Dal 1° febbraio 2024, chi invia più di 5.000 messaggi al giorno a Gmail senza SPF, DKIM e DMARC rischia di vedere le sue email finire in spam o rifiutate con l’errore 5.7.26 (documentazione Google). Nello strumento di invio compare «OK», eppure la campagna arriva nella cartella indesiderata.
La deliverability è la quota di email accettate da un server che raggiunge davvero la casella di posta principale invece della cartella spam. Dipende dall’autenticazione del dominio e dalla reputazione del mittente. In questo glossario ogni termine ha una definizione breve, poi il valore da tenere d’occhio, quando esiste, e il posto dove leggerlo.
Consegna e deliverability: due misure distinte
La consegna (delivery) è l’accettazione del messaggio da parte del server del destinatario. Il suo indicatore è il tasso di consegna: email inviate meno rimbalzi, diviso email inviate. Solo dopo entra in gioco la deliverability, quando il provider mette il messaggio nella posta principale o nella cartella spam. Un buon tasso di consegna è compatibile con un finale in spam.
Il tasso di consegna si legge nello strumento di invio. Il posizionamento si legge in Postmaster Tools (postmaster.google.com) per Gmail, oppure con un test di deliverability.
Chi interviene nell’invio: ESP, ISP, IP e dominio
Un ESP (Email Service Provider) è la piattaforma che spedisce le tue campagne, per esempio Brevo, Mailchimp, SendGrid o Klaviyo. Dal lato del destinatario, a decidere la sorte del messaggio è il provider di posta (Gmail, Outlook.com, Yahoo Mail). L’ISP (Internet Service Provider) è l’operatore che dà accesso alla rete: Orange, Free o SFR.
L’indirizzo IP è quello del server che emette il messaggio. Un IP dedicato appartiene a un solo mittente: la sua reputazione dipende solo dai suoi invii, ma va scaldato. Un IP condiviso è usato da più clienti dell’ESP: l’attività di ogni mittente pesa sulla reputazione di tutti, e una cattiva reputazione condivisa può causare l’errore 550 5.7.1. La pagina Sender Hub di Yahoo consiglia di non inviare il marketing dagli IP che portano le email transazionali. Google e Yahoo chiedono anche un record DNS inverso (PTR) valido per gli IP di invio.
Il dominio è il nome del sito (captainverify.com) e il sottodominio ne dipende (blog.captainverify.com). Riservare un sottodominio all’invio marketing permette di seguirlo a parte in Postmaster Tools, dove ogni sottodominio si aggiunge separatamente.
Reputazione del mittente: dove leggerla
La reputazione del mittente è il credito che un provider assegna al tuo IP e al tuo dominio. Ogni provider la calcola con i propri dati. Gmail, Yahoo e Outlook.com pubblicano ciascuno il proprio strumento.
| Strumento | Casella interessata | Cosa misura | Riferimento |
|---|---|---|---|
| Google Postmaster Tools | Gmail personale (@gmail.com, @googlemail.com) | tasso di spam, reputazione, autenticazione, errori di consegna | tasso di spam sotto lo 0,10% e mai 0,30% o più |
| Complaint Feedback Loop | Yahoo | copie dei reclami degli iscritti | tasso di reclami sotto lo 0,3% |
| SNDS (Smart Network Data Services) | Outlook.com | dati per indirizzo IP | da leggere nell’interfaccia Microsoft |
| Sender Score | indipendente dalle caselle | punteggio da 0 a 100 per IP o dominio | soglie d’uso: 90 e 80 |
Gestito da Validity e valutato da 0 a 100, il Sender Score è un riferimento esterno. Le soglie di 80 e 90 su 100 vengono dalla pratica del settore, non da una scala ufficiale. Per Gmail il riferimento pubblicato è il tasso di spam di Postmaster Tools.
Autenticazione: SPF, DKIM, DMARC, allineamento e BIMI
Questi protocolli si pubblicano come record DNS di tipo TXT presso chi ospita il dominio. Il loro esito compare nell’intestazione Authentication-Results di ogni messaggio ricevuto. In Gmail, il menu con i tre puntini del messaggio e poi «Mostra originale» mostrano le righe spf=pass, dkim=pass e dmarc=pass.
SPF
L’SPF (Sender Policy Framework) elenca in un record TXT i server autorizzati a inviare per il tuo dominio, con un limite di 10 richieste DNS per controllo (RFC 7208, aprile 2014). Un record tipico per Google Workspace si scrive v=spf1 include:_spf.google.com ~all. Il record deve includere tutti i mittenti: i messaggi di quelli che mancano rischiano di più di finire in spam.
DKIM
Il DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica nell’intestazione. Il destinatario la verifica con la chiave pubblica pubblicata nel DNS. Per scrivere ad account Gmail personali, Google richiede una chiave DKIM di almeno 1.024 bit e consiglia 2.048 bit quando il provider del dominio lo permette.
DMARC
Il DMARC dice al server ricevente cosa fare di un messaggio che non supera i controlli SPF o DKIM: p=none (osservare), p=quarantine (spam) o p=reject (rifiutare). Su questo punto il requisito minimo è lo stesso per Google, Yahoo e Microsoft: una policy impostata su p=none è accettata. Il record si pubblica su _dmarc.tuodominio.it, per esempio v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it. L’opzione rua invia report aggregati. Yahoo e Google consigliano di attivarla per vedere chi invia a nome tuo.
Allineamento
L’allineamento collega l’autenticazione all’indirizzo visibile: il dominio del campo From deve coincidere con il dominio convalidato dall’SPF (Return-Path) o con quello che firma il DKIM (d=). Yahoo accetta l’allineamento «relaxed» (flessibile). Un SPF in verde sul dominio dell’ESP non basta se il From mostra un altro dominio e anche il DKIM non è allineato: il DMARC fallisce, una trappola classica quando i test singoli mostrano «pass».
BIMI
Il BIMI (Brand Indicators for Message Identification) mostra il logo del marchio accanto al messaggio nelle caselle compatibili.
Requisiti di Gmail, Yahoo e Microsoft per gli invii in volume
La soglia di 5.000 email al giorno compare per Gmail e per Outlook.com; Yahoo non fissa una soglia numerica. La tabella confronta i requisiti dei tre provider.
| Criterio | Gmail | Yahoo | Outlook.com |
|---|---|---|---|
| Applicazione | 1° febbraio 2024 | febbraio 2024, introduzione graduale | 5 maggio 2025 |
| Volume interessato | tutti i mittenti (SPF o DKIM); regole complete oltre 5.000 email al giorno | nessuna soglia numerica | più di 5.000 email al giorno |
| Autenticazione | SPF, DKIM e DMARC oltre 5.000 al giorno | SPF e DKIM | SPF e DKIM devono passare |
| DMARC | pubblicato, «none» accettato, allineamento SPF o DKIM | almeno p=none, deve passare | almeno p=none, allineato su SPF o DKIM |
| Annullamento dell’iscrizione | un clic oltre 5.000 al giorno | intestazione List-Unsubscribe in un clic, richiesta gestita entro 2 giorni | link funzionante consigliato |
I dettagli si trovano nelle linee guida di Google per i mittenti, nella pagina Sender Hub di Yahoo e nel post Microsoft del 2 aprile 2025, aggiornato il 30 aprile. Per le sanzioni, Google cita l’errore 5.7.26 per un messaggio non autenticato. Microsoft annuncia che i messaggi non conformi andranno prima nella cartella indesiderata, poi saranno rifiutati con il codice 550 5.7.515; il post non fissa una data per il rifiuto.
Disiscrizione in un clic
La disiscrizione in un clic si basa su due intestazioni: List-Unsubscribe con un indirizzo HTTPS e List-Unsubscribe-Post con il valore List-Unsubscribe=One-Click, descritte nella RFC 8058, gennaio 2017. Il provider invia allora una richiesta POST a quell’indirizzo. Google e Yahoo chiedono in più un link di disiscrizione visibile nel corpo dell’email. Per Yahoo la richiesta va gestita entro 2 giorni, intestazione List-Unsubscribe compresa.
Warm-up: aumentare i volumi senza rovinare l’IP
Il warm-up (o riscaldamento) consiste nell’aumentare gradualmente il volume di invio di un nuovo IP o di un nuovo dominio, così che i provider costruiscano uno storico a partire da messaggi ben accolti. Google consiglia di iniziare con un volume basso e di seguire, durante la crescita, le risposte del server, il tasso di spam e la reputazione del dominio di invio. Postmaster Tools non mostra nulla finché il dominio di invio non è aggiunto e convalidato con un record TXT o CNAME nel DNS. Se i rimbalzi persistono a basso volume, Google consiglia di esaminare i messaggi uno a uno. Non esiste uno scaglione universale: più il volume è alto, più lenta deve essere la crescita.
Monitoraggio dei risultati e pulizia della lista
Rimbalzi e tasso di rimbalzo
Il rimbalzo è un messaggio che non arriva a destinazione. L’hard bounce (rimbalzo duro, codice SMTP 5xx) è un rifiuto permanente: indirizzo inesistente (550 5.1.1, RFC 3463, gennaio 2003) o dominio sconosciuto. Il soft bounce (rimbalzo morbido, codice 4xx) è un errore temporaneo, come una casella piena (452 4.2.2) o un server non disponibile, che il router in genere ritenta dopo almeno 30 minuti e abbandona dopo 4 o 5 giorni (RFC 5321, ottobre 2008). Il tasso di rimbalzo si calcola dividendo i rimbalzi per le email inviate. La nostra regola di rimozione: eliminare l’indirizzo al primo hard bounce e al terzo soft bounce consecutivo, su tre invii distanziati di almeno 14 giorni (una scelta editoriale, nessuno standard la fissa). Ogni ESP stabilisce la propria soglia di sospensione: la console di Amazon SES, per esempio, mostra il tasso di hard bounce e il tasso di reclami, poi porta l’account allo stato «Under review» quando uno dei due supera il massimo.
Reclamo per spam
Il reclamo per spam avviene quando un destinatario clicca su «segnala come spam». Punta a restare sotto lo 0,10% con Gmail e non lasciare mai che il tasso raggiunga lo 0,30%. Anche Yahoo fissa il suo tetto allo 0,3% di tasso di spam.
Trappola per spam
La trappola per spam è un indirizzo che non appartiene a nessun iscritto reale e che provider e organizzazioni anti-spam usano per individuare le liste curate male. Non compare come tale nelle statistiche di uno strumento di invio: la si intuisce dagli effetti sulla reputazione.
Blacklist e whitelist
La blacklist raccoglie gli IP e i domini ritenuti fonti di spam. La whitelist fa il contrario: il destinatario ti ha aggiunto ai suoi contatti attendibili.
Pulizia della lista e verifica degli indirizzi
La pulizia della lista riunisce i gesti che mantengono sana una base di indirizzi: togliere gli hard bounce, verificare i nuovi indirizzi, scartare gli inattivi. L’indirizzo di ogni destinatario va confermato prima dell’iscrizione. Yahoo chiede di eliminare in fretta i destinatari non validi. Uno strumento di verifica degli indirizzi come CaptainVerify controlla la validità degli indirizzi prima dell’invio; in genere esamina la sintassi, il dominio e poi la casella stessa. Il vantaggio riguarda la reputazione: filtrare dopo l’invio significa aver già pagato l’hard bounce. La verifica non dice nulla sul consenso né sul coinvolgimento e non elimina tutte le trappole per spam.
Test di deliverability
Un test di deliverability invia lo stesso messaggio a indirizzi di controllo (seed list) aperti presso più provider, poi rileva il posizionamento: posta principale o spam. Strumenti come GlockApps o Mail-Tester verificano anche l’autenticazione. Il risultato resta una stima su poche caselle, mentre Postmaster Tools riflette il traffico reale verso Gmail. Gli errori di deliverability più comuni che un test porta alla luce sono descritti in un articolo dedicato.
Coinvolgimento, consenso e GDPR
Il doppio opt-in chiede al nuovo iscritto di confermare il suo indirizzo con un clic in un’email di conferma, mentre il semplice opt-in si ferma all’iscrizione. Yahoo lo consiglia: la lista contiene così meno indirizzi falsi e meno bot. Il feedback loop (ciclo di retroazione) rimanda i reclami al mittente perché tolga gli iscritti interessati. Il TINS («This Is Not Spam») è il gesto del destinatario che sposta un messaggio fuori dalla cartella spam.
Il GDPR fissa il quadro legale. In Francia, per la prospezione commerciale via email la CNIL esige, nel caso generale, un consenso preventivo e inequivocabile, per esempio una casella dedicata e non preselezionata. L’accettazione delle condizioni generali non basta. Esiste un’eccezione per un cliente a cui si propongono prodotti o servizi analoghi al suo acquisto; esclude il semplice account creato senza acquisto (pagina CNIL del 10 giugno 2026). Le regole nazionali variano da un paese all’altro.
Prima della prossima campagna, fai passare un campione della lista in una verifica degli indirizzi: il tasso di hard bounce ottenuto dice se il resto della base merita lo stesso trattamento. Apri anche le intestazioni dell’ultima email ricevuta e cerca i tre esiti in pass sul dominio indicato nel From. Questo glossario fissa il vocabolario. La guida completa alla deliverability email riprende ogni leva.
