Relay SMTP per dominio italiano: come configurare SPF, DKIM e DMARC con Mailu

Come funziona il relay in Mailu

La documentazione di Mailu descrive RELAYHOST come indirizzo opzionale di uno smarthost per tutta la posta in uscita, nel formato [HOST]:PORTA. Se lo smarthost richiede autenticazione si impostano RELAYUSER e RELAYPASSWORD. Per impostazione predefinita Mailu usa TLS opportunistico in uscita; con OUTBOUND_TLS_LEVEL impostato su encrypt o secure si impone la cifratura, scelta che la documentazione raccomanda se il relay supporta TLS.

Attenzione al limite predefinito: MESSAGE_RATELIMIT vale 200/day, cioè 200 messaggi al giorno per utente. Per posta transazionale o invii più ampi va modificato, oppure si usa MESSAGE_RATELIMIT_EXEMPTION per escludere indirizzi specifici.

SPF, DKIM, DMARC e PTR per il tuo dominio

L'SPF elenca i server autorizzati a inviare per conto del dominio. Se la posta parte da un relay, l'SPF deve includere il mittente del relay, altrimenti il destinatario può rifiutare o marcare il messaggio come sospetto. Le FAQ di Mailu collegano i fallimenti SPF all'invio da un indirizzo IP diverso da quello previsto nella configurazione.

Le chiavi DKIM si generano nel pannello del dominio di Mailu con il pulsante "Regenerate Keys"; la chiave pubblica va poi pubblicata come record TXT nel DNS. Il DMARC è un record TXT su _dmarc: Google lo richiede ai mittenti oltre 5.000 messaggi al giorno (la policy può anche essere none) insieme all'allineamento del dominio del campo From con il dominio SPF o DKIM. Per quei volumi, per i messaggi promozionali Google richiede anche la disiscrizione con un clic. Il PTR (DNS inverso) deve corrispondere al record diretto dell'IP che invia: con un relay se ne occupa chi lo gestisce.

Esempi pratici

• Negozio online con email d'ordine: le conferme passano dal relay, mentre la posta promozionale resta separata, così eventuali segnalazioni di spam non danneggiano la reputazione della posta transazionale.
• Agenzia con più domini cliente: per ogni dominio una chiave DKIM e un record DMARC propri.
• Azienda che migra da Google Workspace: prima imposta SPF, DKIM e DMARC, solo dopo sposta i record MX.

Errori comuni

• SPF senza il relay: i messaggi falliscono il controllo.
• Chiave DKIM generata ma record TXT mai pubblicato nel DNS.
• Limite predefinito di 200 messaggi al giorno dimenticato, che rallenta la posta senza errori evidenti.
• PTR mancante o DNS diretto e inverso non corrispondenti.
• DMARC in modalità restrittiva fin dall'inizio, senza aver prima osservato i report.

Come verificare prima di passare in produzione

Prima di spostare i record MX o di inviare volumi reali, invia un messaggio di prova a una casella Gmail e apri l'originale del messaggio: Gmail mostra l'esito di SPF, DKIM e DMARC. Controlla poi che il record TXT della chiave DKIM sia visibile nel DNS pubblico e che il PTR dell'IP che invia corrisponda al nome dichiarato. Se usi Google Postmaster Tools, tieni d'occhio il tasso di spam: Google indica come obiettivo di restare sotto lo 0,10% ed evitare lo 0,30%. Aumenta i volumi in modo graduale, perché un picco improvviso da un dominio nuovo è un segnale che i destinatari guardano con sospetto.

Come ti aiuta 4hosting

Mailu gira self-hosted sul dominio del cliente, ad esempio su un VPS. Ogni piano include ore mensili di DevOps (sui VPS da 1 a 8 ore in base al piano) utilizzabili per installare Mailu, configurare relay, SPF, DKIM e DMARC e migrare da cPanel o Google Workspace. Le ore si richiedono dal pannello cliente e non si riportano al mese successivo. Non è un servizio di relay gestito, e 4hosting non garantisce la recapitabilità né il rispetto delle regole dei destinatari. Per i dettagli tecnici consulta anche la documentazione su Mailu e relay SMTP.