Dominio email HighLevel: configurare e verificare SPF, DKIM e DMARC

TL;DR: se le email inviate da HighLevel usano un dominio non autenticato, il processo di invio resta più esposto a problemi di verifica e recapito. La procedura ufficiale prevede di aggiungere un dominio o, preferibilmente, un sottodominio dedicato in Settings → Email Services → Dedicated Domain & IP, pubblicare i record DNS richiesti e usare Verify domain per controllarne lo stato. Il risultato verificabile è vedere il dominio come Verified / Active nella piattaforma; la consegna effettiva dipende comunque da più fattori.

In sintesi

Un titolare o un responsabile marketing spesso arriva a questo passaggio quando deve mettere in ordine le email automatiche: campagne, messaggi operativi o workflow partono da HighLevel, ma il DNS del dominio è gestito altrove e la verifica rimane incompleta. Il lavoro manuale diventa una sequenza poco chiara di schermate, valori copiati a metà e attese senza sapere se il problema sia nel record, nel provider DNS o nella propagazione.

Questo tutorial riguarda il dominio di invio email in HighLevel e i record di autenticazione SPF, DKIM e DMARC, oltre agli eventuali record CNAME e MX mostrati dalla piattaforma. Si rivolge a chi dispone dell'accesso al pannello DNS del proprio dominio o può coinvolgere chi lo gestisce.

La fonte ufficiale è la guida HighLevel, Add and Verify Domain DNS Records in HighLevel. I nomi delle voci, i provider supportati e la disponibilità delle funzioni possono cambiare dopo la data di consultazione della fonte: prima di intervenire, confronta sempre i valori mostrati nel tuo account con la documentazione corrente.

La situazione di partenza

Risposta breve: il problema non è “avere un dominio”, ma autorizzarlo in modo coerente per l'invio email.

Immaginiamo uno scenario ipotetico: il responsabile di un'attività usa HighLevel per organizzare comunicazioni email, mentre il dominio è amministrato tramite Cloudflare, GoDaddy, AWS Route 53, Namecheap, Google Domains oppure un altro provider DNS. Quando HighLevel richiede l'autenticazione, il responsabile deve passare dal pannello della piattaforma al DNS, riconoscere il tipo corretto di record e riportare senza modifiche nome e valore.

Senza un flusso ordinato, gli errori più comuni sono prevedibili: un record TXT viene duplicato, un host contiene simboli aggiunti dal provider, un CNAME per Cloudflare resta in modalità proxy oppure i valori vengono interpretati come esempi anziché come istruzioni specifiche generate dall'account. Il risultato non è un generico “setup da completare”: il dominio non supera la verifica e HighLevel non lo mostra come attivo.

La guida ufficiale collega l'autenticazione del dominio alla protezione del brand, alla prevenzione dello spoofing e a maggiori probabilità che le email arrivino nella posta in arrivo anziché nello spam. Non equivale a una garanzia di inbox placement: l'operazione serve ad allineare l'infrastruttura DNS ai requisiti di autenticazione indicati dalla piattaforma.

Per iniziare servono:

• accesso al pannello del provider DNS che ospita il dominio;
• il dominio o sottodominio scelto per l'invio;
• credenziali o autorizzazioni per creare e modificare record DNS;
• una conoscenza di base di TXT, CNAME, MX, SPF, DKIM e DMARC.

Cosa cambia con HighLevel

Risposta breve: HighLevel genera i record da configurare e ne controlla lo stato; il DNS resta da gestire presso il provider del dominio.

Nella documentazione ufficiale, il dominio viene aggiunto dalla sezione Settings → Email Services → Dedicated Domain & IP. Da qui si seleziona + Add Domain, si inserisce il dominio o il sottodominio desiderato e si procede con Add & Verify.

HighLevel raccomanda l'uso di un sottodominio, ad esempio mail.tuodominio.com. La motivazione indicata è separare la reputazione del dominio principale da quella dell'invio email: se emergono problemi di deliverability sul sottodominio, questi non incidono direttamente sul root domain. È una scelta utile soprattutto quando il dominio principale è già collegato a sito, comunicazioni aziendali o altri servizi.

I tre elementi centrali dell'autenticazione hanno ruoli distinti:

• SPF (Sender Policy Framework) autorizza i server che possono inviare email per conto del dominio;
• DKIM (DomainKeys Identified Mail) aggiunge una firma digitale che dimostra che il messaggio non è stato alterato durante il transito;
• DMARC (Domain-based Message Authentication, Reporting & Conformance) applica policy di autenticazione e fornisce report sulla consegna.

Dopo l'aggiunta del dominio, HighLevel può rilevare il provider DNS e proporre una configurazione automatica quando il provider è supportato. In questo caso, secondo la fonte, occorre selezionare Continue, accedere al provider e autorizzare Lead Connector a configurare i record. Se il provider non è supportato, la piattaforma indirizza alla configurazione manuale e visualizza i valori esatti necessari.

Il vantaggio operativo non è sostituire il DNS provider: è avere in HighLevel un punto di controllo che elenca i record richiesti — SPF, DKIM, CNAME, MX e DMARC — e indica se risultano verificati. Per chi usa workflow email, questa impostazione si collega anche alla possibilità di gestire il mittente dedicato nei flussi: approfondisci il dominio mittente dedicato per ogni workflow di HighLevel.

Come configurare il flusso

Risposta breve: aggiungi il sottodominio, scegli la configurazione automatica o manuale, pubblica i valori esatti e avvia di nuovo la verifica.

Di seguito sono riportati i passaggi descritti dalla fonte ufficiale. Le schermate possono cambiare; considera quindi i nomi delle voci come riferimento e verifica quelli presenti nel tuo account.

1. Scegliere dominio o sottodominio di invio

Nella sezione Dedicated Domain & IP, usa + Add Domain e inserisci il dominio da usare per l'invio. La guida raccomanda un sottodominio come mail.tuodominio.com per isolare la reputazione dell'invio dal dominio principale.

Questa scelta va chiarita prima di creare record. Se aggiungi mail.tuodominio.com in HighLevel ma pubblichi valori pensando di autenticare il dominio principale, la verifica può non corrispondere alla configurazione richiesta.

2. Usare l'integrazione DNS, se proposta

Se HighLevel riconosce un provider supportato, la fonte indica la configurazione automatica come opzione più semplice. Dopo Continue, accedi al provider e autorizza Lead Connector a configurare i record DNS. Al completamento, il dominio dovrebbe essere contrassegnato come Verified.

Consiglio editoriale: anche con l'automazione, conserva traccia del sottodominio scelto e verifica nel pannello DNS quali record risultano presenti. Non modificare manualmente record appena creati se non hai individuato un'esigenza concreta o un'indicazione della piattaforma.

3. Inserire i record manualmente quando necessario

Quando l'auto-configurazione non è disponibile, apri nel DNS provider la gestione della zona del dominio e crea i record mostrati da HighLevel. La piattaforma fornisce i dati specifici: copiali senza alterazioni.

Le indicazioni generali della fonte sono:

• crea record di tipo TXT, CNAME o MX secondo quanto richiesto;
• per il root domain usa @ nel campo Name/Host;
• per un sottodominio come mail.tuodominio.com, inserisci solo la parte del sottodominio, quindi mail, quando il provider lo richiede;
• copia esattamente i valori forniti;
• imposta un TTL di 5 minuti, cioè 300 secondi, dove possibile.

Non esiste un valore SPF, DKIM o DMARC universale da riportare in un tutorial: devono essere usati quelli visualizzati da HighLevel per quel dominio. La stessa cautela vale per CNAME e MX, che la schermata di verifica può richiedere oltre ai tre record di autenticazione citati nel titolo.

Per Cloudflare, la documentazione specifica un controllo ulteriore: i record devono essere impostati su DNS only (nuvola grigia), non Proxied (nuvola arancione). Il proxy dei CNAME impiegati per l'autenticazione email non è supportato e può impedire la verifica.

4. Avviare il controllo dal dominio aggiunto

Dopo aver salvato i record dal DNS provider, nel menu a tre puntini accanto al dominio aggiunto seleziona Verify domain. HighLevel controlla la presenza e la configurazione dei record e mostra lo stato di ciascuno. I pulsanti Copy consentono di riportare i valori nel DNS provider senza trascriverli manualmente.

Se lo stato non cambia subito, la fonte suggerisce di attendere alcuni minuti e poi selezionare nuovamente Verify domain per riattivare il controllo. La propagazione DNS può richiedere fino a 24-48 ore, a seconda del provider e del TTL.

5. Controllare lo stato dopo la verifica

Quando tutti i record risultano corretti, il dominio viene contrassegnato come Verified / Active. La guida indica inoltre che viene emesso automaticamente un certificato SSL; l'operazione richiede normalmente 1-10 minuti dopo il completamento della verifica ed è necessaria prima che il dominio sia pienamente attivo.

A questo punto, la fonte consiglia di inviare email di prova e controllare nelle intestazioni che SPF e DKIM risultino superati. Suggerisce anche di monitorare regolarmente i report DMARC e gli strumenti di inbox placement. Se nei messaggi usi campi dinamici, riduci un diverso problema operativo — email con parti vuote — con la guida sui valori di default per le Custom Values in GoHighLevel.

Il risultato operativo

Risposta breve: il risultato controllabile è un dominio di invio che HighLevel mostra come verificato e attivo.

Il flusso porta a una condizione concreta: il dominio o sottodominio dedicato compare nella sezione prevista di HighLevel con stato Verified / Active, dopo che i record DNS richiesti sono stati rilevati correttamente. In aggiunta, la documentazione indica l'emissione automatica del certificato SSL dopo la verifica.

Questo risultato è utile a chi deve gestire l'invio email da HighLevel perché rende esplicito il legame tra quattro elementi: il settore o l'organizzazione che invia, il dominio scelto come identità tecnica, il provider DNS che pubblica i record e HighLevel che verifica la configurazione per l'infrastruttura email.

Non promette tassi di consegna, aperture o risultati commerciali. SPF, DKIM e DMARC sono componenti dell'autenticazione; la fonte parla di migliorare le probabilità di recapito e di monitoraggio continuo, non di un esito garantito per ogni email.

Errori e limiti

Risposta breve: nella maggior parte dei casi di verifica fallita, il problema è un record non identico, duplicato o non ancora propagato.

La checklist ufficiale per risolvere gli errori richiede di verificare innanzitutto che ogni record corrisponda esattamente a quello generato: anche una sola differenza di carattere può causare il fallimento. Controlla poi il tipo del record — TXT, CNAME o MX — e il campo Host/Name, evitando @ aggiuntivi o parti mancanti del sottodominio.

Ci sono due limiti DNS importanti:

• per DMARC deve esistere un solo record DMARC per dominio; record multipli causano errori di autenticazione;
• per SPF deve esistere un solo record SPF in formato TXT per dominio; i duplicati non sono corretti.

La guida precisa inoltre che, se il root domain possiede già un record DMARC, non è necessario aggiungerne uno anche al sottodominio: la policy del dominio principale si applica ai sottodomini per impostazione predefinita.

Evita anche di interpretare l'attesa come un errore immediato. Un TTL troppo alto può rallentare la propagazione; dove possibile, la fonte propone 300 secondi. Anche così, in casi meno comuni la propagazione può richiedere 24-48 ore.

Infine, non usare la verifica come semplice passaggio una tantum. Tornando al problema iniziale del responsabile che alterna HighLevel e DNS senza sapere cosa controllare, la routine più affidabile è: confrontare i valori forniti dalla piattaforma, confermare lo stato Verified / Active, inviare test e monitorare DMARC nel tempo. Per approfondire l'uso di HighLevel nelle comunicazioni e nei processi collegati, puoi richiedere il bonus WhatsApp GoHighLevel. I risultati variano in base al contesto, al provider DNS e alla configurazione effettiva del dominio.