Newsletter e servizi di invio

Modulo 7: Collegare servizi esterni · Tempo di lettura: 8 minuti

Obiettivo della lezione: Dopo questa lezione saprà collegare un servizio di newsletter o di invio in modo che la Sua posta non finisca nello spam.

Concetti chiave: verifica del dominio (autenticazione), DKIM tramite CNAME, selector, include SPF solo se il servizio lo richiede, limite di 10 ricerche, allineamento DMARC tramite DKIM, non toccare l'MX

Perché un servizio di newsletter richiede dei record

Un servizio di newsletter come Mailchimp, Brevo o MailerLite, oppure un servizio di invio per fatture e conferme, invia posta usando il Suo indirizzo come mittente, per esempio nieuws@example.com. Ma la posta parte dai server di quel servizio, non dal Suo server di posta.

I destinatari come Gmail e Outlook.com verificano quindi: questo server è autorizzato a inviare per conto di example.com, e la firma è corretta (lezione 4.3 fino a 4.5)? Se questo non è impostato, la Sua newsletter finisce nello spam, oppure il servizio riscrive il mittente con un proprio indirizzo. Per questo il servizio Le chiede di autenticare il Suo dominio: alcuni record nel Suo DNS.

Ciò di cui il servizio non ha bisogno: i Suoi record MX. Questi determinano dove va la Sua posta in entrata. Una newsletter si invia soltanto; le risposte arrivano normalmente nella Sua casella di posta. Non modifichi quindi mai l'MX per un servizio di newsletter.

DKIM tramite CNAME

La maggior parte dei servizi Le permette di impostare DKIM tramite record CNAME. Il servizio gestisce la chiave autonomamente; Lei si limita a puntarvi. In questo modo il servizio può sostituire la chiave senza che Lei debba fare nulla.

Al momento della stesura, Mailchimp utilizza per gli account più recenti due record:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Gli account più vecchi hanno spesso un unico record k1._domainkey verso dkim.mcsv.net. Altri servizi usano selector diversi, come brevo1._domainkey o ml._domainkey. Riprenda esattamente ciò che mostra il pannello del Suo servizio. I nomi e le destinazioni variano da servizio a servizio e da account ad account, e a volte cambiano.

k2 e k3 sono selector (lezione 4.4). Ogni servizio ha un proprio selector, quindi i record non interferiscono tra loro né con la chiave DKIM del Suo server di posta.

Tre errori che quasi tutti commettono prima o poi

1. Nome di dominio doppio. Il Suo pannello aggiunge spesso automaticamente il nome di dominio dopo il nome inserito. Se inserisce k2._domainkey.example.com, diventa k2._domainkey.example.com.example.com. Inserisca solo k2._domainkey, a meno che il pannello non richieda esplicitamente il nome completo. Sotto il campo di solito è indicato come diventerà il nome.
2. Dimenticare il punto alla fine del valore. Senza il punto il Suo pannello potrebbe trasformare dkim2.mcsv.net in dkim2.mcsv.net.example.com. Alcuni pannelli aggiungono il punto automaticamente; dopo aver salvato, controlli come appare il record (lezione 2.2).
3. TXT invece di CNAME. Se il servizio richiede un CNAME, crei un CNAME. Un record TXT con dkim2.mcsv.net come testo non ha alcun effetto.

SPF: solo se il servizio lo richiede

Per quanto riguarda SPF, molti pensano: ogni servizio che invia posta deve comparire nel mio record SPF. Non è sempre così.

SPF controlla l'indirizzo nella busta della mail (il Return-Path), non l'indirizzo del mittente che vede Lei. Molti servizi di newsletter, tra cui Mailchimp, usano nella busta un proprio dominio. Il loro controllo SPF avviene quindi sul loro dominio, e il Suo record SPF non entra in gioco. Mailchimp non chiede quindi alcun include nel Suo record SPF.

Altri servizi usano invece un indirizzo sul Suo dominio nella busta, oppure Le fanno impostare un sottodominio proprio (per esempio bounce.example.com). Questi richiedono un include: nel Suo record SPF, oppure un record SPF su quel sottodominio. Faccia quindi esattamente ciò che richiede il servizio:

• se il servizio chiede un include, lo inserisca nel Suo record SPF esistente, mai in un secondo (lezione 4.3);
• se il servizio non lo chiede, non aggiunga nulla.

Perché essere parsimoniosi? Un record SPF può generare al massimo 10 ricerche DNS durante un controllo. Ogni include, a, mx, exists e redirect conta, e gli include di un servizio contengono spesso a loro volta altri include. Con un host web, Microsoft 365, un servizio di newsletter, un programma di contabilità e un CRM, si supera facilmente il limite. In tal caso l'intero record SPF diventa non valido (permerror). Rimuova gli include dei servizi che non usa più o che non li richiedono.

DMARC: qui sta il punto cruciale

DMARC (lezione 4.5) approva una mail se SPF oppure DKIM ha esito positivo e corrisponde al dominio nell'indirizzo del mittente (allineamento). Con un servizio di newsletter che usa un proprio dominio nella busta, SPF non può mai allinearsi con example.com. DMARC può quindi avere esito positivo solo tramite DKIM: una firma con d=example.com, che si ottiene solo impostando i record CNAME.

Per questo:

1. imposti prima i record DKIM del servizio;
2. attenda che il servizio segnali che il Suo dominio è autenticato;
3. invii un test a Se stesso e controlli negli header se DKIM risulta pass con d=example.com;
4. solo dopo modifichi la Sua policy DMARC da none a quarantine o reject.

Se non ha ancora un record DMARC, molti servizi Le chiederanno di crearne uno. Inizi con p=none (lezione 4.5). I grandi provider come Gmail e Yahoo richiedono, dal 2024, che chi invia posta in massa abbia un record DMARC.

Risposte e bounce

Se un lettore risponde alla Sua newsletter, la risposta va all'indirizzo di risposta che Lei imposta nel servizio, e tramite il Suo MX arriva nella Sua casella di posta. I messaggi non recapitabili (bounce) vanno all'indirizzo della busta e quindi al servizio, che li elabora. Anche per questo non deve modificare nulla nel Suo MX.

Nella pratica: ecco come appare in un pannello

Nel pannello di esempio DirectAdmin apra Amministrazione DNS, clicchi su Aggiungi Record, scelga CNAME, inserisca in Nome solo k2._domainkey e in Valore dkim2.mcsv.net. con il punto. Poi faccia lo stesso per k3. In Mio WebOké funziona allo stesso modo nella scheda DNS; la finestra mostra sotto il campo del nome il nome completo e avvisa se manca il punto.

In altri pannelli, come cPanel, Plesk, Cloudflare o la schermata DNS del Suo registrar, i pulsanti hanno nomi diversi, ma sono gli stessi campi. In Cloudflare presti attenzione al proxy: imposti i record per DKIM su "DNS only" (Cloudflare lo fa quasi sempre già automaticamente per i CNAME con _domainkey).

Riepilogo

• Un servizio di newsletter non ha bisogno dei Suoi record MX; li lasci invariati.
• DKIM avviene di solito tramite record CNAME con un proprio selector. Riprenda ciò che mostra il Suo dashboard.
• Inserisca solo la prima parte del nome e presti attenzione al punto alla fine del valore.
• Inserisca un include SPF solo se il servizio lo richiede, nel Suo record esistente, e rimanga sotto le 10 ricerche.
• Con questi servizi DMARC ha esito positivo tramite l'allineamento DKIM; inasprisca la policy solo quando DKIM funziona.

Quiz

Esercizio

Esercizio Z7.4: Riconoscere un servizio di newsletter. Osservi come un servizio di newsletter gestisce autonomamente DKIM.

1. Cerchi il record CNAME di k2._domainkey.mailchimp.com e di k3._domainkey.mailchimp.com. Trascriva i nomi di destinazione.
2. Cerchi il record SPF di mailchimp.com e conti quanti elementi include: contiene.

Il controllo recupera i record in tempo reale al momento della consegna.

Esercizio O7.4: Configurazione autonoma nella zona di esercitazione. Colleghi un servizio di newsletter simulato alla Sua zona di esercitazione <code>.dnspractice.eu. Nella zona di esercitazione usa il servizio fittizio newsletter-demo.dnspractice.eu; per il Suo dominio reale riprenda i valori dal dashboard del Suo servizio di newsletter.

1. Crei un CNAME k2._domainkey.<code>.dnspractice.eu verso dkim2.newsletter-demo.dnspractice.eu. Faccia attenzione al nome: nessuna zona doppia dopo.
2. Crei un CNAME k3._domainkey.<code>.dnspractice.eu verso dkim3.newsletter-demo.dnspractice.eu.
3. Si assicuri che su <code>.dnspractice.eu ci sia esattamente un record SPF che inizia con v=spf1 e termina con ~all o -all. Non aggiunga nessun include per questo servizio.
4. Lasci invariati i Suoi record MX su <code>.dnspractice.eu: questo servizio non ne ha bisogno.

Per approfondire

Queste pagine descrivono i passaggi nei pannelli di WebOké (DirectAdmin e Mio WebOké). In altri pannelli funziona allo stesso modo.

• Gestione dei record DNS in Mio WebOké (con esempi per CNAME, TXT e servizi esterni)
• Guida DirectAdmin 5.4: Record CNAME e il punto finale
• Guida DirectAdmin 5.8: Attivare e verificare DKIM
• Guida DirectAdmin 5.7: Impostare e integrare l'SPF
• Che cos'è il DMARC? Spiegazione in parole semplici