Le mail finiscono nello spam: le cause e come risolverle

In breve

La causa non sta quasi mai nel contenuto, ma nell'autenticazione: il server ricevente non può verificare se la mail proviene davvero dal vostro dominio.
Tre record nel DNS risolvono il problema: SPF dice chi può inviare, DKIM firma il messaggio, DMARC stabilisce che cosa succede in caso di discordanza.
L'ordine conta. Attivare DMARC in modo restrittivo prima che SPF e DKIM funzionino in modo pulito blocca le vostre stesse mail.
Dopo la configurazione servono da due a quattro settimane di osservazione prima di poter parlare di problema risolto.

La domanda arriva in quasi ogni progetto: perché le nostre e-mail finiscono nella cartella spam? L'ipotesi più frequente — testo troppo pubblicitario, troppi link, la parola «gratis» — è vera solo di rado. I filtri antispam moderni valutano prima di tutto un'altra cosa: se il messaggio è autentico.

Il protocollo della posta elettronica nasce infatti in un'epoca in cui nessuno prevedeva abusi. Allo stato originario qualsiasi computer al mondo può spedire una mail che porta come mittente il vostro dominio. I tre record di cui si parla qui chiudono esattamente questa falla.

Forme luminose attraversano tre soglie di controllo trasparenti, alcune vengono deviate — Tre controlli prima che una mail arrivi in casella. Se uno non passa, il destinatario decide in base al sospetto.

I tre record e che cosa fanno

SPF, DKIM e DMARC in una frase ciascuno

SPF – chi può inviare: Un record nel DNS che elenca quali server possono spedire a nome del vostro dominio. Il destinatario consulta l'elenco: la mail è arrivata da uno di questi server?
DKIM – è stata modificata lungo il percorso: Il server mittente firma il messaggio in modo crittografico. La chiave pubblica corrispondente sta nel DNS. Il destinatario verifica la firma.
DMARC – che cosa succede in caso di discordanza: La vostra istruzione al destinatario: non fare nulla, spostare nello spam o rifiutare. In più il destinatario invia rapporti su ciò che ha visto.

Lo sapevi?

SPF e DKIM da soli non bastano. Ciascuno verifica solo una parte, ed entrambi possono risultare superati mentre l'indirizzo del mittente visibile al destinatario è comunque falsificato.

Solo DMARC collega le verifiche all'indirizzo che compare nella casella. Per questo è il record che produce l'effetto vero, e per questo è anche quello che si attiva per ultimo.

L'ordine giusto

Tre forme geometriche ruotano fino ad allinearsi, un raggio di luce le attraversa — Solo quando tutte e tre sono allineate il controllo passa in modo pulito. Prima ci si blocca da soli.

Attenzione L'errore più frequente è impostare DMARC direttamente sul rifiuto. Se poi spedisce un servizio non ancora presente in SPF — il software di contabilità, il portale delle candidature, il sistema di ticket — le sue mail spariscono senza sostituzione. E senza alcun messaggio di errore al mittente.

Inventario. Chi spedisce a vostro nome? Di solito più di quanto si pensi: il fornitore di posta, lo strumento per la newsletter, il CRM, il server web per le conferme dei moduli, la contabilità. Ognuno deve comparire in SPF.
Impostare SPF. Un unico record per dominio che elenca tutti i mittenti autorizzati. Più record SPF sono un errore e fanno sì che il controllo non venga nemmeno eseguito.
Configurare DKIM. Attivarlo presso ciascun servizio di invio e inserire nel DNS la chiave fornita. Ogni servizio riceve la propria.
Avviare DMARC in modalità di osservazione. Prima con l'istruzione «non fare nulla» e un indirizzo per i rapporti. Lasciarlo attivo da due a quattro settimane.
Analizzare i rapporti. Mostrano quali mittenti non superano il controllo. Se uno manca in SPF o DKIM, aggiungerlo ora.
Solo dopo, irrigidire. Da «non fare nulla» a «nello spam» e poi a «rifiuta». Tra un passaggio e l'altro, due settimane di osservazione.

Come si verifica lo stato attuale

Prima di ogni modifica bisogna sapere che cosa vale adesso. Due strade, entrambe senza software aggiuntivo:

Tramite una mail ricevuta. Aprite una mail proveniente dal vostro dominio in una casella qualsiasi e fatevi mostrare le intestazioni complete. Lì, in una riga chiamata Authentication-Results, è scritto se SPF, DKIM e DMARC sono stati superati. Tre volte «pass» significa: la parte tecnica è a posto.

Tramite un'interrogazione DNS. Su qualsiasi computer con riga di comando si possono interrogare i record direttamente. Così si vede che cosa è effettivamente pubblicato, non che cosa dovrebbe esserci secondo il pannello di amministrazione.

Comandi di verifica

# Guardare SPF
nslookup -type=TXT vostro-dominio.it

# Guardare DMARC
nslookup -type=TXT _dmarc.vostro-dominio.it

# Guardare DKIM (selettore per servizio, qui esempio "standard")
nslookup -type=TXT standard._domainkey.vostro-dominio.it

Se per DMARC non torna nulla, il record non esiste. È il riscontro più frequente, ed è anche il più facile da rimediare.

Quando la tecnica è a posto e non funziona lo stesso

Se l'autenticazione è pulita e la consegna resta scadente, entrano in gioco altre quattro cause.

Dominio nuovo senza storico di invii

Un dominio che non ha mai spedito è considerato sconosciuto. Chi il primo giorno invia diecimila mail viene frenato, e a ragione.

Che cosa aiuta: aumentare il volume nell'arco di due-quattro settimane, cominciando dai destinatari più attivi.

Si riconosce da: consegna scadente solo nei grandi invii

Indirizzi vecchi e inattivi in lista

I destinatari che da un anno non aprono nulla sono un segnale negativo. Alcuni indirizzi dismessi vengono addirittura riutilizzati dai fornitori come trappole.

Che cosa aiuta: chi da dodici mesi non apre nulla riceve un'ultima mail e poi viene rimosso.

Si riconosce da: tasso di apertura in calo nell'arco di mesi

Invio da un indirizzo condiviso

Nei servizi di invio economici molti clienti condividono gli stessi server di spedizione. La reputazione di quei server dipende allora anche dal comportamento degli altri.

Che cosa aiuta: da qualche decina di migliaia di mail al mese, un indirizzo di invio dedicato; al di sotto raramente conviene.

Si riconosce da: cali improvvisi senza modifiche proprie

Manca la disiscrizione nelle intestazioni

I grandi fornitori si aspettano, negli invii di massa, una disiscrizione che funzioni con un clic e sia registrata tecnicamente nelle intestazioni, non solo come link nel piè di pagina.

Che cosa aiuta: attivarla nello strumento di invio; quasi tutti la supportano, ma non tutti in modo predefinito.

Si riconosce da: problemi specifici con i grandi provider di posta gratuita

Dalla pratica

Configurando il nostro invio abbiamo rispettato l'ordine e abbiamo comunque commesso un errore: all'inizio il server non riusciva a scrivere il proprio registro degli invii, perché i permessi sui file non lo consentivano. Spedivamo quindi con successo, solo senza alcuna prova.

Ce ne siamo accorti solo quando abbiamo voluto verificare a quale indirizzo fosse davvero andata una mail di prova. La lezione: il registro non è un accessorio. Senza di esso, nel dubbio, non si può documentare che cosa è successo, ed è esattamente ciò che conta quando un cliente dice di non aver ricevuto nulla.

Suggerimento Predisponete per gli invii un sottodominio dedicato, per esempio mail.vostro-dominio.it. Così la reputazione degli invii di marketing resta separata da quella della normale corrispondenza aziendale. Se qualcosa va storto in una spedizione, non ne risente subito tutta la comunicazione dell'azienda.

Conclusione

La recapitabilità non è un problema di testo ma di prova. Chi imposta i tre record nell'ordine giusto risolve così la grande maggioranza dei casi, e in modo duraturo, perché si tratta di una configurazione una tantum.

L'impegno è di poche ore, distribuite su quattro-sei settimane, perché le fasi di osservazione ne fanno parte. Chi le salta e attiva subito la modalità restrittiva risparmia le settimane e in cambio rischia che mail importanti spariscano in silenzio.

Domande frequenti

Perché le mie e-mail finiscono nella cartella spam?

Nella grande maggioranza dei casi perché il server ricevente non può verificare se il messaggio proviene davvero dal vostro dominio. Per questo servono tre record DNS: SPF, DKIM e DMARC. Il contenuto è responsabile molto meno spesso di quanto si creda.

Che cosa sono SPF, DKIM e DMARC?

SPF elenca quali server possono spedire a vostro nome. DKIM firma ogni messaggio in modo crittografico, perché le modifiche si notino. DMARC collega entrambi i controlli all'indirizzo del mittente visibile e stabilisce che cosa deve fare il destinatario in caso di discordanza.

In quale ordine si configurano?

Prima SPF, poi DKIM, poi DMARC in modalità di osservazione. Dopo due-quattro settimane si analizzano i rapporti, si aggiungono i mittenti mancanti e solo allora si irrigidisce DMARC per gradi. Chi attiva per primo DMARC in modo restrittivo blocca le proprie mail.

Come verifico se i record sono corretti?

Il modo più rapido è guardare le intestazioni complete di una mail ricevuta: nella riga Authentication-Results deve comparire «pass» per SPF, DKIM e DMARC. In aggiunta si possono consultare i record direttamente con un'interrogazione DNS.

Quanto tempo serve perché una modifica faccia effetto?

Le modifiche DNS sono visibili, a seconda delle impostazioni, dopo pochi minuti fino a 24 ore. La reputazione di un dominio migliora più lentamente: mettete in conto due-quattro settimane prima che il tasso di consegna si muova in modo misurabile.

Serve un sottodominio dedicato per gli invii?

Non è obbligatorio, ma è sensato. Separa la reputazione degli invii di marketing da quella della normale corrispondenza aziendale. Se qualcosa va storto in una spedizione, non ne risente l'intera comunicazione dell'azienda.