Per molti anni autenticare la posta è stata una buona pratica raccomandata ma facoltativa. Dal febbraio 2024 Google e Yahoo hanno trasformato una parte di quelle raccomandazioni in requisiti: chi non li rispetta vede i propri messaggi rifiutati o spostati nello spam con molta più facilità. Le regole si dividono in due livelli, uno valido per tutti i mittenti e uno più severo per chi invia grandi volumi.
Chi è un «mittente massivo»
Google definisce mittente massivo chi invia circa 5.000 o più messaggi in un giorno verso account Gmail personali. Il conteggio riguarda il dominio del From, sottodomini inclusi, e non distingue tra messaggi promozionali e transazionali. Una volta superata la soglia, il dominio viene considerato massivo in modo stabile, anche se nei giorni successivi i volumi scendono.
Yahoo non ha indicato una soglia numerica precisa, ma applica regole sostanzialmente analoghe. Anche Microsoft ha poi annunciato requisiti simili per i propri servizi di posta consumer. Il risultato pratico è che le stesse regole valgono ormai per la maggior parte delle caselle dei destinatari.
I requisiti per tutti i mittenti
Anche chi invia poche email al giorno deve rispettare alcune regole di base:
- autenticare i messaggi con SPF oppure DKIM;
- avere un record PTR (DNS inverso) valido per gli indirizzi IP di invio, coerente con il nome del server;
- usare una connessione TLS per la trasmissione;
- mantenere un tasso di segnalazioni spam basso;
- rispettare il formato standard dei messaggi, senza intestazioni malformate o From ambigui.
I requisiti aggiuntivi per i mittenti massivi
SPF e DKIM, entrambi
Non basta più uno dei due: servono SPF e DKIM configurati per il dominio di invio.
DMARC pubblicato e allineato
Il dominio deve pubblicare un record DMARC. La policy minima accettata è p=none, quindi il requisito è soprattutto la presenza del record. Inoltre il dominio del From deve essere allineato con SPF o con DKIM: non è più accettabile inviare con il proprio dominio nel From appoggiandosi a firme e Return-Path del fornitore.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
Disiscrizione con un clic
I messaggi commerciali e promozionali devono supportare la disiscrizione con un clic secondo lo standard RFC 8058, cioè con le intestazioni List-Unsubscribe e List-Unsubscribe-Post, oltre a un link di disiscrizione ben visibile nel corpo. Le richieste vanno elaborate entro due giorni. I messaggi transazionali, come le conferme d'ordine o il recupero password, non sono soggetti a questo obbligo.
Tasso di spam sotto controllo
Google chiede di mantenere il tasso di segnalazioni spam, misurato in Postmaster Tools, sotto lo 0,3%, e raccomanda di restare sotto lo 0,1%. Il tasso è il rapporto tra i messaggi segnalati come spam dagli utenti e quelli consegnati in casella. Superare stabilmente la soglia riduce la consegna e limita la possibilità di ricevere assistenza in caso di problemi.
Cosa significa in pratica
| Requisito | Dove si verifica |
|---|---|
| SPF e DKIM | intestazione Authentication-Results di un messaggio di prova |
| DMARC e allineamento | record _dmarc e campo dmarc=pass nelle intestazioni |
| PTR | dig -x sull'IP di invio |
| TLS | intestazioni Received con indicazione del protocollo |
| One-click | intestazioni del messaggio e prova di disiscrizione |
| Tasso di spam | Gmail Postmaster Tools |
Chi usa una piattaforma di invio professionale trova la maggior parte di questi requisiti già soddisfatta, a una condizione: aver completato la configurazione del dominio proprio, con DKIM personalizzato e, possibilmente, un dominio di bounce. Molti account lasciati con le impostazioni predefinite inviano con firme del fornitore e non sono allineati.
Gli errori più comuni dopo l'introduzione delle regole
- Contare solo i messaggi di marketing: le notifiche dell'applicazione e le fatture usano spesso lo stesso dominio e contribuiscono al volume.
- Dimenticare un servizio secondario: il gestionale che invia i solleciti di pagamento senza DKIM è sufficiente a far fallire l'allineamento per quella parte di posta.
- Link di disiscrizione che rimanda a una pagina di accesso: non è una disiscrizione con un clic.
- Ignorare il tasso di spam perché la piattaforma mostra buoni tassi di apertura: sono metriche diverse.
Nel mio lavoro, la verifica di conformità parte sempre da un messaggio reale per ciascun flusso, letto nelle intestazioni complete, non dalle schermate dei pannelli di configurazione.
In sintesi
- Dal 2024 Gmail e Yahoo applicano requisiti obbligatori, più severi per chi invia circa 5.000 o più messaggi al giorno verso Gmail.
- Tutti i mittenti devono avere SPF o DKIM, PTR valido, TLS e un basso tasso di spam.
- I mittenti massivi devono avere SPF e DKIM, DMARC pubblicato e From allineato.
- I messaggi promozionali devono supportare la disiscrizione con un clic secondo RFC 8058.
- Il tasso di segnalazioni spam va tenuto sotto lo 0,3%, idealmente sotto lo 0,1%.
