I record CNAME dell'autenticazione del dominio SendGrid non si verificano: come risolvere

Cosa significa

In Twilio SendGrid, la Domain Authentication (Settings > Sender Authentication) ti chiede di pubblicare dei record DNS e poi di cliccare Verify. Se SendGrid non li trova con il valore giusto, li mostra come non verificati e il tuo dominio resta non autenticato.

Con "Use automated security" attivo (l'impostazione predefinita), SendGrid ti fornisce tre record CNAME e suggerisce un record DMARC. Nomi e destinazioni contengono numeri unici per il tuo account:

em1234.yourdomain.com            CNAME  u1234567.wl123.sendgrid.net
s1._domainkey.yourdomain.com     CNAME  s1.domainkey.u1234567.wl123.sendgrid.net
s2._domainkey.yourdomain.com     CNAME  s2.domainkey.u1234567.wl123.sendgrid.net
_dmarc.yourdomain.com            TXT    "v=DMARC1; p=none;"

Il record em serve per il Return-Path (dominio di bounce, che permette l'allineamento SPF). I due record _domainkey puntano a chiavi DKIM che SendGrid ruota al posto tuo. Copia sempre i tuoi valori dalla console; quelli sopra sono esempi.

Perché succede

• Nome di dominio raddoppiato. Il tuo pannello DNS aggiunge automaticamente yourdomain.com, quindi em1234.yourdomain.com diventa em1234.yourdomain.com.yourdomain.com. È la causa più frequente; consulta record DNS aggiunto con il nome sbagliato.
• Proxy di Cloudflare. Un CNAME con proxy (nuvola arancione) risponde con indirizzi IP di Cloudflare invece che con la destinazione del CNAME. Consulta i record con proxy di Cloudflare bloccano l'email.
• Un record in conflitto. Un CNAME non può esistere accanto a un altro record con lo stesso nome. Un vecchio TXT o MX su em1234 o s1._domainkey lo blocca. Consulta conflitti tra CNAME e record MX e TXT.
• Errore di battitura nella destinazione, oppure un problema con il punto finale nei pannelli che si aspettano un nome completo.
• Record aggiunti nella zona DNS sbagliata. Il DNS del tuo dominio è servito da un altro provider (controlla i record NS), quindi i record aggiunti presso il registrar non vengono mai visti.
• Non ancora visibili. Alcuni provider DNS impiegano tempo a pubblicare i nuovi record; SendGrid parla di fino a 48 ore per alcuni provider.
• Dominio autenticato sbagliato: hai autenticato yourdomain.com ma hai aggiunto i record per un sottodominio, o viceversa.

Come verificare

1. Interroga ogni record da un terminale. Una risposta corretta restituisce la destinazione SendGrid:

   dig +short CNAME em1234.yourdomain.com
   dig +short CNAME s1._domainkey.yourdomain.com
   dig +short CNAME s2._domainkey.yourdomain.com
   dig +short NS yourdomain.com

   Una risposta vuota significa che il record non c'è (o non ancora). Degli indirizzi IP indicano un proxy.
2. Controlla se il nome è raddoppiato: dig +short CNAME em1234.yourdomain.com.yourdomain.com. Se risponde, il nome è stato inserito male.
3. Usa lo scanner di dominio di Delivmail per vedere i record SPF, DMARC e DKIM che gli altri vedono per il tuo dominio.

Come risolvere

1. Nel tuo pannello DNS apri ogni record e inserisci nel campo del nome solo la parte prima del tuo dominio: em1234, s1._domainkey, s2._domainkey.
2. Incolla la destinazione esattamente come la mostra SendGrid. Imposta il tipo di record su CNAME, non TXT.
3. Su Cloudflare, passa ogni record a "DNS only".
4. Elimina i vecchi record con gli stessi nomi, compresi i vecchi record TXT DKIM per s1/s2 di una configurazione precedente.
5. Assicurati di modificare la zona del provider DNS indicato nei tuoi record NS.
6. Se il tuo provider DNS non accetta i trattini bassi nei nomi CNAME, disattiva l'automated security in SendGrid (che ti fornirà invece record MX e TXT), oppure sposta il DNS presso un provider che supporta i record standard.
7. Torna su SendGrid e clicca Verify. Se un record fallisce ancora, SendGrid indica quale.

SPF e record esistenti

Con l'automated security non devi aggiungere SendGrid al record SPF del dominio principale: SPF viene controllato sul sottodominio em, che segue l'SPF di SendGrid tramite il CNAME. Mantieni il tuo SPF principale esistente per gli altri servizi. Per capire come funziona DKIM basato su CNAME, consulta DKIM con record CNAME (selettori delegati).

Verifica che sia risolto

Quando dig restituisce le destinazioni giuste, clicca di nuovo Verify in SendGrid; tutti i record dovrebbero diventare verdi. Poi invia un test tramite SendGrid all'indirizzo nella home page di Delivmail: DKIM dovrebbe essere superato con d=yourdomain.com, il Return-Path dovrebbe essere su em1234.yourdomain.com e DMARC dovrebbe essere superato. Se i record sono corretti ma SendGrid non li verifica ancora dopo il tempo di propagazione, contatta il supporto SendGrid allegando l'output di dig.