Perché la conferma d’ordine che il cliente aspetta finisce comunque nella cartella spam? Perché Gmail e Yahoo giudicano il dominio mittente in base all’autenticazione e al tasso di segnalazioni. Le email transazionali (conferma d’ordine, reset della password, fattura) partono in automatico dopo un’azione dell’utente e non hanno corsie preferenziali: un dominio non autenticato o un tasso di spam vicino allo 0,30% in Postmaster Tools le espone alla cartella spam. Google chiede di restare sotto lo 0,10%. Questa guida elenca le impostazioni da controllare, con le soglie pubblicate da Google e Yahoo, riviste a ottobre 2026.
Perché un’email attesa finisce nello spam?
Un reset della password passa dagli stessi filtri di una promozione: pesano l’autenticazione del dominio, la storia dell’IP, il volume di segnalazioni e il tasso di rimbalzo. Le cause ricorrenti sono 4. Il dominio non è autenticato. Gli invii marketing e transazionali condividono la stessa reputazione, quindi una campagna mal targettizzata penalizza le conferme d’ordine. I moduli accettano indirizzi falsi o digitati male, e ogni iscrizione sbagliata genera un hard bounce. Infine il volume cambia bruscamente da un giorno all’altro, tipicamente durante il Black Friday.
Le sezioni che seguono rispettano l’ordine in cui si risolvono queste cause. Il contenuto dell’email (oggetto, impaginazione) ha un articolo a parte: le 5 pratiche indispensabili per le email transazionali.
Cosa chiedono Gmail e Yahoo dal 2024
Dal 1° febbraio 2024 ogni mittente verso Gmail deve autenticare il dominio con SPF o DKIM, pubblicare un record PTR valido (DNS inverso), cifrare l’invio in TLS e mantenere il tasso di spam sotto lo 0,3% in Postmaster Tools. Oltre i 5.000 messaggi al giorno verso account Gmail personali, SPF, DKIM e DMARC diventano obbligatori tutti e tre, con un dominio dell’intestazione From allineato al dominio SPF o DKIM. I messaggi devono inoltre rispettare il formato della RFC 5322. La policy DMARC può restare su p=none.
Secondo le FAQ sulle linee guida di Google, i 5.000 messaggi si contano per dominio principale: 2.500 invii da esempio.com e 2.500 da promo.esempio.com fanno insieme 5.000. Google conta tutti i messaggi di uno stesso dominio principale, transazionali compresi. Un sottodominio separato isola la reputazione di ciascun flusso, ma non elimina l’obbligo DMARC.
«Mantieni i tassi di spam indicati in Postmaster Tools sotto lo 0,10% ed evita di raggiungere un tasso di spam dello 0,30% o superiore.» (linee guida di Google per i mittenti)
Yahoo fissa lo stesso limite dello 0,3% da febbraio 2024 e raccomanda con decisione un tag rua nel record DMARC per ricevere i report (Yahoo Sender Hub). Il Complaint Feedback Loop di Yahoo permette di seguire le segnalazioni una volta attivo DKIM.
SPF, DKIM, DMARC: i 3 record DNS da pubblicare
Questi 3 protocolli si pubblicano come record TXT nel DNS e sono normati dalle RFC 7208 (SPF), RFC 6376 (DKIM) e RFC 7489 (DMARC). SPF elenca i server autorizzati a inviare per il tuo dominio. DKIM firma ogni messaggio con una chiave che il destinatario verifica nel DNS. DMARC stabilisce cosa fare quando entrambi falliscono e dove inviare i report.
Dal tuo provider DNS crea un record TXT su _dmarc.tuodominio.it con il valore v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it e un TTL di 3600 secondi. Verifica la pubblicazione con dig TXT _dmarc.tuodominio.it. Lascia girare per 14-28 giorni, leggi i report aggregati, poi passa a quarantine quando tutte le sorgenti legittime risultano valide. Un passaggio diretto a reject blocca senza preavviso uno strumento dimenticato (CRM o fatturazione).
Un’insidia pratica: ogni strumento di invio aggiunge il proprio include all’SPF. La RFC 7208 limita a 10 le risoluzioni DNS di una valutazione, include annidati compresi. Oltre quel limite l’SPF restituisce un errore permanente e il controllo fallisce.
Sottodominio separato, IP dedicato o IP condiviso
Scegli sempre un sottodominio separato. Un IP dedicato conviene solo se gli invii sono regolari. Separa i flussi fin dall’inizio: notifiche.tuodominio.it per i transazionali e news.tuodominio.it per il marketing. Controlla poi il PTR dell’IP con lo strumento Dig di Google Admin Toolbox. Yahoo sconsiglia di inviare il marketing dagli stessi IP del transazionale, perché ogni IP ha la sua reputazione.
| Criterio | Transazionale | Marketing |
|---|---|---|
| Innesco | Azione dell’utente (ordine, iscrizione, password dimenticata) | Decisione del mittente (newsletter, promozione) |
| Dominio di invio consigliato | notifiche.tuodominio.it | news.tuodominio.it |
| Disiscrizione con un clic (RFC 8058) | Esclusa dall’obbligo di Gmail | Richiesta ai mittenti di grandi volumi |
| Conteggio dei 5.000 messaggi Gmail | Per dominio principale | Per dominio principale |
| IP | Dedicato se il volume è regolare, altrimenti pool di IP condiviso di un fornitore affidabile | Separato dall’IP transazionale |
| Conseguenza di un blocco | Clienti senza link di reset né fattura | Campagna persa |
Con poche centinaia di messaggi al giorno e pause nel weekend lo storico di un IP dedicato resta scarso: un pool condiviso e ben gestito da un fornitore di invio serio dà in genere risultati migliori. Evita anche di usare la casella aziendale come mittente applicativo, così come gli indirizzi «noreply» senza monitoraggio. Google chiede inoltre di non falsificare le intestazioni From di Gmail: un invio applicativo con un indirizzo gmail.com viola questa regola.
Scaldare un IP dedicato senza essere limitati
Google chiede di partire da un volume basso verso destinatari coinvolti, di aumentarlo gradualmente senza raddoppiarlo da un giorno all’altro, e di monitorare le risposte del server e il tasso di spam. Gmail rifiuta tipicamente i messaggi con il codice SMTP 4.7.28 quando rileva un tasso insolito di posta non richiesta proveniente dall’IP: riduci il volume invece di rilanciare in loop.
Un consiglio pratico per un flusso transazionale: instrada prima sul nuovo IP le email più attese (conferma d’ordine, link di accesso), poi aggiungi le notifiche secondarie a scaglioni. L’IP warming di un IP dedicato richiede in genere diverse settimane, con soglie giornaliere che Google Postmaster Tools consente di controllare.
Disiscrizione con un clic: i transazionali ne sono esclusi
Google riserva la disiscrizione con un clic ai messaggi di marketing e promozionali, con scadenza al 1° giugno 2024 per i mittenti che già offrivano un link di disiscrizione. Tra i transazionali esclusi cita esplicitamente i reset della password, le conferme di prenotazione e le conferme di moduli. Per le newsletter Google raccomanda di gestire ogni richiesta entro 48 ore. Sul piano tecnico, l’intestazione List-Unsubscribe si implementa secondo la RFC 8058.
Resta una sfumatura: è il destinatario a decidere la natura di un messaggio. Una conferma d’ordine con un banner promozionale può essere percepita come marketing e segnalata come spam.
Cosa conta nell’email stessa
Usa un mittente riconoscibile, con un indirizzo che accetti le risposte (perché bandire gli indirizzi noreply). Scrivi un oggetto che annunci l’evento («Il tuo ordine n. 4821 è confermato»), con un link di tracciamento sul tuo dominio.
Monitorare i segnali che precedono il passaggio allo spam
La reputazione del mittente si degrada raramente tutta insieme. 4 segnali la precedono e vanno rilevati ogni settimana.
Google Postmaster Tools viene per primo: mostra il tasso di spam del tuo dominio lato Gmail. Punta a meno dello 0,10%. Da giugno 2024 un mittente di grandi volumi sopra lo 0,30% non è più idoneo alle misure di mitigazione, che tornano solo dopo 7 giorni consecutivi sotto la soglia (FAQ di Google citate sopra). Un alert interno allo 0,20% lascia un margine.
Poi i rimbalzi. Un hard bounce (indirizzo inesistente) deve portare alla rimozione immediata dell’indirizzo. Un soft bounce (casella piena, server non disponibile) si ritenta alcune volte prima di rinunciare. I report di mancata consegna (NDR) riportano il codice esatto di ogni rifiuto: un codice 5.x.x indica un errore definitivo, un codice 4.x.x un errore temporaneo, secondo lo standard dei codici SMTP estesi. Il 4.7.28 di Gmail, visto prima, rientra nella seconda famiglia. Archivia questi codici per dominio destinatario per individuare quello che ti limita.
Conta anche la presenza in una blacklist. Interroga regolarmente IP e dominio di invio presso le principali blacklist: un blocco si vede spesso lì prima di pesare sulle statistiche.
Restano le spam trap, indirizzi senza utente reale che gli organismi anti-spam sorvegliano per individuare gli invii verso liste mal curate. Si infilano nelle liste vecchie o importate. Il rimedio è l’igiene della lista: rimuovere i contatti inattivi e verificare gli indirizzi prima dell’invio per scartare quelli che rimbalzerebbero. Passa un campione della tua base in una verifica prima del prossimo grande invio: la quota di indirizzi non validi emerge subito.
La checklist tecnica prima della messa in produzione
- SPF pubblicato, una sola riga TXT, al massimo 10 risoluzioni DNS.
- DKIM attivo sul dominio di invio, chiave testata.
- DMARC in p=none con un indirizzo rua, poi irrigidimento dopo la lettura dei report.
- Sottodominio separato per i transazionali, PTR e DNS diretto coerenti.
- IP dedicato solo se il volume è regolare, con un piano di aumento graduale.
- Invio cifrato in TLS dal server o dalla piattaforma.
- Nessun contenuto promozionale nelle email puramente transazionali, che sfuggono all’obbligo di disiscrizione con un clic.
- Tasso di spam sotto lo 0,10% in Postmaster Tools, con un alert interno allo 0,20% (consiglio pratico).
- Hard bounce eliminati alla prima occorrenza.
- Controllo settimanale delle blacklist e dei ritorni di mancata consegna.
- Indirizzi verificati all’importazione di una lista e pulizia degli inattivi.
- Test di un invio reale con seed testing o con Mail-tester prima di ogni cambio di strumento di invio.
Domande frequenti
Il mio volume verso Gmail è basso: sono coinvolto?
Sì, per i requisiti di base. Sotto i 5.000 messaggi al giorno il DMARC non è obbligatorio; restano gli altri requisiti: autenticazione SPF o DKIM, TLS, PTR e tasso di spam sotto lo 0,3%. La soglia dello 0,10% vale per tutti.
Quanto tempo serve per recuperare una reputazione degradata?
Google indica che i miglioramenti del tasso di spam richiedono tempo per riflettersi nel posizionamento. Calcola diverse settimane, a titolo di stima. Un mittente di grandi volumi torna idoneo alle misure di mitigazione dopo 7 giorni consecutivi sotto lo 0,3% (regola in vigore da giugno 2024).
Un punteggio Mail-tester di 10/10 garantisce l’inbox?
No. Mail-tester valuta un messaggio su 10: questo test puntuale controlla l’autenticazione e il contenuto di un solo invio, con un passaggio dell’IP sulle blacklist. Non dice nulla sullo storico di invio né sul comportamento dei destinatari su Gmail. Affiancalo al monitoraggio in Postmaster Tools.
Posso inviare i transazionali da una casella Gmail?
Non è adatto. Una casella di posta non ha un’API di invio e non restituisce i rimbalzi in modo utilizzabile. Passa da una piattaforma di invio che firma in DKIM sul tuo dominio.
Come verificare la tua configurazione in due minuti?
Per controllare la tua configurazione, invia un messaggio di prova a un indirizzo Gmail, apri il menu «Mostra originale» e verifica che SPF, DKIM e DMARC risultino PASS. La guida alla deliverability delle email amplia questa checklist sull’inbox placement.
