Perché le email finiscono in spam: le 4 cause in ufficio e cosa fare

Quando le email finiscono in spam, in ufficio la causa è quasi sempre una di quattro: il dominio non dichiara chi può spedire a suo nome (SPF, DKIM e DMARC), l'indirizzo è in una lista nera, un account violato manda spam, oppure si usa la casella normale per invii di massa. Si controlla tutto in pochi minuti, gratis.

In breve

• Gmail, Yahoo e Outlook.com verificano che la mail venga davvero dal tuo dominio: senza SPF o DKIM finisci nello spam o vieni respinto.
• Se la mail torna indietro, il codice dice la causa: 550 5.7.515 è l'autenticazione del dominio, 550 5.1.8 una casella bloccata in uscita, spesso perché violata.
• Per correggere serve l'accesso al DNS del dominio: verifica chi ce l'ha.

Perché le email finiscono in spam: SPF, DKIM e DMARC

Le email finiscono in spam quando il server che le riceve non riesce a capire se vengono davvero da te. Il cliente dice "non mi è arrivata", la fattura sta nel suo Spam, o la mail torna indietro con un errore. Chiunque può scrivere "Da: amministrazione@tuostudio.it", quindi Gmail e Outlook guardano tre etichette pubblicate nel DNS (l'elenco di istruzioni del dominio). La documentazione di Microsoft le descrive così:

• SPF: l'elenco dei server autorizzati a spedire per il tuo dominio. La lista degli invitati.
• DKIM: una firma digitale che prova che nessuno ha modificato il messaggio per strada. Il timbro sulla busta.
• DMARC: dice al destinatario cosa fare con le mail che non superano i primi due.

Un esempio costruito, non un caso reale. Prendiamo uno studio di 12 persone con il dominio registrato anni fa dal tecnico di allora, senza SPF né DKIM. Per anni le mail arrivano, poi Gmail diventa più severo e finiscono nello spam: il programma di posta è lo stesso, sono cambiate le regole.

Cosa chiedono Gmail, Yahoo e Outlook a chi spedisce

Gmail, Yahoo e Outlook.com hanno messo per iscritto cosa pretendono da chi spedisce ai loro indirizzi.

Secondo le domande frequenti di Google, le mail non conformi possono essere rifiutate o finire nello Spam. Per Outlook.com la pagina di supporto di Microsoft conferma che i domini da 5.000 mail in su senza questi requisiti vengono respinti con l'errore 550 5.7.515.

"Siamo piccoli": vero, un ufficio di 20 persone raramente arriva a 5.000 mail al giorno. Ma il requisito di base vale per tutti, e senza DMARC chiunque può spedire truffe con il tuo nome.

Il tuo indirizzo è finito in una blacklist?

Una blacklist (lista di blocco) è un elenco di indirizzi IP e domini segnalati per spam, che molti server consultano prima di accettare una mail. Ci si finisce quando da lì è partito spam, anche a tua insaputa. Tre controlli gratuiti:

• il Reputation Checker di Spamhaus;
• il portale di Microsoft per la rimozione degli IP, se il blocco viene da Outlook o Microsoft 365;
• Postmaster Tools di Google, con tasso di spam e reputazione verso Gmail.

Chiedere la rimozione ha senso solo dopo aver tolto la causa, altrimenti si rientra.

Account email bloccato per spam: cosa fare subito

Un account violato è la causa più urgente. In Microsoft 365, se una casella supera i limiti di invio viene bloccata in uscita: riceve ma non spedisce, con l'errore 550 5.1.8. Per Microsoft è un indicatore di account compromesso.

1. Subito: cambia la password da un altro dispositivo e chiudi le sessioni aperte.
2. Nella prima ora: controlla le regole di inoltro e la Posta inviata, come indica la procedura di Microsoft.
3. Prima di sbloccare: attiva la verifica in due passaggi. Poi l'amministratore toglie il blocco, che di solito cade entro un'ora.
4. In giornata: avvisa i contatti.

Mandi circolari e auguri dalla casella di tutti i giorni?

Mandare gli auguri a 800 clienti da Outlook è l'altra causa frequente. Microsoft 365 ha limiti di invio di 10.000 destinatari al giorno e 30 messaggi al minuto per casella, e per le newsletter consiglia servizi specializzati. Anche sotto i limiti, ogni segnalazione di spam pesa sulla reputazione del dominio, e ne soffrono fatture e preventivi.

Come controllare se le tue email passano i controlli

Il primo controllo richiede cinque minuti, senza tecnico. Manda una mail a un indirizzo Gmail, aprila e scegli Mostra originale (istruzioni di Google): nella riga Authentication-Results, accanto a spf, dkim e dmarc, dovresti leggere "pass". Il Check MX di Google controlla i record del dominio. Se ti hanno detto che è tutto a posto, questa è la prova che vedi da solo.

Se qualcosa non torna, si corregge nel DNS. La domanda vera è: a nome di chi è il dominio, e chi ha la password del pannello? Spesso il tecnico di dieci anni fa, o l'agenzia del sito.

Fai da te o tecnico a chiamata: chi ricontrolla dopo?

Con l'accesso al DNS, i record li aggiungi anche da solo; il tecnico a chiamata lo fa in poco tempo. Il limite è che nessuno ricontrolla quando cambiano le regole o una casella viene violata. E nessuno può garantire che ogni mail arrivi: decide anche chi riceve.

Noi di Odryon seguiamo la posta di uffici e studi di Roma e del Lazio senza un tecnico interno, come gli studi professionali e la sanità privata, dove una mail che non arriva ferma il lavoro:

• dominio e password restano intestati a te;
• ogni venerdì ti scriviamo cosa abbiamo controllato su posta, backup e sicurezza;
• se una casella bloccata ferma l'attività, rispondiamo entro un'ora, dalle 9 alle 20, anche nel weekend.

Le indicazioni di questo articolo sono generali. Se pensi che un account sia stato violato, cambia subito la password da un altro dispositivo e chiama chi segue la tua informatica.

Domande frequenti

Come evitare che le proprie email vadano in spam?

Configura SPF, DKIM e DMARC sul dominio, non mandare circolari di massa dalla casella normale e proteggi gli account con la verifica in due passaggi.

Con Microsoft 365 o Google Workspace, SPF e DKIM sono già a posto?

Non per forza: i valori vanno inseriti nel DNS del dominio, spesso presso un altro fornitore. In Microsoft 365 la firma DKIM su un dominio tuo richiede due record nel DNS e va abilitata.

Quanto tempo ci vuole per risolvere?

Aggiungere i record è un lavoro breve. Poi si aspetta: Google indica fino a 48 ore perché SPF diventi operativo, e lo stesso per DKIM. Per uscire da una blacklist i tempi dipendono dalla lista.

Come sapere se un'email è finita nello spam?

Da chi spedisce non si vede: se la mail non torna indietro con un errore, bisogna chiederlo al destinatario. Se succede con più clienti, il problema è del dominio: fai il controllo con "Mostra originale".

Come passare una mail da spam a posta in arrivo?

In Gmail si apre la cartella Spam, si seleziona la mail e si sceglie Non spam (guida di Google). È una toppa: se il dominio non supera i controlli, le mail successive ci ricadono.