I requisiti di Gmail, Yahoo e Microsoft

Modulo 5: Reputazione e i grandi provider · Tempo di lettura: 11 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di elencare i requisiti che Gmail, Yahoo e Microsoft impongono a tutti i mittenti e ai bulk sender, di spiegare cosa sia la disiscrizione con un clic, e di verificare il Suo dominio rispetto a tali requisiti.

Concetti chiave: linee guida per i mittenti, bulk sender (5.000 al giorno), SPF o DKIM, SPF e DKIM, DMARC con almeno p=none, allineamento, PTR e FCrDNS, TLS, tasso di reclami (0,1% e 0,3%), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Perché esistono questi requisiti

Gmail, Yahoo e Microsoft (Outlook.com, Hotmail, Live.com, MSN) ricevono insieme una grande parte di tutta la posta personale. Per molto tempo SPF, DKIM e DMARC sono stati "consigliati". Nell'ottobre 2023, Google e Yahoo hanno annunciato che a partire da febbraio 2024 avrebbero introdotto dei requisiti. Microsoft ha seguito per Outlook.com e gli altri indirizzi consumer, con requisiti applicati a partire da maggio 2025.

I requisiti servono a contrastare i mittenti falsificati e la posta di massa indesiderata. Per la maggior parte dei piccoli mittenti significa: assicurarsi che le basi del modulo 4 siano corrette. Per chi invia newsletter o molta posta transazionale, si aggiunge qualcosa in più.

Requisiti per tutti

Gmail e Yahoo impongono questi requisiti a tutti i mittenti verso i loro utenti:

Inoltre Google afferma: non si spacci per Gmail. Chi invia mail con un indirizzo mittente @gmail.com tramite un server diverso da quelli di Google (ad esempio tramite un servizio di newsletter), fallisce su DMARC: quel server non può firmare per conto di gmail.com e non è presente nell'SPF di gmail.com. Google scrive che Gmail tratta tale posta con una politica di quarantena. Invii quindi sempre da un indirizzo sul Suo dominio.

Requisiti aggiuntivi per i bulk sender

Google La considera un bulk sender se invia in 24 ore circa 5.000 mail o più verso indirizzi Gmail personali. La posta inviata dai sottodomini viene conteggiata nel dominio principale. Ed è importante: chi ha raggiunto questa soglia una sola volta, rimane bulk sender. Questo stato non scade. Yahoo non applica un numero fisso, Microsoft usa anch'esso la soglia di 5.000 al giorno.

Per i bulk sender si aggiunge quanto segue:

1. SPF e DKIM devono essere entrambi configurati (non solo uno dei due).
2. DMARC deve essere presente, con almeno p=none. Una politica più severa è ammessa, ma non obbligatoria. Yahoo raccomanda vivamente un indirizzo per i rapporti (rua).
3. Allineamento: il dominio nell'indirizzo visibile From: deve corrispondere al dominio SPF (Return-Path) o al dominio DKIM (d=). È esattamente ciò che DMARC verifica (lezione 4.4). In breve: la mail deve superare il controllo DMARC.
4. Disiscrizione con un clic per la posta di marketing e per gli abbonamenti, oltre a un link di disiscrizione chiaramente visibile nel testo.
5. Elaborazione delle disiscrizioni entro due giorni.
6. Reclami sotto lo 0,3%, preferibilmente sotto lo 0,1%.

Ciò si allinea esattamente con la linea guida del modulo 4: inizi con DMARC impostato su p=none e un indirizzo per i rapporti. In questo modo soddisfa il requisito, senza il rischio che la Sua stessa posta venga rifiutata.

Microsoft: SPF e DKIM e DMARC

Microsoft impone questi requisiti ai mittenti di 5.000 o più mail al giorno verso Outlook.com, Hotmail, Live.com e MSN (tutti con lo stesso dominio nell'indirizzo From:):

• SPF deve avere esito positivo;
• DKIM deve avere esito positivo;
• deve essere presente un record DMARC, almeno p=none, e la mail deve superare il controllo DMARC.

Noti la differenza: con DMARC è sufficiente che uno dei due (SPF o DKIM, allineato) abbia esito positivo. Microsoft richiede per i bulk sender che entrambi abbiano esito positivo. La posta che non soddisfa questo requisito non finisce nella cartella Posta indesiderata ma viene rifiutata con:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Un dominio che supera DMARC tramite DKIM ma il cui SPF fallisce (ad esempio perché manca un servizio nel record SPF), può quindi comunque ricevere questo errore.

Disiscrizione con un clic

In una newsletter i destinatari si aspettano un link di disiscrizione. Gmail, Yahoo e Apple Mail mostrano inoltre un proprio pulsante "Disiscrivi" nella parte superiore della mail. Tale pulsante funziona grazie a due intestazioni:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) fornisce uno o più modi per disiscriversi: un indirizzo web e/o un indirizzo email.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) indica che: se si invia una richiesta POST a quell'indirizzo web, il destinatario viene immediatamente disiscritto. Senza pagina aggiuntiva, senza accesso, senza "è sicuro di volerlo fare?".

Entrambe le intestazioni devono rientrare sotto la firma DKIM, in modo che nessuno possa modificarle lungo il percorso (RFC 8058 lo richiede). Un servizio di newsletter gestisce questo aspetto per Lei. Se invia autonomamente, dovrà costruirlo Lei stesso (lezione 7.2).

Cosa succede se non si soddisfano i requisiti?

Google afferma che la posta che non soddisfa i requisiti può essere rifiutata temporaneamente o definitivamente, oppure finire nello spam. Da novembre 2025, Gmail sta ulteriormente intensificando tale applicazione. I messaggi di errore sono specifici (un elenco completo si trova nella lezione 6.2), ad esempio:

Un codice che inizia con 4 è temporaneo (il server mittente riproverà più tardi), un codice che inizia con 5 è definitivo (lezione 6.1).

Misurare: Postmaster Tools e SNDS

Non può guardare dentro la casella di posta dei destinatari, ma i grandi provider forniscono comunque dei dati:

• Google Postmaster Tools (postmaster.google.com): dopo aver confermato il Suo dominio con un record TXT, può vedere tra l'altro il tasso di reclami, se la Sua mail supera SPF, DKIM e DMARC, e se viene cifrata. I dati compaiono solo se invia abbastanza posta verso Gmail.
• Microsoft SNDS (Smart Network Data Services): dati per indirizzo IP. Utile solo se dispone di un proprio indirizzo IP (lezione 6.4).
• Yahoo Sender Hub: lo spazio dedicato di Yahoo per i mittenti, con un feed dei reclami.

Se invia tramite un servizio di newsletter, di solito è quel servizio stesso a mostrare il tasso di reclami per invio.

Nella pratica

Per una normale casella di posta aziendale presso un'azienda di hosting o un servizio di posta, in genere si soddisfano già i requisiti validi per tutti: il fornitore gestisce il PTR e il TLS, e Lei si occupa di SPF, DKIM e di un record DMARC. Su WebOké, la scheda Imposta E-Mail in Mio WebOké mostra per ciascun record se è corretto; presso altri fornitori un controllo di questo tipo ha un nome diverso, oppure può usare uno strumento indipendente come internet.nl.

Se invia newsletter, a ciò si aggiungono SPF e DKIM del servizio di invio (chiave DKIM propria sul Suo dominio, lezioni 4.3 e 7.1), un record DMARC e un pulsante di disiscrizione funzionante con un clic.

Riepilogo

• Per tutti: SPF o DKIM, PTR corretto, messaggi corretti, TLS, reclami sotto lo 0,3%.
• Bulk sender (a partire da circa 5.000 al giorno, status che permane nel tempo): SPF e DKIM, DMARC con almeno p=none, allineamento, disiscrizione con un clic, disiscrizioni elaborate entro due giorni.
• Microsoft richiede ai bulk sender che SPF e DKIM abbiano entrambi esito positivo, altrimenti 550 5.7.515.
• Disiscrizione con un clic = List-Unsubscribe con un indirizzo https più List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Misuri con Google Postmaster Tools, Microsoft SNDS o i dati del Suo servizio di invio.

Quiz

Esercizio

Esercizio Z5.3: Il Suo dominio a confronto con i requisiti. Inserisca il Suo dominio e un selector DKIM che ha trovato nelle intestazioni di una Sua mail (s= in DKIM-Signature, lezione 4.3). Indichi per ciascun requisito se ritiene di soddisfarlo: SPF presente e valido, chiave DKIM trovata, DMARC presente con un p valido, indirizzo per i rapporti presente, PTR del Suo server MX corretto. Il programma esegue gli stessi controlli in tempo reale e mette il risultato accanto alla Sua stima. Non ha un proprio dominio? Usi allora sidn.nl (senza selector DKIM).

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori il funzionamento è analogo.

• La mia email non arriva o finisce nello spam: ecco come scoprirne il motivo
• Che cos'è il DMARC? Spiegazione in parole semplici
• È possibile inviare un mailing tramite il Suo pacchetto di hosting presso WebOké?
• Guida WebOké 6.7: La scheda Configura l'e-mail (MX, SPF, DKIM, DMARC)
• Google, Linee guida per i mittenti: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, errore 550 5.7.515 su Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (disiscrizione con un clic)