Requisiti Gmail e Yahoo per l'invio di email: cosa verificare

Nel 2024 Gmail e Yahoo hanno introdotto requisiti più severi per chi invia email ai loro utenti. Non si tratta più di cambiamenti in arrivo: le regole sono operative e i messaggi non conformi possono essere rallentati, collocati nello spam o rifiutati.

Gmail ha inoltre intensificato da novembre 2025 l’applicazione dei requisiti al traffico non conforme. Per una piccola attività è quindi utile verificare la configurazione anche quando l’invio avviene attraverso una newsletter, un gestionale, un sito o un servizio esterno.

Le regole non riguardano soltanto le newsletter

Uno stesso dominio può inviare messaggi da strumenti differenti:

• caselle personali o aziendali;
• piattaforme di newsletter;
• formulari del sito;
• applicazioni gestionali;
• sistemi di fatturazione e prenotazione;
• servizi di assistenza o commercio elettronico.

Tutti questi sistemi contribuiscono alla reputazione del dominio. Prima di modificare i record DNS è quindi necessario sapere quali servizi sono autorizzati a inviare email.

Requisiti per tutti i mittenti

Per i messaggi destinati agli account personali Gmail, Google richiede almeno:

• autenticazione mediante SPF oppure DKIM;
• record DNS diretti e inversi validi per i server di invio;
• trasmissione mediante TLS;
• messaggi conformi al formato previsto dalle specifiche email;
• un tasso di segnalazioni come spam inferiore allo 0,3%.

Google raccomanda di mantenere il tasso normalmente sotto lo 0,1% e di evitare di raggiungere lo 0,3%.

Yahoo richiede a tutti i mittenti SPF oppure DKIM, record DNS validi, conformità agli standard email e un tasso di reclami inferiore allo 0,3%.

Anche chi invia pochi messaggi dovrebbe quindi autenticare il proprio dominio. Non è una misura riservata alle grandi campagne.

Requisiti aggiuntivi per gli invii in massa

Gmail considera mittente massivo un dominio che invia circa 5.000 o più messaggi in un giorno verso account personali Gmail. Yahoo parla invece di un volume significativo senza pubblicare una soglia numerica.

Per questi mittenti vengono richiesti ulteriori controlli:

• SPF e DKIM devono essere entrambi configurati;
• deve essere pubblicata una politica DMARC, almeno con p=none;
• il dominio visibile nel campo From deve essere allineato al dominio autenticato con SPF o DKIM;
• i messaggi promozionali o inviati a una lista devono offrire la disiscrizione con un clic;
• nel corpo dell’email deve essere presente anche un collegamento di disiscrizione chiaramente visibile;
• le richieste di disiscrizione devono essere elaborate rapidamente.

Yahoo richiede che la disiscrizione venga rispettata entro due giorni. Il modo più sicuro per soddisfare entrambi i fornitori è implementare il metodo previsto da RFC 8058 mediante gli header List-Unsubscribe e List-Unsubscribe-Post.

La disiscrizione con un clic riguarda i messaggi promozionali e le email di iscrizione. Non si applica nello stesso modo a comunicazioni strettamente transazionali come conferme d’ordine, codici di accesso o reimpostazioni della password.

SPF: indicare chi può inviare per il dominio

Il record SPF elenca i server e i servizi autorizzati a inviare email per conto del dominio.

Il controllo da fare non consiste soltanto nel verificare che SPF esista. Bisogna assicurarsi che comprenda tutti i servizi effettivamente utilizzati e che non conservi autorizzazioni per piattaforme abbandonate.

Quando si cambia fornitore di newsletter o si collega un nuovo applicativo, SPF deve essere rivisto. Una configurazione incompleta può far fallire l’autenticazione; una configurazione troppo permissiva amplia inutilmente la superficie di rischio.

DKIM: firmare i messaggi

DKIM aggiunge ai messaggi una firma crittografica. Il destinatario può verificare che l’email provenga da un servizio autorizzato e che il contenuto firmato non sia stato modificato durante il trasporto.

Google e Yahoo richiedono chiavi DKIM di almeno 1024 bit e raccomandano 2048 bit quando il fornitore le supporta.

Ogni piattaforma di invio può utilizzare una propria firma DKIM. È quindi possibile dover pubblicare più record DNS, uno per ciascun selettore, senza creare conflitti.

DMARC: collegare autenticazione e dominio visibile

DMARC verifica che il dominio mostrato al destinatario sia coerente con quello autenticato mediante SPF o DKIM. Indica inoltre ai server riceventi come trattare i messaggi che non superano i controlli.

Una configurazione iniziale può utilizzare p=none e un indirizzo rua per raccogliere i rapporti. Questo permette di osservare quali servizi inviano per il dominio prima di applicare politiche più restrittive.

Passare direttamente a p=reject senza avere censito tutti i mittenti può bloccare anche messaggi legittimi. Il percorso corretto è osservare i rapporti, correggere le sorgenti e aumentare gradualmente la protezione.

Disiscrizione: il collegamento nel testo non basta

Un normale collegamento “Annulla iscrizione” nel corpo dell’email resta necessario, ma per gli invii massivi promozionali non è sufficiente.

La disiscrizione con un clic viene dichiarata negli header tecnici del messaggio. Gmail e Yahoo possono così mostrare un comando direttamente nell’interfaccia della casella di posta e inviare automaticamente la richiesta al sistema del mittente.

La funzione deve essere realmente operativa. Un header presente ma collegato a un indirizzo non valido o a una procedura che richiede il login non rispetta lo scopo del requisito.

Reputazione e qualità della lista

SPF, DKIM e DMARC non garantiscono che un messaggio arrivi nella posta in entrata. Dimostrano l’identità del mittente, ma i fornitori valutano anche il comportamento.

Per mantenere una buona reputazione è utile:

• inviare soltanto a persone che hanno richiesto i messaggi;
• evitare liste acquistate o raccolte senza un consenso chiaro;
• rimuovere gli indirizzi che generano errori permanenti;
• rispettare la frequenza promessa al momento dell’iscrizione;
• separare, quando possibile, messaggi promozionali e transazionali;
• aumentare gradualmente i volumi dopo cambiamenti importanti;
• controllare segnalazioni, rifiuti e consegne differite.

Per Gmail è disponibile Postmaster Tools. Yahoo mette a disposizione il proprio Sender Hub e il Complaint Feedback Loop per i domini che firmano con DKIM.

Una checklist operativa

1. Elenca tutti i servizi che inviano email usando il dominio.
2. Verifica che SPF comprenda soltanto i mittenti autorizzati.
3. Attiva DKIM su ogni servizio e controlla che la firma sia valida.
4. Pubblica DMARC e raccogli i rapporti prima di irrigidire la politica.
5. Controlla l’allineamento del dominio visualizzato nel campo From.
6. Verifica TLS, record PTR e DNS con il fornitore dell’infrastruttura.
7. Implementa la disiscrizione con un clic per newsletter e messaggi promozionali.
8. Mantieni visibile il collegamento di disiscrizione nel contenuto.
9. Monitora tasso di spam, errori e reputazione.
10. Ripeti il controllo quando aggiungi o sostituisci una piattaforma.

Le regole complete e aggiornate sono disponibili nelle linee guida Gmail per i mittenti e nei requisiti di Yahoo.

Chi deve occuparsene?

Se utilizzi una piattaforma di newsletter, parte dell’infrastruttura viene gestita dal fornitore. Restano però da configurare correttamente il tuo dominio, le autorizzazioni DNS, il mittente visibile e le pratiche con cui raccogli e mantieni gli indirizzi.

Lo stesso vale per un sito o un applicativo: inviare un messaggio è semplice, costruire un flusso affidabile richiede di gestire autenticazione, errori, disiscrizioni e monitoraggio.

Se vuoi verificare l’invio delle email del tuo sito o collegarlo correttamente ai servizi che utilizzi, possiamo partire da una mappa dei mittenti e controllare il percorso completo.

Parliamo della tua configurazione