Resend "domain is not verified": correggi i record DNS e gli errori 403

Cosa significa

Resend invia solo da domini di tua proprietà che hai verificato con dei record DNS. Se invii da un dominio non verificato, o non verificato esattamente come scritto nel tuo indirizzo From, l'API risponde con un errore 403. Il messaggio di solito dice che il dominio non è verificato e ti chiede di aggiungerlo e verificarlo nella pagina Domains di Resend.

Un 403 simile compare quando invii dal dominio di test resend.dev a qualcuno che non sia l'indirizzo del tuo account: il dominio di test consegna solo a te.

Nella pagina Domains ogni dominio ha uno stato. I principali sono:

• not_started: il dominio è stato aggiunto ma non hai cliccato "Verify DNS Records".
• pending: Resend sta ancora cercando i record.
• verified: puoi inviare.
• failed: Resend non ha trovato i record entro 72 ore.
• temporary_failure: il dominio era verificato, ma un record è scomparso. Resend ricontrolla per 72 ore, poi lo segna come failed.

Perché succede

• Record non aggiunti, o aggiunti con il nome sbagliato. I record di Resend stanno su nomi come resend._domainkey e un sottodominio di invio (per impostazione predefinita send). Se il tuo pannello DNS aggiunge il tuo dominio, inserire il nome completo lo raddoppia; consulta record DNS aggiunto con il nome sbagliato.
• Dominio From non corrispondente. Hai verificato updates.yourdomain.com ma invii da yourdomain.com, o viceversa. Ogni dominio e sottodominio viene verificato separatamente.
• Il valore DKIM è stato tagliato o modificato durante l'incolla (caratteri mancanti, virgolette in più, a capo).
• Record eliminati in seguito, per esempio durante una migrazione DNS, il che porta a temporary_failure. Consulta record email persi dopo il cambio di provider DNS.
• Non ancora visibili. I record sono stati aggiunti da poco.

Come verificare

1. In Resend apri il dominio e la sua scheda Records. Annota tipo, nome e valore di ogni record; è l'unica fonte affidabile, perché l'insieme di record può variare da un dominio all'altro (i domini più recenti possono ricevere record CNAME invece di TXT e MX per SPF).
2. Controlla cosa vede internet. Per una configurazione tipica:

   dig +short TXT resend._domainkey.yourdomain.com
   dig +short MX send.yourdomain.com
   dig +short TXT send.yourdomain.com

   Confronta ogni risposta con la scheda Records.
3. Lancia lo scanner di dominio di Delivmail sul tuo dominio per vedere i record SPF, DKIM e DMARC pubblicati.
4. Confronta carattere per carattere il dominio From nel tuo codice con il nome del dominio verificato.

Come risolvere

1. Aggiungi tutti i record della scheda Records. Un insieme tipico ha questo aspetto (i tuoi valori saranno diversi, copiali da Resend):

   resend._domainkey.yourdomain.com  TXT  "p=MIGfMA0GCSqGSIb3DQEB..."
   send.yourdomain.com               MX   10 feedback-smtp.<region>.amazonses.com
   send.yourdomain.com               TXT  "v=spf1 include:amazonses.com ~all"

2. Metti l'MX sul sottodominio send, mai sul dominio principale. Aggiungerlo a yourdomain.com manderebbe la tua posta in arrivo al gestore dei bounce di Resend. I record MX esistenti della tua casella restano invariati.
3. Non unire questo SPF al tuo SPF principale. Appartiene al sottodominio send, che è il dominio Return-Path usato da Resend. Il record SPF del dominio principale non va toccato.
4. Su Cloudflare, lascia gli eventuali record CNAME su "DNS only".
5. Clicca Verify DNS Records in Resend. Se lo stato è failed, correggi i record e riavvia la verifica.
6. Fai corrispondere l'indirizzo From al dominio verificato, oppure verifica il dominio che usi davvero. Usare un sottodominio per un tipo di posta è una buona pratica; consulta autenticazione email per i sottodomini.
7. Aggiungi DMARC se il tuo dominio non ce l'ha, iniziando con p=none; consulta nessun record DMARC sul tuo dominio.

Verifica che sia risolto

Attendi che dig restituisca i valori attesi (da pochi minuti a qualche ora, a seconda del provider DNS e del TTL) e che il dominio risulti verified. Poi invia un'email tramite Resend all'indirizzo unico nella home page di Delivmail. Il report dovrebbe mostrare DKIM superato per il tuo dominio, SPF superato sul sottodominio send e DMARC superato. Poi invia di nuovo al destinatario originale. Lascia i record al loro posto: rimuoverne uno in seguito mette il dominio in temporary_failure.