Lo stato DNS non diventa mai verde

La verifica DNS controlla i record necessari alla configurazione scelta. Un dominio che riceve posta tramite TrekMail normalmente richiede MX, SPF, DKIM e DMARC. I record consigliati, come MTA-STS e TLS-RPT, possono essere mostrati separatamente. Questa guida aiuta a confrontare la Dashboard con il provider DNS senza fare ipotesi.

Inizia dalla tabella dei record nella Dashboard

Apri Domini, scegli il dominio interessato e il suo stato DNS. Copia dalla tabella tipo, host, valore e, per MX, priorità. La tabella è la fonte attendibile perché i valori DKIM e alcuni record di criteri sono specifici del dominio.

Prima di cambiare un record, controlla se un altro servizio richiede ancora il valore esistente. In particolare, conserva un solo record SPF e ogni include valido usato da un altro servizio di invio.

Quanto deve durare la propagazione?

Gli aggiornamenti DNS impiegano tempi diversi secondo provider, TTL precedente e cache dei resolver. Un risultato in attesa non dimostra che il valore sia errato e il tempo trascorso non dimostra che sia corretto.

Procedi così:

1. Salva il record presso il provider che ospita la zona DNS autorevole.
2. Confrontalo con la tabella della Dashboard, inclusi priorità MX e valore DKIM completo.
3. Usa una volta Verifica DNS per richiedere un nuovo controllo TrekMail.
4. Se resta in attesa, consulta i conflitti e una ricerca indipendente per vedere il valore pubblico corrente.

Record obbligatori

Per il normale hosting di posta, questi sono i record principali. Copia i valori dalla tua Dashboard invece di usare quelli di un altro dominio:

I record consigliati possono migliorare la sicurezza della consegna, ma non sostituiscono quelli principali:

I CNAME facoltativi di configurazione client (autoconfig, autodiscover) velocizzano la configurazione delle app, ma non influiscono sulla consegna.

Controllo 1: unisci i record SPF duplicati

Un solo TXT alla radice deve iniziare con v=spf1. Se ce ne sono due, i server destinatari non sanno quale criterio usare e TrekMail non può verificare correttamente.

Sintomo: entrambi i record compaiono nel DNS, ma TrekMail segnala ancora SPF come non configurato.

Soluzione: unisci le regole in un record. Se hai:

v=spf1 include:_spf.google.com ~all
v=spf1 include:spf.trekmail.net -all

Sostituisci con:

v=spf1 include:_spf.google.com include:spf.trekmail.net -all

Quale finale usare: -all o ~all

Usane uno solo. Sia -all sia ~all superano il controllo se preceduti da include:spf.trekmail.net. La scelta influisce sulla posta inviata da altri servizi.

Una nota informativa sul finale non indica una verifica fallita. Il dominio può essere verificato con entrambi.

Non usare:

• ?all, che non fornisce un criterio di autorizzazione utile.
• +all, che autorizza ogni mittente su Internet.

Un record SPF può usare al massimo dieci ricerche DNS. Se hai molti mittenti esterni, riduci gli include o chiedi al provider interessato un’opzione di consolidamento supportata.

Controllo 2: un CNAME di posta Cloudflare è sotto proxy

Cloudflare può rappresentare il traffico web, ma un CNAME di posta deve essere Solo DNS. Può trattarsi di mta-sts, autoconfig, autodiscover o un altro host richiesto dalla Dashboard.

Sintomo: il record appare bloccato o non verificabile, sebbene sia presente nell’elenco DNS di Cloudflare.

Soluzione: in Cloudflare apri DNS, trova l’host e cambia la nuvola arancione nello stato grigio Solo DNS. Poi usa Verifica DNS in TrekMail.

Il record A o CNAME web principale può restare sotto proxy. Modifica solo l’host di posta indicato dalla Dashboard.

Controllo 3: DMARC si trova sull’host sbagliato

DMARC deve essere in _dmarc.yourdomain.com, non alla radice. Alcuni moduli inseriscono @, quindi è facile salvarlo nel posto sbagliato.

Sintomo: il record DMARC esiste nel DNS, ma TrekMail non lo trova.

Soluzione: aggiungilo in _dmarc. Alcune interfacce richiedono _dmarc, altre _dmarc.yourdomain.com. Leggi l’indicazione del modulo. Rimuovi un record errato in @ solo dopo aver confermato che non serva ad altro.

Controllo 4: DKIM è stato incollato o diviso male

I valori DKIM sono lunghi. I provider possono salvare un TXT lungo in più segmenti collegati, ma il risultato pubblico deve corrispondere al valore completo della Dashboard.

"p=MIIBIjANBgkqhki..." "...continues here" "...and ends here"

La maggior parte lo gestisce automaticamente. Un incollaggio errato può aggiungere o togliere caratteri, spazi o virgolette.

Sintomo: DKIM è visibile nel DNS, ma TrekMail mostra "DKIM key invalid" o "p= does not match".

Soluzione:

• Incolla il valore esattamente come appare nella Dashboard.
• Se il provider divide automaticamente TXT lunghi, incolla tutto e lascia che lo faccia.
• Se richiede segmenti separati, segui le sue istruzioni e conserva ogni carattere.
• Usa una ricerca DNS indipendente per confermare che il TXT pubblico contenga la chiave completa.

Controllo 5: MTA-STS richiede attenzione

MTA-STS è una funzione di sicurezza consigliata per i domini che ricevono posta tramite TrekMail. Se la Dashboard la mostra, servono il TXT e il CNAME mta-sts indicati. Non aggiungerli a un dominio di solo invio, salvo richiesta esplicita della Dashboard.

Bloccato dal DNS. Il CNAME mta-sts manca o punta altrove. Aggiungilo o correggilo con la destinazione corrente della Dashboard.

Bloccato da Cloudflare. Il CNAME esiste, ma è sotto proxy. Imposta l’host su Solo DNS, come nel Controllo 2.

Peggiorato dopo aver funzionato. Confronta TXT e CNAME con la Dashboard. La causa abituale è un record cambiato o rimosso. Ripristinalo, esegui Verifica DNS e controlla lo stato aggiornato.

Controllo 6: confronta una ricerca pubblica con la Dashboard

Durante la propagazione, rete locale e TrekMail possono vedere risultati diversi. Una ricerca pubblica mostra ciò che vedono altre reti.

Per confrontare:

1. Apri dnschecker.org o whatsmydns.net.
2. Inserisci host completo e tipo. Ad esempio, _dmarc.yourdomain.com e TXT per DMARC.
3. Confronta host, valore e priorità MX restituiti con la tabella della Dashboard.
4. Se la ricerca mostra il valore giusto ma TrekMail segnala ancora una differenza, includi il risultato in un ticket.

Controllo 7: un vecchio valore DNS è ancora in cache

Dopo una modifica, il vecchio valore può rimanere nei resolver intermedi fino al suo TTL (Time To Live, in secondi). Per record vecchi è comune un TTL di 24 ore (86400 secondi).

Sintomo: hai cambiato un record un’ora fa, ma i servizi di controllo vedono ancora il vecchio valore ovunque.

Soluzione: evita modifiche ripetute mentre lo stesso cambiamento si propaga. Per una migrazione pianificata puoi ridurre prima il TTL, se il provider lo consente. Una volta stabile, scegli un TTL adatto alla gestione abituale.

Debug passo per passo

1. Apri la pagina Domini e fai clic sul dominio.
2. Se Visualizza conflitti è disponibile, aprilo. Separa i record da correggere da quelli consigliati e informativi.
3. Confronta ogni host, valore e priorità MX attesi con il record salvato dal provider.
4. Apporta la modifica minima necessaria e conserva i record usati da altri servizi.
5. Fai clic su Verifica DNS in TrekMail.
6. Leggi lo stato aggiornato. Il dominio è attivo quando i record necessari per la configurazione scelta sono validi; quelli consigliati possono essere mostrati separatamente.

Per verificare da un terminale (Mac/Linux/WSL), usa:

dig +short MX yourdomain.com
dig +short TXT yourdomain.com
dig +short TXT _dmarc.yourdomain.com
dig +short TXT dkim._domainkey.yourdomain.com
dig +short CNAME mta-sts.yourdomain.com

Confronta l’output con i valori del tuo dominio nella Dashboard. Non copiare da un esempio una chiave DKIM, un ID di criterio MTA-STS o altro valore specifico del dominio.

Errori comuni dei provider DNS

• Cloudflare: i CNAME di posta devono essere Solo DNS. Il provider può nascondere il punto finale della destinazione; confronta la destinazione risolta invece di aggiungere punti duplicati.
• GoDaddy: usa @ per la radice e _dmarc per DMARC. GoDaddy aggiunge automaticamente il nome del dominio.
• Namecheap: aggiungi record in Advanced DNS solo se Namecheap è il DNS autorevole. Usa @ per la radice.
• Route 53: seleziona la zona ospitata realmente collegata al dominio, poi incolla tutto il valore della Dashboard.
• Generatori di siti e registrar: il rivenditore del dominio potrebbe non gestire il DNS. Controlla i nameserver e modifica i record presso il provider responsabile.

Quando tutto coincide ma lo stato resta rosso

Se Dashboard e ricerca pubblica indipendente mostrano gli stessi record obbligatori, ma TrekMail segnala ancora una differenza, apri un ticket con:

• Il nome del dominio.
• Il risultato pubblico del record interessato.
• Un’acquisizione del pannello Visualizza conflitti, se disponibile.

Non includere password di account o casella, codici di recupero o token di accesso.