Perché le tue email finiscono nello spam

Perché un’email finisce nello spam

Un’email finisce nello spam quando il filtro del destinatario, dopo aver valutato chi l’ha spedita, da quale server e con quale contenuto, la giudica poco affidabile. Non esiste un singolo interruttore: Gmail, Outlook.com e gli altri servizi combinano decine di segnali, e il peso di ciascuno non è pubblico. Alcuni segnali però sono requisiti dichiarati, e se mancano la posta viene filtrata o rifiutata a prescindere dal contenuto.

Dal 1° febbraio 2024 Google chiede a chiunque invii posta verso account Gmail personali autenticazione, record PTR validi, TLS e un tasso di spam basso. Secondo le FAQ di Google, da novembre 2025 Gmail applica questi requisiti in modo più severo: i messaggi non conformi possono subire rifiuti temporanei o permanenti. Yahoo ha introdotto requisiti analoghi nello stesso periodo e Microsoft, dal 5 maggio 2025, li chiede a chi invia più di 5.000 email al giorno verso Outlook.com.

Checklist: i 10 controlli da fare, in ordine

Parti dall’alto: i primi controlli riguardano requisiti che, se mancano, bloccano la consegna. Gli ultimi incidono sulla reputazione nel tempo.

1. SPF pubblicato, unico e con tutti i servizi che spediscono per il dominio. Controllalo con la verifica SPF, DKIM e DMARC.
2. DKIM attivo su ogni servizio di invio: casella aziendale, newsletter, gestionale, e-commerce.
3. DMARC pubblicato su _dmarc. del dominio, almeno con p=none e un indirizzo per i report.
4. Allineamento: il dominio nel campo Da: deve coincidere con quello verificato da SPF o da DKIM.
5. Reverse DNS (PTR) dell’IP di invio presente e coerente con il nome del server.
6. Blacklist: l’IP del server non deve comparire nelle DNSBL principali. Usa il controllo blacklist IP.
7. TLS attivo nella trasmissione tra server.
8. Disiscrizione con un clic nei messaggi promozionali e richieste di cancellazione gestite in fretta.
9. Tasso di segnalazioni come spam sotto lo 0,1%, senza mai arrivare allo 0,3%.
10. Liste e contenuti: solo destinatari che hanno chiesto di ricevere i messaggi, link verso domini puliti, rapporto equilibrato tra testo e immagini.

SPF, DKIM e DMARC: gli errori che mandano in spam

SPF, DKIM e DMARC sono i tre record DNS con cui il dominio dichiara chi può spedire a suo nome e firma i messaggi. Come funzionano e quali sono gli errori di sintassi più frequenti lo spiega la pagina della verifica SPF, DKIM e DMARC. Qui contano i casi in cui i record esistono ma la posta finisce comunque nello spam.

• Un servizio dimenticato: il dominio è configurato per la casella aziendale, ma le fatture partono dal gestionale e la newsletter da una piattaforma esterna, non inclusi nell’SPF e senza DKIM. Quei messaggi finiscono nello spam.
• SPF oltre i 10 lookup: ogni nuovo servizio aggiunge un include e a un certo punto l’SPF va in errore permanente per tutti i messaggi.
• DKIM firmato con il dominio del fornitore: il messaggio è firmato, ma con il dominio della piattaforma e non con il tuo, quindi non è allineato. Va attivato il DKIM personalizzato pubblicando i record che il fornitore indica.
• DMARC assente: per chi invia almeno 5.000 messaggi al giorno a Gmail è obbligatorio, e senza DMARC chiunque può usare il tuo dominio per il phishing, danneggiandone la reputazione.

Lo standard DMARC attuale è la RFC 9989 del maggio 2026, che ha sostituito la RFC 7489. Se devi creare o riscrivere i record, il generatore di record SPF, DKIM e DMARC li compone già nel formato corretto.

Coerenza tra From e Return-Path: l’allineamento

Ogni email ha due mittenti. Il Return-Path (o envelope sender) è l’indirizzo tecnico che riceve i messaggi di errore ed è quello che l’SPF controlla. Il campo Da: (From) è l’indirizzo che il destinatario vede. Molte piattaforme di invio usano come Return-Path un proprio dominio, per gestire i rimbalzi: in quel caso l’SPF passa, ma per il dominio del fornitore, non per il tuo.

Il DMARC accetta un messaggio solo se almeno uno dei due controlli è allineato, cioè passa per lo stesso dominio, o un suo sottodominio, che compare nel Da:. Le soluzioni sono due: configurare un Return-Path personalizzato, di solito un sottodominio come bounce.example.com indicato dal fornitore, oppure firmare con DKIM sul tuo dominio. Conviene fare entrambe le cose.

Per controllare un messaggio reale invialo a una casella Gmail e apri “Mostra originale”: Gmail riporta l’esito di SPF, DKIM e DMARC e il dominio con cui ciascuno è passato. Nell’intestazione Authentication-Results di qualsiasi client trovi le stesse informazioni.

Reverse DNS e blacklist: la reputazione dell’IP

Il reverse DNS, o record PTR, associa l’indirizzo IP del server di posta a un nome, per esempio mail.example.com. Google lo chiede a tutti i mittenti, insieme a un record diretto che riporti allo stesso IP. Yahoo aggiunge che il PTR deve essere significativo, non generico, e fare riferimento al tuo dominio: un nome che sembra quello di un IP dinamico domestico è un segnale negativo. Secondo Spamhaus avere un reverse DNS valido è spesso il primo requisito perché la posta venga accettata. Il PTR lo imposta chi gestisce l’IP: il provider della linea o dell’hosting, non il tuo pannello DNS. Puoi leggerlo con il reverse IP lookup.

Le blacklist DNSBL sono elenchi di IP segnalati come fonte di spam, consultati dai server riceventi prima di accettare un messaggio. Se il server compare in Spamhaus SBL o XBL, molti destinatari rifiutano la posta. Le cause più comuni sono un account con password rubata, un modulo di contatto del sito usato per inviare spam o un dispositivo infetto. Come uscirne è spiegato nella pagina del controllo blacklist IP.

Se usi Google Workspace, Microsoft 365 o il servizio di posta del tuo hosting, IP e PTR li gestisce il fornitore. Un problema di blacklist su quegli indirizzi va segnalato a lui.

I requisiti di Gmail, Yahoo e Outlook.com a confronto

Il trattino indica un valore che il provider non specifica nelle pagine citate tra le fonti. Microsoft indica che i messaggi non conformi finiscono prima nella posta indesiderata e possono poi essere rifiutati con l’errore 550 5.7.515. Se ricevi questo codice nei messaggi di mancato recapito, il problema è l’autenticazione del dominio.

Contenuti, liste e disiscrizione

Con l’autenticazione a posto, a decidere sono soprattutto i destinatari. Ogni segnalazione come spam pesa, e Google misura il tasso di segnalazioni in Postmaster Tools: secondo le sue linee guida va tenuto sotto lo 0,10% e non deve raggiungere lo 0,3%. Le pratiche che lo tengono basso sono queste.

• Scrivi solo a chi si è iscritto, meglio con la doppia conferma. Le liste acquistate o vecchie contengono indirizzi abbandonati che alcuni servizi trasformano in trappole per spam.
• Rimuovi subito gli indirizzi che rimbalzano e, periodicamente, chi non apre i messaggi da molto tempo.
• Inserisci nei messaggi promozionali le intestazioni List-Unsubscribe e List-Unsubscribe-Post per la disiscrizione con un clic (RFC 2369 e RFC 8058) e un link visibile nel testo. Chi non trova come cancellarsi preme “Segnala spam”.
• Usa un nome mittente riconoscibile e coerente, e un oggetto che corrisponda al contenuto.
• Evita gli accorciatori di link pubblici e i link verso domini con cattiva reputazione: il filtro valuta anche quelli.
• Non mandare messaggi fatti di una sola immagine, e includi sempre una versione in testo.
• Separa i flussi: transazionali, come fatture e reset password, e promozionali su sottodomini o IP diversi, così un problema della newsletter non blocca le fatture.

Se cambi piattaforma o inizi a inviare da un dominio o un IP nuovo, aumenta i volumi in modo graduale: un picco improvviso da un mittente sconosciuto è uno dei segnali tipici dello spam.