. Capire la funzione di ciascuno chiarisce il resto della configurazione.

Questa guida presenta i quattro record, la funzione e la sintassi di ciascuno. Per una visione più ampia, consulta email con dominio personalizzato.

Che cos'è davvero un dominio di posta

Qualsiasi nome di dominio può essere configurato per gestire le email aggiungendo quattro record DNS a quelli già presenti. MX punta al server di posta. SPF elenca i mittenti autorizzati. DKIM firma crittograficamente le email in uscita. DMARC comunica ai destinatari cosa fare quando l'autenticazione non riesce. Insieme, i quattro trasformano un dominio essenziale in un dominio di posta configurato correttamente.

Lo stesso dominio può ospitare un sito web alla radice e servire la posta agli indirizzi del dominio. I quattro record non entrano in conflitto con quelli del sito perché usano tipi diversi per scopi differenti. Molti domini di posta operativi ospitano anche siti web; i due servizi possono risiedere presso fornitori diversi e si coordinano tramite DNS. Spostare la posta su un nuovo provider richiede generalmente di aggiornare solo i record relativi alla posta, senza modificare quelli del sito.

I quattro record DNS in sintesi

Quattro record DNS definiscono un dominio di posta funzionante. Ogni record ha una funzione e una sintassi specifiche. Il provider delle caselle genera i valori esatti, che vengono pubblicati presso l'host DNS. La tabella riassume la funzione di ciascun record e la sua posizione nell'albero DNS.

I quattro record non comportano costi oltre a quello dell'host DNS, con un piano DNS gratuito offerto da Cloudflare. La configurazione richiede circa 15 minuti dopo che il provider delle caselle ha generato i valori. Tra i possibili vantaggi ci sono un migliore recapito nella posta in arrivo, rapporti visibili sullo spoofing e un'autenticazione compatibile con i controlli dei destinatari moderni.

Record 1: MX (dove va la posta)

MX punta al server che riceve la posta in entrata. Il formato del record combina un numero di priorità con il nome host del server. Più record MX con priorità diverse offrono ridondanza; i destinatari provano prima il valore con il numero di priorità più basso e passano ai numeri superiori se necessario.

Valori tipici per un dominio di posta ospitato da TrekMail: 10 mx1.trekmail.net e 20 mx2.trekmail.net. Il provider delle caselle fornisce i valori esatti, che vengono pubblicati tutti presso l'host DNS. Pubblicare solo il server principale senza quello di riserva può causare il rifiuto dei messaggi durante i rari incidenti in cui il principale non è disponibile, invece di metterli in coda per un nuovo tentativo.

Record 2: SPF (chi può inviare)

SPF dichiara quali server possono inviare email a nome del dominio. Il record è una singola voce TXT alla radice del dominio con una sintassi come v=spf1 include:_spf.trekmail.net ~all. Ogni direttiva include: punta a un altro record SPF che elenca gli IP di invio effettivi. Una configurazione errata può causare il rifiuto o il filtraggio dei messaggi legittimi senza un avviso chiaro.

Ogni servizio esterno che invia email dal dominio, come una piattaforma di marketing, un mittente transazionale o uno strumento di assistenza, deve comparire in SPF, direttamente tramite IP o mediante un include. L'intero albero di risoluzione deve rimanere al di sotto di 10 ricerche DNS. Verifica il record SPF ogni trimestre per individuare l'aumento delle ricerche prima che influisca sui messaggi legittimi. Consulta autenticazione email SPF DKIM DMARC per una guida più approfondita.

Record 3: DKIM (firma crittografica)

DKIM contiene una chiave pubblica che i destinatari usano per verificare la firma sulle email in uscita. Il provider delle caselle firma ogni messaggio con la chiave privata corrispondente e il destinatario verifica la firma con la chiave pubblica nel DNS. Una firma valida conferma che il mittente controlla il dominio associato alla chiave.

I record DKIM vengono pubblicati in sottodomini specifici per ogni selettore: trekmail._domainkey.yourcompany.com per il selettore di TrekMail, mailgun._domainkey.yourcompany.com per quello di Mailgun e così via. Ognuno è una lunga stringa base64 che deve essere incollata come un unico valore TXT continuo, senza interruzioni di riga. Più selettori possono coesistere; ogni servizio che firma per il dominio di posta riceve il proprio. Consulta configurazione DKIM per una guida più approfondita.

Molti operatori inizialmente non notano il modello per mittente. Una nuova piattaforma di marketing aggiunta sei mesi dopo la configurazione iniziale richiede il proprio selettore. Un mittente transazionale aggiunto un anno dopo ne richiede un altro. Senza una copertura per ogni mittente, l'allineamento può fallire e le email di questi servizi possono finire nello spam, anche se il dominio di posta ha una configurazione SPF/DKIM/DMARC pulita. La soluzione è un record DKIM per ogni mittente attivo.

Record 4: DMARC (criteri e rapporti)

DMARC comunica ai destinatari cosa fare quando SPF o DKIM non riesce. Il record è una voce TXT in _dmarc.yourcompany.com con una sintassi come v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourcompany.com. Il valore p= imposta il criterio (none, quarantine o reject). L'indirizzo rua= riceve i rapporti aggregati.

Inizia con p=none per due settimane di verifica. I rapporti mostrano ogni IP che dichiara di inviare dal dominio di posta e se l'allineamento è stato rispettato. Dopo due settimane di rapporti puliti, valuta di passare a p=quarantine. Dopo un altro mese, valuta p=reject. L'introduzione graduale riduce il rischio che le email legittime vengano respinte durante la verifica, quando potresti scoprire mittenti che hai dimenticato di autenticare.

Come funzionano insieme i quattro record

I quattro record funzionano come una pila. MX porta la posta in arrivo al server giusto. SPF dichiara quali mittenti in uscita sono legittimi. DKIM consente ai destinatari di verificare la firma crittografica. DMARC collega SPF e DKIM e comunica ai destinatari cosa fare quando uno dei due non riesce.

L'interazione fa funzionare la pila. SPF senza DKIM può causare errori di allineamento DMARC per parte della posta in uscita, perché molte configurazioni verificano DKIM anziché SPF, anche se il risultato dipende dai domini allineati. DKIM senza DMARC non fornisce un criterio da applicare quando DKIM fallisce. DMARC con p=reject senza una copertura SPF e DKIM adeguata può respingere posta legittima. I quattro record devono essere configurati in modo coordinato; una copertura parziale può danneggiare la recapitabilità invece di migliorarla gradualmente.

Come TrekMail genera i quattro record

TrekMail genera i valori dei quattro record durante la configurazione del dominio. Aggiungi il dominio nel pannello; la piattaforma genera valori MX che puntano ai server di posta di TrekMail, un SPF che include _spf.trekmail.net, un DKIM sotto un selettore specifico di TrekMail con una chiave appena generata e un DMARC con p=none e un indirizzo di rapporto predefinito. Quindi copi e incolli ciascun valore nel pannello dell'host DNS.

La piattaforma gestisce le parti che non variano in base all'operatore: il percorso include di SPF, la generazione delle chiavi DKIM, il calendario di rotazione delle chiavi e l'aggregazione dei rapporti DMARC. Tu gestisci le parti variabili: l'host DNS presso cui pubblicare i record, la casella a cui indirizzare i rapporti DMARC e il momento in cui rendere più restrittivo il criterio DMARC. Consulta email con dominio per una visione più ampia.

Passaggi successivi

Un dominio di posta funzionante richiede quattro record DNS pubblicati correttamente presso un host sotto il tuo controllo. MX instrada la posta in arrivo. SPF dichiara i mittenti autorizzati. DKIM firma i messaggi in uscita. DMARC collega tutto con criteri e rapporti. La pubblicazione dei quattro record richiede circa 15 minuti e può favorire un recapito affidabile nella posta in arrivo per anni, purché venga mantenuta la verifica trimestrale.

Prova TrekMail Nano gratuitamente su trekmail.net/pricing, senza carta e senza scadenza della prova secondo le condizioni indicate. Il piano Nano copre 10 domains × 10 mailboxes; Starter a $4/month aumenta la capacità a 50 × 100 quando il volume di invio supera il limite di Nano.

I quattro record beneficiano della disciplina «configura una volta, verifica ogni trimestre». MX cambia raramente dopo la configurazione. SPF accumula nuovi mittenti nel corso dei mesi, quando l'attività aggiunge piattaforme di marketing e servizi transazionali. Nella maggior parte delle piattaforme, le chiavi DKIM ruotano automaticamente. I rapporti DMARC arrivano continuamente e rivelano sia le variazioni dei mittenti legittimi sia i tentativi di spoofing. Il ciclo trimestrale è leggero e può evitare molti incidenti di recapitabilità che si verificano quando i record vengono ignorati dopo la configurazione iniziale.

Per gli operatori con più domini di marchi, ogni dominio di posta ripete in modo indipendente la configurazione dei quattro record. I valori MX puntano allo stesso provider delle caselle; i record SPF, DKIM e DMARC vengono pubblicati per ogni dominio. L'endpoint di TrekMail per i domini in blocco (fino a 500 domains at once) può ridurre notevolmente il lavoro per dominio nelle attività delle agenzie.

Lo schema dei quattro record è anche una sequenza diagnostica quando qualcosa non funziona. La posta in arrivo non arriva? Controlla MX. La posta in uscita finisce nello spam? Controlla SPF e DKIM. I rapporti di spoofing sono numerosi? Controlla il criterio DMARC. Ogni modalità di errore indica un record specifico, rendendo potenzialmente più rapida la risoluzione dei problemi.