Return-Path personalizzato di Postmark (pm-bounces) e allineamento DMARC

Cosa significa

Ogni email ha due indirizzi mittente. L'indirizzo From è quello che vede chi legge. Il Return-Path (o envelope sender) è un indirizzo nascosto a cui arrivano i bounce. SPF controlla il dominio del Return-Path, non quello del From. Per un ripasso, consulta Return-Path, envelope sender e From.

Per impostazione predefinita, Postmark usa il proprio indirizzo di bounce:

Return-Path: <pm_bounces@pm.mtasv.net>

SPF viene superato, ma per pm.mtasv.net, non per il tuo dominio. DMARC richiede che SPF o DKIM vengano superati per un dominio che corrisponde al tuo dominio From (si parla di allineamento). Con il Return-Path predefinito SPF non è allineato, quindi DMARC si basa solo su DKIM.

Un Return-Path personalizzato lo sostituisce con un sottodominio del tuo dominio, per impostazione predefinita pm-bounces.yourdomain.com:

Return-Path: <pm_bounces@pm-bounces.yourdomain.com>

A quel punto SPF viene superato ed è allineato con il tuo dominio, quindi DMARC può essere superato sia con SPF sia con DKIM.

Perché succede

Vedi "SPF non allineato" o un avviso DMARC in un report perché:

• Il Return-Path personalizzato non è mai stato configurato (in Postmark è facoltativo).
• Il CNAME è stato aggiunto, ma l'alias non è stato inserito o verificato in Postmark, quindi Postmark usa ancora quello predefinito.
• Il CNAME è sbagliato: nome sbagliato, destinazione sbagliata o proxy attivo su Cloudflare.
• Il tuo record DMARC usa l'allineamento SPF rigoroso (aspf=s). La modalità strict richiede esattamente lo stesso dominio, e pm-bounces.yourdomain.com è un sottodominio, quindi l'allineamento SPF fallisce anche con una configurazione corretta. Consulta la spiegazione dei tag DMARC.

Se fallisce anche DKIM, DMARC fallisce del tutto; è un problema diverso, trattato in DMARC fallisce: SPF e DKIM non corrispondono al tuo dominio.

Come verificare

1. Invia un'email tramite Postmark all'indirizzo unico nella home page di Delivmail. Nel report guarda il dominio SPF (il Return-Path) e il risultato DMARC.
2. Controlla il record da un terminale:

   dig +short CNAME pm-bounces.yourdomain.com
   pm.mtasv.net.

   Se la risposta è vuota o mostra indirizzi IP, il CNAME manca o ha il proxy attivo.
3. In Postmark apri Sender Signatures, scegli il dominio e apri DNS Settings. La sezione Return-Path indica se è verificato.

Come risolvere

1. Aggiungi il CNAME presso il tuo provider DNS:

   Host:   pm-bounces.yourdomain.com   (enter "pm-bounces" in most DNS panels)
   Type:   CNAME
   Value:  pm.mtasv.net

   Puoi scegliere un'altra etichetta, ma deve essere un sottodominio del tuo dominio From e non deve avere già altri record (un CNAME non può condividere il nome con record TXT, MX o A; consulta conflitti tra CNAME e record MX e TXT).
2. Utenti Cloudflare: imposta il record su "DNS only" (nuvola grigia). Un record con proxy non restituisce il CNAME. Consulta i record con proxy di Cloudflare bloccano l'email.
3. Comunicalo a Postmark: in Sender Signatures apri le DNS Settings del dominio, vai alla sezione Return-Path, inserisci lo stesso alias (per esempio pm-bounces) e verificalo.
4. Non aggiungere Postmark al tuo record SPF principale per questo. SPF viene controllato su pm-bounces.yourdomain.com, che eredita l'SPF di Postmark tramite il CNAME. Il record SPF del dominio principale resta com'è.
5. Controlla la modalità di allineamento DMARC. Mantieni la modalità relaxed predefinita (aspf=r, o nessun tag aspf) a meno che tu non abbia un motivo per essere rigoroso.
6. Mantieni anche DKIM verificato. Due metodi allineati sono più sicuri di uno, perché DKIM sopravvive ad alcuni casi di inoltro in cui SPF si rompe. Se DKIM non è ancora configurato, consulta Sender Signature di Postmark e verifica del dominio.

Più domini From

Il Return-Path personalizzato si imposta per dominio. Se invii da yourdomain.com e da news.yourdomain.com, ciascuno ha bisogno di una propria configurazione verificata in Postmark.

Verifica che sia risolto

Attendi che il CNAME sia visibile (da pochi minuti a qualche ora a seconda del tuo provider DNS), conferma che sia verificato in Postmark, poi invia un nuovo test a Delivmail. Il Return-Path dovrebbe ora terminare con pm-bounces.yourdomain.com, SPF dovrebbe essere superato e DMARC dovrebbe essere superato con SPF e DKIM entrambi allineati. Puoi anche controllare l'intestazione Authentication-Results di un messaggio ricevuto in Gmail: cerca spf=pass con smtp.mailfrom=pm-bounces.yourdomain.com e dmarc=pass.