Il sintomo: le email al Comune di Bologna finivano sempre nello spam
Uno studio di ingegneria che collabora abitualmente con il Comune di Bologna aveva un problema che nessuno riusciva a spiegare: le sue email verso gli uffici comunali finivano sempre nella cartella spam. Nessun messaggio di errore, nessun avviso di mancata consegna. Semplicemente, i funzionari non le vedevano, a meno di andarle a cercare.
Per chi lavora con la Pubblica Amministrazione è un problema serio: documenti e risposte che si perdono, solleciti che sembrano ignorati. E i server di posta degli enti pubblici tendono a essere più severi di quelli di un normale provider.
Capita spesso così: un'azienda scopre quasi sempre tardi che la sua posta ha problemi di consegna, perché nessuno glielo segnala finché il danno non è già fatto.
Cosa abbiamo trovato
L'analisi del dominio ha rivelato tre problemi distinti. Nessuno bloccava del tutto la posta, ed è per questo che erano passati inosservati:
- SPF duplicato: due record SPF pubblicati contemporaneamente, uno per il provider di posta e uno residuo di una vecchia integrazione Office 365. Avere più record SPF viola lo standard (RFC 7208) e fa fallire il controllo presso molti server riceventi, Gmail e Microsoft compresi.
- DKIM assente: nessuna firma digitale sulle email in uscita.
- DMARC debole: una policy presente ma solo "di osservazione" e senza indirizzo per i report. Quindi nessuna visibilità su chi usasse il dominio per inviare email, né su quante email autentiche fallissero i controlli.
Il dominio non risultava in nessuna blacklist (controllate le principali: Spamhaus, SpamCop, Barracuda, UCEPROTECT). La configurazione era semplicemente sbagliata da anni, in silenzio. Per un filtro antispam, però, un'email che non supera SPF e non è firmata DKIM è un'email di cui non ci si può fidare.
SPF, DKIM e DMARC in due righe
- SPF dice ai server riceventi quali server sono autorizzati a inviare email per un dominio. Deve essercene uno solo: se un dominio ne pubblica due, il controllo fallisce, a prescindere da quale dei due sia corretto.
- DKIM firma digitalmente ogni email in uscita: garantisce che il contenuto non sia stato alterato e che provenga davvero da quel dominio.
- DMARC dice ai riceventi cosa fare quando SPF o DKIM falliscono (ignorare, mettere in quarantena, rifiutare) e invia report su chi sta usando il dominio, comprese eventuali imitazioni.
Non è un tema solo tecnico. Da febbraio 2024 Gmail e Yahoo li richiedono a chi invia molte email, e da maggio 2025 lo fa anche Microsoft per Outlook. Ma tutti i filtri antispam, compresi quelli degli enti pubblici, li usano già da tempo per decidere se un'email va in posta in arrivo o nello spam.
Come abbiamo risolto, passo dopo passo
- Un solo record SPF. Abbiamo unificato i due record in uno, con una policy restrittiva. Non essendo chiaro se in ufficio qualcuno usasse ancora Office 365, per prudenza lo abbiamo mantenuto tra i mittenti autorizzati: saranno i report DMARC a dirci se si può togliere.
- DKIM attivo. Abbiamo attivato la firma dal pannello del provider di posta e pubblicato la chiave pubblica nel DNS.
- DMARC con i report. Abbiamo aggiunto un indirizzo di reporting, mantenendo per ora la policy di sola osservazione per raccogliere dati prima di agire.
- Stretta graduale. Nelle settimane successive, verificati i report, la policy DMARC passerà da osservazione a quarantena e poi a rifiuto.
Tempo di intervento: poche ore di lavoro tecnico, senza nessuna interruzione della posta.
Il risultato: le email dello studio arrivano di nuovo nella posta in arrivo del Comune, come dovrebbero.
La checklist in 4 punti per il tuo dominio
- ✓ Hai un solo record SPF pubblicato?
- ✓ Le tue email in uscita sono firmate DKIM?
- ✓ Hai un DMARC con un indirizzo di reporting attivo?
- ✓ Il tuo dominio e i server da cui invii sono fuori dalle blacklist?
Se anche una sola di queste domande ti lascia incerto, probabilmente è perché nessuno te l'ha mai segnalato, proprio come nel caso raccontato qui. Il controllo richiede pochi minuti, la correzione poche ore.
Le tue email finiscono nello spam, o vuoi sapere se rischiano di finirci? Il controllo e la correzione del dominio li facciamo noi: scopri il servizio Reputazione email.