Una email commerciale può essere scritta bene, partire da un dominio in regola e non arrivare mai a destinazione. Il caso tipico è quello del destinatario che lavora in un'azienda con Microsoft 365, la piattaforma di posta e collaborazione di Microsoft usata da molte imprese. Dietro quella casella c'è una catena di controlli che il mittente non vede e che il destinatario, di solito, non ha mai scelto di proposito. Questo articolo descrive quali controlli esistono, cosa può farli scattare e cosa può fare chi invia messaggi commerciali per ridurre il rischio, senza promettere risultati: le regole di ogni azienda cambiano da un'organizzazione all'altra.
Cosa c'è tra il mittente e la casella
La posta in arrivo passa prima da Exchange Online Protection, il servizio di filtro incluso in Exchange Online, che controlla autenticazione del mittente, reputazione, contenuto e presenza di malware. Chi ha attivato anche Microsoft Defender for Office 365 aggiunge l'analisi di link e allegati. Il risultato non è soltanto «arriva» o «non arriva»: il messaggio può finire nella posta in arrivo, nella cartella della posta indesiderata, in quarantena oppure essere rifiutato con un errore. Per un mittente le ultime due sono le più pericolose, perché il destinatario non sa nemmeno che esiste un messaggio. Capire in quale delle quattro destinazioni finisce la propria posta è il primo passo.
L'autenticazione viene prima di tutto
Il primo controllo riguarda i tre standard descritti in /glossario/autenticazione-email e spiegati in /blog/spf-dkim-dmarc-spiegati-a-un-imprenditore. Nel 2023 Microsoft ha annunciato che Exchange Online avrebbe rispettato per impostazione predefinita le politiche DMARC di tipo reject dei mittenti: prima i messaggi che fallivano il controllo finivano in quarantena, oggi vengono rifiutati. L'errore che il mittente riceve in questo caso porta il codice 550 5.7.509 e dice che il dominio di invio non supera la verifica DMARC. Se un dominio ha una politica reject e un servizio di invio non allineato, il problema non è il filtro ma la configurazione. Il percorso per arrivare alla politica più severa senza perdere posta è in /blog/dmarc-da-none-a-reject-in-sei-settimane.
La reputazione del dominio e dell'indirizzo
Anche con l'autenticazione in ordine, un filtro valuta da quale dominio e da quale indirizzo arriva il messaggio. Un dominio nuovo non ha storia, e l'assenza di storia pesa da sola. Per questo i domini di invio dedicati, descritti in /glossario/dominio-dedicato, partono con volumi graduali, il warm-up descritto in /glossario/warm-up. Gli indirizzi IP e i domini che compaiono negli elenchi pubblici di segnalazione, come quelli di /glossario/blacklist, possono far rifiutare la posta già al momento della connessione. Il comportamento dipende anche dal volume e dalle segnalazioni dei destinatari: chi invia pochi messaggi pertinenti ha un profilo molto diverso da chi ne invia migliaia identici.
Link e allegati
Dove è attivo Defender for Office 365, la funzione Safe Links riscrive i link dei messaggi in arrivo e li ricontrolla nel momento del clic, mentre Safe Attachments verifica gli allegati in un ambiente protetto prima della consegna. Per un messaggio commerciale ne discendono tre abitudini prudenti. Pochi link, meglio uno solo e diretto verso il sito dell'azienda. Nessun abbreviatore e nessun reindirizzamento inutile. Nessun allegato in un primo contatto, che è già un rischio senza bisogno. I criteri esatti con cui un messaggio viene giudicato non sono pubblici e cambiano nel tempo, quindi conviene trattare questi punti come buone pratiche e non come regole garantite.
Primo contatto e avvisi al destinatario
Chi scrive per la prima volta a un'azienda con Defender for Office 365 attivo può incontrare anche gli avvisi al destinatario. Microsoft prevede un suggerimento di sicurezza per il primo contatto, che segnala all'utente di non ricevere di solito messaggi da quel mittente. Non blocca nulla, ma può rendere più diffidente chi legge. Esistono poi le protezioni contro l'imitazione di persone e domini: se un dominio di invio somiglia a quello del destinatario o a uno protetto dall'amministratore, il messaggio può essere trattato come tentativo di impersonificazione. Per questo nome visualizzato e dominio di invio devono dire la verità su chi scrive, senza nomi di persone o aziende che non siano le proprie.
Le regole le decide l'amministratore del destinatario
Le impostazioni cambiano da azienda ad azienda. L'amministratore può modificare le soglie dei filtri, creare elenchi di mittenti consentiti o bloccati, decidere che i messaggi sospetti vadano in quarantena e quali utenti possano rilasciarli. Un'azienda con regole severe, magari dopo una truffa via email, tratta la stessa posta in modo diverso da una con impostazioni predefinite. Il mittente non può cambiare queste regole e non deve cercare scorciatoie. Chiedere l'inserimento in un elenco di consentiti è una richiesta che ha senso solo quando esiste già un rapporto. Per un primo contatto resta una sola strada: ridurre ciò che può far scattare un controllo.
Cosa si può fare in pratica
Cinque abitudini riducono il rischio. Autenticare il dominio di invio con SPF, DKIM e DMARC allineati e verificarlo con /strumenti/controllo-dominio-email. Usare un dominio dedicato, separato da quello aziendale, avviato con volumi crescenti. Scrivere messaggi brevi, in testo semplice, con al massimo un link e nessun allegato. Inviare solo a chi ha un motivo plausibile per leggere, perché le segnalazioni dei destinatari contano più di qualsiasi regola. Leggere i rimbalzi: i codici che iniziano per 5.7 indicano un rifiuto per motivi di sicurezza o di regole. Le cause generali dello spam sono in /blog/perche-le-email-b2b-finiscono-in-spam-otto-cause e le regole dei grandi provider in /blog/regole-google-yahoo-email-cosa-cambia-per-le-pmi.
Come gestiamo l'invio nei progetti che seguiamo
Ogni dominio di invio parte con SPF, DKIM e DMARC verificati prima del primo messaggio, su un'infrastruttura dedicata gestita da UNEEK e separata dal dominio principale del partner, che resta fuori dalle campagne.
Ogni mattina controlliamo blacklist e rimbalzi di ogni dominio. Un dominio che accumula segnali negativi viene sostituito senza toccare la posta aziendale del partner. Le richieste di non essere più contattati chiudono la sequenza nel momento in cui arrivano.
La soluzione
Un filtro aziendale giudica dominio, reputazione e contenuto prima di una persona. L'assessment strategico verifica l'infrastruttura prima del primo invio.