Modulo 4 · 4.1

Italiano

Nederlands English Deutsch Français Español Italiano Polski

Perché la posta finisce nello spam

Modulo 4: Recapitabilità: SPF, DKIM e DMARC nella pratica · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di indicare le quattro fasi in cui un destinatario valuta un'email in arrivo, spiegare perché "a me arriva comunque" non dimostra nulla, e stabilire con un test in quale fase si trova un problema.

Concetti chiave: recapitabilità (deliverability), consegna vs. inbox, pulizia tecnica, autenticazione (SPF, DKIM, DMARC), allineamento, reputazione IP, reputazione del dominio, contenuto, comportamento dei destinatari (reclami, apertura, eliminazione), filtri per destinatario, Authentication-Results, email di prova, strumenti di misurazione

Consegnato non è lo stesso di arrivato

Se il Suo server ha trasferito un'email al server del destinatario, e questo ha risposto con 250 OK, allora l'email è stata consegnata. Questo non significa ancora che si trovi nella Posta in arrivo. Il server ricevente può in seguito collocarla nella cartella spam, in una scheda "Promozioni", in quarantena, oppure persino scartarla silenziosamente.

La recapitabilità (in inglese deliverability) riguarda proprio questo secondo passaggio: la Sua email arriva dove dovrebbe? E questa decisione spetta a ogni singolo destinatario. Gmail valuta in modo diverso da Microsoft, e un'azienda con un proprio filtro antispam ancora diversamente. Non esiste un elenco centrale di regole. Le fasi su cui si basa la valutazione sono tuttavia pressoché le stesse ovunque.

Fase 1: pulizia tecnica

Prima che un filtro esamini il contenuto, osserva la connessione:

L'indirizzo IP del server mittente ha un reverse DNS (PTR) corretto, che rimanda allo stesso indirizzo? (Lezione 5.1.)
Il server si presenta correttamente con un nome reale in EHLO?
La connessione è cifrata con TLS?
Il server rispetta le regole di SMTP, e riprova dopo un rifiuto temporaneo?

Per una casella di posta di un'azienda di hosting o di un grande provider di posta, questo è quasi sempre in ordine. Diventa un problema se gestisce Lei stesso un server, come un VPS che invia direttamente, oppure una stampante o una videocamera che invia posta autonomamente.

Fase 2: autenticazione

Questa è la fase su cui Lei, come amministratore del dominio, può incidere maggiormente, ed è l'argomento di questo modulo:

SPF (lezione 4.2): questo server è autorizzato a inviare posta per conto del dominio?
DKIM (lezione 4.3): l'email è firmata, e la firma è corretta?
DMARC (lezione 4.4): il controllo riuscito corrisponde al dominio nell'indirizzo Da (allineamento), e cosa deve fare il destinatario se non è così?

Le basi di questi tre record si trovano nel corso DNS, modulo 4. Qui si tratta della pratica: individuare tutti i servizi che inviano posta per Suo conto, e affinare la policy passo dopo passo.

Se l'autenticazione manca, la valutazione peggiora. Dal 2024 e 2025 presso i grandi provider è anche un requisito vincolante: Gmail, Yahoo e Microsoft richiedono almeno SPF o DKIM da chiunque, e da chi invia in massa SPF, DKIM e DMARC con allineamento. Questo argomento viene trattato in modo approfondito nella lezione 5.3.

Fase 3: reputazione

Un destinatario ricorda cosa ha ricevuto in precedenza da un mittente. In questo osserva:

Reputazione IP: cosa è arrivato in precedenza da questo indirizzo IP? Con hosting condiviso e grandi provider di posta, molti mittenti condividono un IP; un mittente scorretto può così danneggiare tutti gli altri. Un IP nuovo senza storico viene trattato con cautela.
Reputazione del dominio: cosa è arrivato in precedenza da questo dominio (il dominio nell'indirizzo Da e il dominio DKIM)? Questo fattore pesa sempre di più, proprio perché DKIM e DMARC rendono un dominio riconoscibile in modo affidabile. Una buona reputazione del dominio si mantiene anche cambiando server.
Blocklist: elenchi pubblici di indirizzi IP o domini che hanno inviato spam (lezione 5.2).

La reputazione si costruisce lentamente e si perde rapidamente.

Fase 4: contenuto e comportamento

Solo per ultimo un filtro esamina l'email stessa, e il comportamento dei destinatari nei suoi confronti:

Contenuto: link verso domini con una cattiva reputazione, link abbreviati, solo una grande immagine senza testo, allegati con macro, un oggetto che non ha nulla a che vedere con il contenuto, formattazione danneggiata.
Comportamento dei destinatari: presso i grandi provider di posta questo è il fattore che pesa di più. Se molti destinatari fanno clic su "Questo è spam", la Sua reputazione peggiora. Se le Sue email vengono aperte, a cui si risponde o vengono rimosse dalla cartella spam, la reputazione migliora. Gmail richiede che meno dello 0,3% dei destinatari segnali la Sua email come spam, preferibilmente meno dello 0,1%.

L'idea che singole "parole da spam" come gratis o offerta blocchino la Sua email è in gran parte un mito. I filtri moderni valutano l'insieme. Una newsletter con la parola gratis inviata da un mittente con buona autenticazione e buona reputazione arriva senza problemi; un testo corretto proveniente da un server sconosciuto senza SPF, no.

Perché "a me arriva comunque" non dimostra nulla

Invia un'email di prova al Suo stesso indirizzo Gmail e questa finisce nella Posta in arrivo. Quindi va tutto bene? Non necessariamente:

Probabilmente ha già scambiato posta con quell'indirizzo in precedenza. Un filtro si fida maggiormente di un mittente con cui si ha già avuto contatto.
Un destinatario non vale l'altro. Microsoft può rifiutare un'email che Gmail accetta.
Un'email non equivale a mille. Una newsletter inviata a mille indirizzi viene valutata diversamente da un'email singola.

Un'email di prova è comunque utile, ma per leggere le intestazioni (lezione 1.5). Lì è riportato esattamente cosa ha riscontrato il destinatario:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Qui tutti e tre i controlli riescono. Se compare spf=softfail, dkim=none oppure dmarc=fail, saprà in quale fase deve cercare. Così individua il problema invece di procedere per tentativi.

Un approccio in tre passaggi

Controlli il Suo DNS con uno strumento che esamina MX, SPF, DKIM, DMARC e blocklist. Esempi: l'E-mailcheck e la Salute del dominio di WebOké, internet.nl, MXToolbox. Questi mostrano cosa è presente nel DNS, ma non come viene valutata un'email reale.
Invii un'email di prova reale a un indirizzo Gmail e a uno Outlook.com, oppure a un servizio di test come mail-tester, e legga le intestazioni o il rapporto. Così verifica se l'email, nella pratica, supera SPF, DKIM e DMARC.
Osservi reputazione e comportamento se la tecnica è corretta: il Suo IP è presente in una blocklist? Invia newsletter a persone che lo hanno richiesto? Come grande mittente può consultare Google Postmaster Tools e Microsoft SNDS.

Nella pratica: così si presenta in un pannello

Sul sito web di WebOké è disponibile l'E-mailcheck gratuita (www.weboke.it/emailcheck): inserisce un dominio e visualizza un punteggio con MX, SPF, DMARC e il controllo blocklist del primo server di posta, con consigli. In Mio WebOké, Salute del dominio verifica lo stesso per i Suoi domini, con pulsanti di ripristino. Sono due strumenti tra molti; internet.nl e MXToolbox eseguono controlli simili, e ogni fornitore ha la propria versione. Ne utilizzi alcuni in parallelo: nessuno strumento vede tutto.

Riepilogo

Consegnato significa solo che il server ricevente ha accettato l'email; se finisce nella posta in arrivo lo decide il destinatario.
I destinatari valutano in quattro fasi: tecnica, autenticazione, reputazione e contenuto/comportamento.
L'autenticazione (SPF, DKIM, DMARC) è sotto il Suo controllo diretto ed è un requisito vincolante presso i grandi provider.
I reclami dei destinatari pesano più delle singole parole nel Suo testo.
Legga l'intestazione Authentication-Results di un'email di prova per capire dove si trova il problema.

Quiz

Esercizio

Esercizio Z4.1: Sottoporre il Suo dominio al controllo email. Inserisca il Suo dominio (o, se non ne possiede uno, internet.nl). Il programma controlla MX, SPF, i selector DKIM che riesce a individuare, DMARC e il controllo blocklist del primo server di posta. Compili poi Lei stesso: quale terminazione SPF ha il dominio, quale policy DMARC, e se il primo server di posta è presente in una blocklist. Il programma mette a confronto le Sue risposte con il risultato in tempo reale. Spieghi in una sola frase in quale delle quattro fasi il Suo dominio ha il maggiore margine di miglioramento.

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori il funzionamento è analogo.

Cookie su WebOké

Impostazioni cookie

Necessari

Marketing