Dominio Mailgun non verificato: correggi i record SPF, DKIM, MX e CNAME

Cosa significa

Quando aggiungi un dominio di invio in Mailgun, ti vengono forniti dei record DNS da pubblicare. Finché Mailgun non li trova, il dominio è non verificato e non puoi inviare normalmente da esso. I tentativi di invio vengono rifiutati; il messaggio di solito dice che il dominio non è autorizzato a inviare perché non è verificato e richiede una configurazione DNS.

La documentazione di Mailgun indica che sono i due record TXT, SPF e DKIM, a verificare il dominio per l'invio. I record MX (per ricevere le risposte o usare le Routes) e il CNAME di tracciamento (per aperture, clic e disiscrizioni) sono consigliati ma servono ad altre funzioni.

Perché succede

• Record con il nome sbagliato. Mailgun di solito suggerisce un sottodominio come mg.yourdomain.com. I record devono quindi stare su mg.yourdomain.com e selector._domainkey.mg.yourdomain.com, non sul dominio principale. Alcuni pannelli aggiungono anche il dominio due volte (per esempio mg.yourdomain.com.yourdomain.com).
• Due record SPF sullo stesso nome: quello vecchio e quello di Mailgun. SPF fallisce allora con un permerror. Uniscili in uno solo (consulta più record SPF su un dominio).
• Chiave DKIM danneggiata: troncata durante l'incolla, con virgolette aggiunte dentro il valore o con una chiave lunga divisa in modo errato.
• Proxy o CNAME flattening: su Cloudflare i record con proxy rompono i record di posta (consulta i record con proxy di Cloudflare bloccano l'email).
• Un CNAME sullo stesso nome del record TXT SPF: un CNAME nasconde tutti gli altri record con quel nome.
• Zona DNS sbagliata: record aggiunti presso il registrar mentre il dominio usa altri name server.
• Valori di regioni mescolati: i domini EU usano host EU per MX e tracciamento (mxa.eu.mailgun.org, eu.mailgun.org).

Come verificare

Nel pannello di controllo di Mailgun apri Send, Domains, il tuo dominio, poi la sezione dei record DNS. Ogni record mostra uno stato. Copia da lì i valori esatti: sono specifici del tuo dominio e della tua regione. Per un dominio US di solito hanno questo aspetto:

mg.yourdomain.com.                     TXT    "v=spf1 include:mailgun.org ~all"
selector._domainkey.mg.yourdomain.com. TXT    "k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."
mg.yourdomain.com.                     MX 10  mxa.mailgun.org.
mg.yourdomain.com.                     MX 10  mxb.mailgun.org.
email.mg.yourdomain.com.               CNAME  mailgun.org.

Il nome del selettore DKIM (la parte prima di ._domainkey) è scelto da Mailgun. I domini più recenti con Automatic Sender Security possono mostrare DKIM come record CNAME invece di una chiave TXT, così Mailgun può ruotare le chiavi da solo; pubblicali esattamente come vengono mostrati. Poi interroga tu stesso il DNS:

dig +short TXT mg.yourdomain.com
dig +short TXT selector._domainkey.mg.yourdomain.com
dig +short NS yourdomain.com

Anche lo scanner di dominio di Delivmail legge i record SPF, DMARC, MX e DKIM del tuo dominio di invio così come li vede il resto del mondo.

Come risolvere

1. Usa un sottodominio dedicato come mg.yourdomain.com se il tuo dominio principale riceve già posta altrove. Non puntare i record MX del dominio principale verso Mailgun, a meno che Mailgun non debba ricevere tutta la sua posta.
2. Pubblica un solo record SPF per nome. Su un sottodominio dedicato basta v=spf1 include:mailgun.org ~all. Se invii dal dominio principale anche con altri servizi, aggiungi include:mailgun.org al record esistente invece di crearne un secondo.
3. Incolla il valore DKIM in un unico blocco, senza virgolette in più. Se il tuo provider limita le stringhe TXT a 255 caratteri, lascia che divida il valore in più stringhe nello stesso record.
4. Disattiva il proxy e rimuovi qualsiasi CNAME in conflitto sugli stessi nomi.
5. Clicca "Verify DNS settings" nelle impostazioni del dominio, oppure attendi i controlli automatici di Mailgun. I nuovi record di solito compaiono in pochi minuti, ma le cache possono ritardarli; una risposta "nessun record" in cache può durare fino alla scadenza del suo TTL.
6. Aggiungi DMARC sul tuo dominio principale se non ce l'hai, per esempio _dmarc.yourdomain.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com". Il DKIM di Mailgun su mg.yourdomain.com si allinea con un indirizzo From su mg.yourdomain.com, e anche con yourdomain.com in modalità relaxed.

Finché il dominio non è verificato, puoi fare test con il dominio sandbox, che consegna solo ai destinatari autorizzati: consulta sandbox di Mailgun: solo destinatari autorizzati.

Verifica che sia risolto

Tutti i record dovrebbero risultare verificati nel pannello di Mailgun. Invia un messaggio tramite Mailgun dal tuo dominio verificato all'indirizzo unico nella home page di Delivmail: il report dovrebbe mostrare SPF superato per mg.yourdomain.com (Mailgun lo usa come dominio di bounce), DKIM superato con d=mg.yourdomain.com (o il tuo dominio) e DMARC superato. Poi invia di nuovo i messaggi che avevano fallito.