Quante conferme d'ordine del tuo negozio online sono finite nella cartella spam di un cliente nell'ultimo mese? Per molti di chi gestisce un e-commerce la risposta onesta è "non lo so", e non per disattenzione: la piattaforma registra l'invio, il servizio di newsletter mostra aperture e clic, ma nessuno dei due racconta che cosa è successo al messaggio una volta arrivato ai server di Gmail o di Outlook. Il cliente che non trova la conferma scrive all'assistenza, oppure smette semplicemente di aprire le email successive.
Il tema torna d'attualità ogni autunno, quando le campagne di Black Friday e Natale moltiplicano i volumi di invio. Nel frattempo i grandi provider di posta hanno trasformato le buone pratiche di autenticazione in requisiti, e mettono a disposizione dei mittenti strumenti gratuiti per verificarli. A differenza di altri temi trattati nella sezione Utility, qui gli strumenti non costano quasi nulla: la difficoltà sta nel leggerli correttamente e nel sapere dove si fermano.
Le regole di Gmail e Outlook riguardano anche i negozi piccoli
Le linee guida di Gmail per i mittenti di email distinguono due livelli. A tutti i mittenti che scrivono ad account Gmail personali chiedono, tra l'altro, l'autenticazione SPF o DKIM, record DNS diretti e inversi validi per i server di invio, la connessione TLS e un tasso di segnalazioni come spam inferiore allo 0,3%. A chi invia più di 5.000 messaggi al giorno verso account Gmail chiedono in più SPF e DKIM insieme, un record DMARC (anche con criterio "none"), l'allineamento del dominio dell'intestazione "Da:" con quello autenticato e l'annullamento dell'iscrizione con un solo clic nei messaggi di marketing.
La soglia dei 5.000 messaggi sembra lontana per un piccolo e-commerce, ma va letta con attenzione. Secondo le FAQ di Google, nel conteggio rientrano tutti i messaggi inviati dallo stesso dominio principale, sottodomini compresi: conferme d'ordine, avvisi di spedizione e newsletter si sommano. Basta superare la soglia una sola volta, ad esempio con l'invio della campagna di Black Friday, perché il dominio venga considerato mittente collettivo in modo permanente. Google ha inoltre comunicato che da novembre 2025 l'applicazione dei requisiti è più rigorosa, con rifiuti temporanei e definitivi per il traffico non conforme.
Microsoft ha seguito la stessa strada per gli indirizzi Outlook.com, Hotmail e Live. L'annuncio pubblicato sul blog di Microsoft Defender for Office 365 stabilisce che dal 5 maggio 2025 i domini che inviano più di 5.000 messaggi al giorno a questi indirizzi devono superare le verifiche SPF e DKIM e pubblicare un record DMARC almeno con criterio "none", allineato ad almeno uno dei due metodi. Con l'aggiornamento di fine aprile 2025, i messaggi non conformi vengono respinti con l'errore 550 5.7.515 invece di essere spostati nella posta indesiderata.
Prima degli strumenti, l'elenco di chi scrive a nome del negozio
Nessuno strumento di monitoraggio serve se prima non è chiaro quali servizi inviano email con il dominio del negozio nel campo mittente. In un e-commerce sono quasi sempre più di uno: la piattaforma che genera conferme d'ordine e notifiche, il servizio di email marketing, l'eventuale helpdesk, il gestionale che spedisce le copie di cortesia delle fatture, i servizi che chiedono una recensione dopo l'acquisto. Ciascuno deve essere previsto nel record SPF e dovrebbe firmare i messaggi con una propria chiave DKIM, come raccomanda la documentazione di Postmaster Tools. Le linee guida di Gmail aggiungono due indicazioni utili per un negozio: usare lo stesso indirizzo mittente per ogni categoria di messaggio, tenendo separati ricevute e promozioni, e non inserire contenuti promozionali nelle ricevute di vendita.
Le piattaforme gestiscono questo passaggio in modo diverso. Shopify spiega nella guida alla configurazione dell'email del proprio centro assistenza che, se il dominio del mittente non è autenticato, l'indirizzo viene riscritto in uno generico del tipo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo., e che l'autenticazione automatica tramite record CNAME copre SPF e DKIM ma non crea il record DMARC, da aggiungere a parte. Sulle piattaforme installate su un proprio hosting, come WooCommerce o PrestaShop, nella configurazione predefinita le email transazionali partono spesso direttamente dal server web: conviene verificare se risultano autenticate o se instradarle attraverso un servizio SMTP dedicato.
Quando i servizi si moltiplicano si incontra presto anche un limite tecnico: lo standard SPF (RFC 7208) consente al massimo 10 ricerche DNS durante la verifica, e ogni "include" aggiunto per un nuovo fornitore ne consuma almeno una. Superato il limite, la verifica SPF fallisce anche per i messaggi legittimi.
Postmaster Tools e la dashboard di conformità
Postmaster Tools è il servizio gratuito con cui Google mostra ai mittenti i dati sui messaggi inviati ad account Gmail personali; si attiva aggiungendo il dominio e verificandone la proprietà con un record DNS. La versione attuale (v2) ruota attorno alla dashboard di conformità (Compliance status) che, secondo la documentazione di Google, è disponibile per tutti i mittenti e non solo per quelli collettivi. Per ciascun requisito indica uno di tre stati: conforme, da sistemare ("Needs work") oppure nessun dato trovato. Ai mittenti collettivi mostra anche lo stato di DMARC, dell'annullamento con un clic e del rispetto delle richieste di disiscrizione entro 48 ore.
Accanto alla conformità restano i pannelli su tasso di spam, autenticazione, crittografia, errori di consegna e Feedback Loop. Google ha invece annunciato che i grafici sulla reputazione del dominio e dell'IP, per anni i più consultati, non saranno mantenuti: la dismissione della vecchia interfaccia è stata rinviata, ma l'indicazione resta quella di lavorare sulla v2.
Tre accortezze aiutano a leggere i dati senza fraintenderli. I dati non sono in tempo reale e, dopo una correzione, la dashboard di conformità può impiegare fino a 7 giorni per aggiornarsi. Nei giorni di basso volume alcuni dati possono mancare per tutelare la privacy degli utenti, situazione frequente per un negozio con pochi ordini. Infine, il tasso di spam conta solo le segnalazioni fatte manualmente dai destinatari sui messaggi arrivati in Posta in arrivo: un tasso di spam molto basso non è sempre una buona notizia, perché può indicare che Gmail sta già filtrando in automatico buona parte dei messaggi, che quindi nessuno ha occasione di segnalare.
Report DMARC: chi spedisce davvero a nome del dominio
Se il record DMARC contiene un indirizzo per i report aggregati (il parametro rua), i provider di posta inviano periodicamente un riepilogo dei messaggi ricevuti con il dominio nel mittente, con l'esito di SPF, DKIM e allineamento per ciascuna sorgente. È il modo più diretto per scoprire un servizio dimenticato nel record SPF, oppure qualcuno che usa il dominio senza autorizzazione. Il limite è il formato: i report arrivano come file XML compressi, pensati per un software più che per una persona.
Per questo esistono servizi che li raccolgono e li trasformano in tabelle leggibili. Cloudflare ha reso disponibile in via generale, a giugno 2026, la funzione DMARC Management, gratuita per i propri clienti e quindi interessante soprattutto se il DNS del dominio è già gestito lì. Postmark offre un riepilogo settimanale gratuito via email, che nella versione free si limita alle prime 10 sorgenti di invio e a uno storico di 7 giorni. Per una verifica puntuale della configurazione, senza raccolta di report, lo strumento Check MX della Google Admin Toolbox controlla i record pubblicati in quel momento.
Due dettagli evitano gli errori più comuni. Il dominio deve avere un solo record DMARC: Shopify avverte che più record fanno fallire la validazione. E il passaggio dal criterio "none" a "quarantine" o "reject" ha senso solo dopo aver verificato nei report, per alcune settimane, che tutte le sorgenti legittime risultano allineate; la stessa documentazione di Google ricorda che i criteri restrittivi aumentano il rischio di bloccare anche messaggi legittimi.
Cinque domande e lo strumento che risponde
Ogni strumento risponde a una domanda precisa, e nessuno le copre tutte.
| Domanda | Dove cercare la risposta | Limite da tenere presente |
|---|---|---|
| I record SPF, DKIM e DMARC sono pubblicati correttamente? | Google Admin Toolbox, Check MX | Fotografa i DNS di oggi, non dice come sono stati valutati i messaggi già inviati |
| Gmail considera il dominio conforme ai requisiti? | Postmaster Tools, dashboard di conformità | Riguarda solo gli account Gmail personali; l'aggiornamento può richiedere fino a 7 giorni |
| Quanti destinatari segnalano le email come spam? | Postmaster Tools, pannelli Tasso di spam e Feedback Loop | Conta solo le segnalazioni manuali sui messaggi firmati con DKIM |
| Quali servizi inviano email con il dominio del negozio? | Report DMARC aggregati, letti con un servizio di analisi | Serve un record DMARC con indirizzo rua e qualche giorno di dati raccolti |
| Outlook sta rifiutando i messaggi? | Log di consegna della piattaforma o del servizio di invio, alla ricerca dell'errore 550 5.7.515 | Il servizio SNDS di Microsoft fornisce dati per indirizzo IP ed è utile soprattutto a chi dispone di IP dedicati |
Le settimane prima del picco di vendite
Il calendario conta quanto la configurazione. Le modifiche ai DNS possono richiedere fino a 48 ore per propagarsi, come ricorda anche Shopify, e la dashboard di conformità di Google fino a una settimana per riflettere una correzione. Secondo le FAQ di Gmail, inoltre, un mittente collettivo torna idoneo alle richieste di intervento sui problemi di recapito solo dopo 7 giorni consecutivi con tasso di spam sotto lo 0,3%. Chi interviene a ridosso del Black Friday rischia di affrontare il picco senza sapere se le correzioni hanno avuto effetto.
Anche il modo di inviare incide. Le linee guida di Gmail chiedono di aumentare i volumi in modo graduale e segnalano che raddoppiare improvvisamente i volumi abituali può portare a limitazioni della frequenza di invio o a un calo di reputazione: una campagna che raggiunge in un solo giorno l'intero database, contatti inattivi compresi, è esattamente questo scenario. Inviare prima ai contatti più coinvolti e allargare progressivamente, rimuovere chi non apre da molti mesi e verificare che il link di disiscrizione funzioni anche sotto carico sono accorgimenti che agiscono direttamente sul tasso di spam. L'annullamento con un clic è richiesto per i messaggi promozionali, non per quelli transazionali: un motivo in più per non trasformare le conferme d'ordine in un veicolo di promozioni.
Nessuno degli strumenti descritti, preso da solo, garantisce che un messaggio arrivi in Posta in arrivo: Postmaster Tools restituisce il punto di vista di Gmail, i report DMARC mostrano chi usa il dominio, i log di invio registrano i rifiuti di Outlook. La qualità delle liste e la pertinenza dei contenuti restano la base del recapito, ed è il terreno su cui lavora anche l'automazione dell'email marketing, che permette di inviare messaggi mirati invece di campagne indistinte. Letti insieme e consultati con qualche settimana di anticipo, questi dati permettono di accorgersi di un problema prima che siano i clienti a segnalarlo.
