Requisiti per i mittenti di Google e Yahoo: la checklist completa

A febbraio 2024 Google e Yahoo hanno trasformato una lunga lista di buone pratiche email in regole vincolanti. Quelli che prima erano consigli (autentica la posta, rendi facile la disiscrizione, non inviare spazzatura) sono diventati requisiti che decidono se i tuoi messaggi vengono accettati, rallentati o rifiutati del tutto. Se invii email di marketing o transazionali con volumi significativi, questa è la checklist che ora devi rispettare. Eccola nella versione completa e aggiornata, in parole semplici, con le azioni che ogni voce richiede.

In breve#

I requisiti per i mittenti di Google e Yahoo si dividono in tre gruppi che valgono per tutti e in un livello più severo per i mittenti di grandi volumi, cioè chiunque invii circa 5.000 messaggi o più al giorno a indirizzi Gmail. Ogni mittente deve autenticare la propria posta con SPF o DKIM, pubblicare un DNS diretto e inverso valido sugli IP di invio e trasmettere tramite TLS. I mittenti di grandi volumi devono inoltre usare SPF, DKIM e DMARC con allineamento, aggiungere la disiscrizione in un clic alla posta di marketing e mantenere il tasso di segnalazioni spam sotto lo 0,3%, misurato in Google Postmaster Tools. Entrambi i provider hanno annunciato regole equivalenti e hanno iniziato ad applicarle insieme. La scelta prudente è considerare il livello dei mittenti di grandi volumi come base per tutti, perché le soglie diventano solo più severe nel tempo e rispettarle in anticipo non ha alcuno svantaggio.

A chi si applica#

La soglia dei mittenti di grandi volumi si misura per provider, e nello specifico sugli indirizzi Gmail: se invii circa 5.000 messaggi o più in un solo giorno a destinatari Gmail, per Google diventi un mittente di grandi volumi, in modo permanente. La classificazione non si azzera se il giorno dopo scendi sotto la soglia. Yahoo ha definito lo stesso livello per Yahoo, AOL e gli altri suoi domini. Il conteggio riguarda l'intero dominio di invio, quindi la posta inviata da sottodomini e flussi separati (marketing, notifiche di prodotto, ricevute) si somma.

In pratica la questione è più semplice dei calcoli sulla soglia. Se gestisci le email di un'azienda, di un'agenzia o di un prodotto in crescita, supererai i 5.000 invii al giorno verso un singolo provider prima di quanto pensi, e i requisiti sono tutte cose che un mittente ben organizzato dovrebbe fare comunque. Per questo il resto della guida considera l'elenco completo dei mittenti di grandi volumi come lo standard da raggiungere. Sotto la soglia, tecnicamente, puoi cavartela con meno, ma "tecnicamente conforme" è una pessima base su cui costruire un programma di invio.

I requisiti in sintesi#

1. Autentica il dominio con SPF, DKIM e DMARC#

L'autenticazione è il biglietto d'ingresso e, per i mittenti di grandi volumi, è irrinunciabile su tutti e tre i record. SPF, DKIM e DMARC sono record DNS che insieme dimostrano che un messaggio proviene davvero dal tuo dominio e non è stato falsificato lungo il percorso. SPF elenca i server autorizzati a inviare per il tuo dominio; DKIM aggiunge una firma crittografica che il destinatario può verificare; DMARC collega entrambi all'indirizzo "From" visibile e indica ai provider cosa fare quando un messaggio non supera i controlli.

Ai mittenti generici Google e Yahoo chiedono almeno uno tra SPF e DKIM. Ai mittenti di grandi volumi servono tutti e tre. L'errore più comune qui non è un record mancante, ma uno configurato male: un record SPF che non include il tuo provider di servizi email, una chiave DKIM pubblicata sotto il selettore sbagliato o un record DMARC che tecnicamente esiste ma non è allineato. Configura ogni record con attenzione (puoi generare il record SPF esatto per il tuo provider per impostare correttamente il meccanismo include:), poi controllalo su un messaggio reale prima di dare per scontato che superi i controlli.

2. Pubblica una policy DMARC allineata, partendo da p=none#

DMARC è il record che rende applicabili SPF e DKIM, e contiene due elementi che i provider controllano separatamente: la policy e l'allineamento. La policy, cioè il valore p=, dice ai server riceventi cosa fare con la posta che non supera i controlli: p=none si limita a monitorare e inviare report, p=quarantine manda i messaggi non conformi nello spam e p=reject li rifiuta. Il requisito è che esista un record DMARC con una policy almeno p=none. Non devi applicare restrizioni dal primo giorno, ma devi pubblicare il record e monitorare.

L'allineamento è la parte che molti trascurano. Il controllo DMARC viene superato solo quando il dominio autenticato tramite SPF o DKIM corrisponde al dominio nell'intestazione "From" visibile. Un messaggio può superare il controllo SPF di base e non superare comunque DMARC, perché il dominio della busta (envelope) non corrisponde al dominio del From. La guida passo passo alla configurazione di DMARC spiega la sintassi del record, l'indirizzo di report rua e il percorso da p=none a una policy restrittiva. Parti da p=none, leggi i report aggregati finché ogni flusso di posta legittimo non risulta autenticato e allineato, poi passa a quarantine e infine a reject. Il passaggio a una policy restrittiva è il momento in cui DMARC inizia davvero a bloccare chi abusa del tuo dominio per falsificarlo: vale la pena farlo, ma solo dopo che il monitoraggio ha confermato che non bloccherai la tua stessa posta.

3. Aggiungi la disiscrizione in un clic alla posta di marketing#

Per i mittenti di grandi volumi, i messaggi di marketing e promozionali devono includere una disiscrizione in un clic funzionante, e qui "in un clic" ha un significato tecnico preciso. Non basta un link di disiscrizione nel footer. Servono due intestazioni: List-Unsubscribe, che contiene l'URL di disiscrizione, e List-Unsubscribe-Post, che permette al client di posta di avviare la disiscrizione con un'unica azione, senza che il destinatario debba aprire una landing page o compilare un modulo. Quando Gmail mostra il proprio pulsante "Unsubscribe" accanto al nome del mittente, sono queste intestazioni a farlo funzionare.

Valgono due regole. La disiscrizione deve completarsi con un solo clic: niente login, niente pagina "scegli le tue preferenze", nessun passaggio di conferma. E devi elaborare la richiesta entro due giorni. Tutti i dettagli, compreso come aggiungere le intestazioni se la tua piattaforma non lo fa in automatico, sono nella guida alla disiscrizione in un clic. Contrariamente a quanto si potrebbe pensare, rendere facilissimo uscire dalla tua lista fa bene alla deliverability: una disiscrizione è un'uscita silenziosa, mentre l'alternativa, cioè un destinatario che preme "segnala come spam" perché non trova il modo di andarsene, è in assoluto il segnale più dannoso che tu possa generare.

4. Mantieni il tasso di segnalazioni spam sotto lo 0,3%#

Questo è il requisito con un numero preciso, ed è quello su cui i mittenti inciampano più spesso. Google misura il tasso di segnalazioni spam in Google Postmaster Tools: la quota di messaggi recapitati che i destinatari segnalano come spam. La regola è restare sotto lo 0,1%, e Google dice esplicitamente di evitare di raggiungere mai lo 0,3%: considera lo 0,1% il tetto operativo e lo 0,3% la soglia oltre cui scattano le sanzioni. Se la superi, Gmail inizia a rallentare la tua posta o a spostarla nello spam finché il tasso non rientra.

Il tasso non perdona, per via di come viene calcolato. Un piccolo invio mal mirato a un segmento poco coinvolto può far schizzare il valore giornaliero ben oltre lo 0,3%, anche se la tua media storica sembra buona. La guida al tasso di segnalazioni spam spiega come si misura e quali leve lo spostano, e la più ampia guida sul perché le email finiscono nello spam mostra dove si collocano queste segnalazioni tra le altre cause. I fattori che puoi controllare sono il consenso (scrivi solo a chi l'ha chiesto), la pertinenza (segmenta invece di inviare a tutti) e la cadenza (invii regolari e attesi invece di raffiche a sorpresa). Non puoi gestire ciò che non osservi, quindi registra il tuo dominio in Postmaster Tools e controlla il grafico del tasso di spam dopo ogni invio importante.

5. Pubblica un DNS diretto e inverso valido (record PTR)#

Ogni IP da cui invii deve avere un record PTR, cioè un DNS inverso che associa l'IP a un nome host, e quel nome host deve a sua volta risolversi nello stesso IP. Questa corrispondenza tra risoluzione diretta e inversa, a volte chiamata full-circle DNS, è un controllo di legittimità di base: i veri server di posta ce l'hanno, le infrastrutture di spam usa e getta spesso no. Se invii tramite un provider di servizi email affermato, quasi certamente l'ha già configurato sui suoi IP condivisi o dedicati. Se gestisci un tuo server di posta o usi un IP dedicato, configurarlo con chi ti fornisce l'IP spetta a te, ed è una dimenticanza frequente quando si mette in piedi una nuova infrastruttura di invio.

Oltre al record PTR, anche la formattazione dei messaggi deve essere pulita: un dominio di invio valido e risolvibile, un messaggio formattato correttamente secondo gli standard email e un'intestazione "From" che corrisponda al dominio che stai autenticando. Niente di esotico: è la differenza tra un messaggio che sembra arrivare da una vera organizzazione e uno che sembra assemblato da uno script.

6. Cifra la trasmissione con TLS#

Google e Yahoo richiedono che la posta venga trasmessa tramite TLS (Transport Layer Security) sulla connessione tra il tuo server di invio e i loro. In questo modo il messaggio viaggia cifrato e non può essere letto né manomesso lungo il percorso. In pratica, qualsiasi provider di servizi email affidabile negozia TLS per impostazione predefinita, quindi per la maggior parte dei mittenti questo requisito è soddisfatto senza fare nulla. Se gestisci un tuo server di posta in uscita, verifica che offra STARTTLS e che negozi correttamente una connessione cifrata con i principali provider. Qui TLS riguarda il tratto di trasporto ed è una cosa distinta dai record di autenticazione visti sopra: ti servono entrambi.

7. Non impersonare l'intestazione From di Gmail#

Gmail ora applica una regola anti-spoofing specifica: non puoi inviare posta con un indirizzo @gmail.com nell'intestazione From, a meno che il messaggio non venga davvero inviato tramite i sistemi di Google. I marketer che mettevano un indirizzo Gmail personale nel campo "From" di campagne inviate da una piattaforma di terze parti ci sono cascati: quei messaggi vengono rifiutati sempre più spesso. La soluzione è semplice e corretta: invia dal tuo dominio autenticato, non da un indirizzo Gmail (o Yahoo) gratuito di cui non controlli l'infrastruttura. L'indirizzo From dovrebbe stare su un dominio in cui hai pubblicato SPF, DKIM e DMARC, che è esattamente dove lo vuoi comunque per l'autenticazione.

8. Invia solo email che le persone vogliono davvero#

I requisiti pubblicati da Google si chiudono con una regola che sembra un principio, ma che viene fatta rispettare attraverso metriche concrete: invia solo a destinatari che vogliono ricevere la tua posta. È qui che l'igiene della lista incontra la conformità. Due segnali trasformano la "posta indesiderata" in danni alla deliverability: le segnalazioni di spam, di cui abbiamo già parlato, e gli hard bounce. Scrivere a indirizzi morti, digitati male o abbandonati fa salire il tasso di bounce, e un tasso di bounce alto dice ai provider che non sai chi c'è nella tua lista. Peggio ancora, alcuni di quegli indirizzi morti vengono riciclati come spam trap: indirizzi che esistono solo per intercettare i mittenti con una scarsa igiene della lista, e finirci dentro danneggia in modo concreto e duraturo la reputazione del mittente.

La soluzione diretta è la verifica: sottoponi la lista a verifica prima di inviare per rimuovere indirizzi con sintassi non valida, domini inesistenti e caselle non recapitabili, e verifica i nuovi indirizzi al momento dell'iscrizione, così la spazzatura non entra proprio. Per ogni indirizzo che Qualisend controlla ottieni uno stato (recapitabile, a rischio, non recapitabile o sconosciuto), più un codice motivo e un punteggio di affidabilità, così puoi sopprimere gli indirizzi che genererebbero bounce o segnalazioni prima che raggiungano una casella Gmail o Yahoo. È il requisito su cui la maggior parte dei mittenti investe meno, ed è quello che protegge le due metriche (segnalazioni e bounce) che l'intero sistema tiene d'occhio.

Mettere in pratica la checklist#

I requisiti non sono una configurazione una tantum da spuntare e dimenticare. Autenticazione e DNS si configurano una volta sola, ma tasso di segnalazioni, tasso di bounce e qualità della lista richiedono attenzione continua: peggiorano appena smetti di controllarli. Un ritmo operativo sensato: configura SPF, DKIM, DMARC, PTR e TLS una volta e verificali; aggiungi la disiscrizione in un clic a ogni template di marketing; registrati a Google Postmaster Tools e a Microsoft SNDS; riverifica la lista prima degli invii importanti e verifica di continuo i nuovi iscritti. Se vuoi il contesto più ampio intorno a queste regole (warm-up, segmentazione, recupero della reputazione), la guida alla deliverability email copre le leve che vanno oltre il minimo richiesto. Rispetta la checklist e superi il controllo all'ingresso; fai il lavoro continuo e ti guadagni davvero il tuo posto nella posta in arrivo.

Domande frequenti#

I requisiti di Google e Yahoo valgono anche per me se invio meno di 5.000 email al giorno?#

Alcuni valgono per ogni mittente, a prescindere dal volume: ti servono SPF o DKIM, un DNS diretto e inverso valido, la trasmissione tramite TLS, e non puoi impersonare un indirizzo From di Gmail. Le regole più severe per i mittenti di grandi volumi (SPF, DKIM e DMARC insieme, più la disiscrizione in un clic e il tetto dello 0,3% di segnalazioni) scattano formalmente a circa 5.000 messaggi al giorno verso un singolo provider. Ma la soglia riguarda solo l'applicazione delle regole: i provider valutano gli stessi segnali anche per i piccoli mittenti, quindi l'approccio più sicuro è rispettare l'intero elenco, qualunque sia il tuo volume attuale.

Qual è il limite del tasso di segnalazioni spam e come si misura?#

Google chiede ai mittenti di grandi volumi di mantenere il tasso di segnalazioni spam sotto lo 0,1% e avverte di evitare di raggiungere mai lo 0,3%. Il tasso è la quota dei messaggi recapitati che i destinatari segnalano come spam, misurata in Google Postmaster Tools, dove devi registrare il tuo dominio per vederla. Viene calcolato su una finestra mobile, quindi un singolo invio mal mirato a un segmento poco coinvolto può spingere il valore giornaliero oltre il limite anche se la tua media di lungo periodo è buona. Per questo consenso, segmentazione e igiene della lista contano più di qualsiasi singola campagna.

Un link di disiscrizione nel footer basta per rispettare il requisito della disiscrizione in un clic?#

No. Il requisito riguarda specificamente la disiscrizione in un clic tramite le intestazioni email List-Unsubscribe e List-Unsubscribe-Post, che permettono al client di posta di disiscrivere il destinatario con un'unica azione, senza caricare una landing page. Un link nel footer resta una buona pratica e conviene mantenerlo, ma da solo non soddisfa il requisito delle intestazioni per la posta di marketing inviata in grandi volumi. La disiscrizione deve anche completarsi con un solo clic (niente login né pagina delle preferenze) ed essere elaborata entro due giorni.

Rispettare questi requisiti garantisce che le mie email arrivino nella posta in arrivo?#

No: i requisiti sono una condizione d'accesso, non una garanzia. Rispettarli significa che i provider accetteranno e prenderanno in considerazione la tua posta, ma i requisiti non decidono il posizionamento nella posta in arrivo. Dove finisce la tua posta dipende ancora dalla reputazione del mittente, dall'engagement dei destinatari, dai tassi di segnalazioni e di bounce e dalla qualità della lista. Un mittente pienamente conforme ma con una lista sporca o una cattiva reputazione finisce comunque nello spam. Considera la checklist come il biglietto d'ingresso, poi fai il lavoro di igiene della lista e di reputazione che ti fa guadagnare davvero la posta in arrivo.

I requisiti che Google e Yahoo fanno rispettare con più rigore (poche segnalazioni e pochi bounce) dipendono entrambi da chi c'è nella tua lista. Il piano Free esegue l'intera pipeline di verifica su 100 indirizzi, così puoi individuare quelli morti e a rischio prima che ti costino cari, e la verifica email gratuita rileva errori di battitura e domini inesistenti direttamente nel browser.