Tre oggetti diversi che si chiamano tutti «dominio»

Google Workspace tiene distinti tre concetti che nel parlato coincidono, ed è esattamente lì che si concentrano le domande.

Il primary domain è quello con cui l’account è stato creato. Identifica l’organizzazione, compare nella Admin console e non si può eliminare. È possibile sostituirlo con un altro dominio già presente nell’account, ma l’operazione non rinomina nessuno: gli indirizzi delle persone restano quelli di prima.

Un secondary domain porta dentro un insieme separato di persone. Gli account creati su quel dominio hanno lì il proprio indirizzo principale, consumano una licenza come tutti gli altri e si amministrano dalla stessa console. È la scelta corretta quando la società acquisita ha dipendenti propri, diversi da quelli che hai già.

Un domain alias non ha utenti propri. Ogni utente e ogni gruppo che esiste già nell’account riceve automaticamente lo stesso nome utente anche sul dominio alias, e i messaggi arrivano nella stessa casella. Non serve alcuna licenza aggiuntiva. È la scelta corretta quando l’azienda ha cambiato nome, o quando vuoi che le stesse persone siano raggiungibili anche su un secondo marchio.

Il collegamento con gli alias di singolo utente è la domanda tipica: a un utente si possono aggiungere fino a 30 indirizzi alternativi senza costi, ma gli indirizzi che derivano da un alias di dominio non si rimuovono dal singolo utente. Si rimuove l’alias di dominio dall’account, e spariscono per tutti.

Aggiungere il dominio e dimostrare di controllarlo

Il percorso è Menu > Account > Domains > Manage domains, poi Add a domain: qui si sceglie fra secondary domain e domain alias, e la scelta va fatta con le idee già chiare, perché determina se quel dominio potrà avere account propri. L’operazione richiede il ruolo di super administrator.

Subito dopo Google chiede la verifica di proprietà. Il metodo consigliato è un record TXT da pubblicare presso il registrar del dominio; in alternativa si usano un record CNAME, un file HTML caricato sul sito o un meta tag nella home page. Verificare significa soltanto dimostrare di controllare quel DNS: non attiva la posta, non crea utenti e non cambia nulla per chi già lavora nell’account.

Un dominio già verificato dentro un altro account Google Workspace o Cloud Identity non può essere aggiunto: prima va rimosso da quell’account. È il motivo per cui una migrazione fra tenant si pianifica intorno alla finestra in cui il dominio resta libero.

Far arrivare davvero la posta

La verifica non basta: ogni dominio che deve ricevere email ha bisogno dei propri record MX. La configurazione attuale è un solo record, con valore smtp.google.com e priorità 1; il campo Name/Host va lasciato vuoto oppure impostato a @, mentre per un sottodominio si inserisce solo il prefisso. Per il TTL va bene il valore predefinito del registrar. Gli account attivati prima del 2023 possono avere cinque record che iniziano con aspmx: restano supportati e non è obbligatorio convertirli. La propagazione DNS può richiedere fino a 72 ore.

Anche l’autenticazione si configura dominio per dominio, perché non si eredita: SPF è un record TXT per ogni dominio e per ogni sottodominio, mentre DKIM va generato e attivato singolarmente da Apps > Google Workspace > Gmail > Authenticate email. Un dominio alias da cui parte posta, senza SPF e DKIM propri, finisce nello spam esattamente come qualsiasi altro dominio non autenticato.

Spostare persone e togliere domini

Spostare un utente da un dominio all’altro dell’account significa cambiargli l’indirizzo principale. Google conserva automaticamente il vecchio indirizzo come alias, così la posta continua ad arrivare; puoi rimuoverlo in seguito se quell’indirizzo va riusato, tenendo presente che le modifiche agli alias richiedono fino a 24 ore per propagarsi. Nel frattempo Drive segue il nuovo indirizzo, gli eventi di Calendar già creati continuano a mostrare quello vecchio, la directory si aggiorna subito ma i contatti personali degli utenti no, e le app Marketplace autorizzate via OAuth vanno reinstallate.

La rimozione segue la regola opposta: il dominio primario non si toglie, e un dominio secondario si elimina solo dopo aver spostato o cancellato gli account che ci vivono. Togliere un alias di dominio, invece, cancella in un colpo solo tutti gli indirizzi che ne derivavano: prima di farlo, verifica che nessun flusso esterno stia ancora scrivendo a quegli indirizzi.