Dal febbraio 2024 Google e Yahoo applicano regole scritte a chi invia posta alle loro caselle, e dal 5 maggio 2025 Microsoft ha fatto lo stesso per Outlook.com, Hotmail e Live. Per molte PMI italiane la notizia è passata come un tema da esperti di newsletter. Non lo è: le regole riguardano qualunque dominio che invia email, comprese fatture, offerte e messaggi commerciali, e i requisiti di base valgono per tutti i mittenti, non solo per i grandi. Questo articolo spiega cosa chiedono le regole, chi rientra nella fascia più severa e cosa conviene fare anche quando i clienti usano caselle aziendali e non Gmail. Le tre sigle tecniche da cui tutto dipende sono spiegate in /blog/spf-dkim-dmarc-spiegati-a-un-imprenditore.
Cosa vale per tutti i mittenti
Secondo le linee guida di Google, in vigore dal 1° febbraio 2024, chiunque invii a un indirizzo Gmail personale deve avere almeno uno tra SPF e DKIM configurato per il proprio dominio, record DNS validi in andata e ritorno per i server che inviano, una connessione cifrata con TLS e un tasso di segnalazioni come spam, misurato negli strumenti di Google, sotto lo 0,3%. I messaggi devono rispettare gli standard di formato e non possono fingere di arrivare da un indirizzo Gmail. Yahoo chiede le stesse cose dal febbraio 2024: SPF o DKIM come minimo, segnalazioni sotto lo 0,3%, DNS validi. Sono requisiti che un servizio di posta configurato bene soddisfa già, ma vanno verificati, non presunti.
Chi è un mittente massivo
La fascia più severa riguarda chi invia circa 5.000 messaggi o più in un giorno verso caselle Gmail personali. Google conta insieme i messaggi inviati dallo stesso dominio principale, quindi si sommano le caselle di più persone e i servizi collegati a quel dominio, e secondo le sue domande frequenti chi supera la soglia resta classificato come mittente massivo. Per questa fascia i requisiti salgono: SPF e DKIM entrambi, un record DMARC con almeno la politica none, l'allineamento tra il dominio visibile del mittente e quello autenticato, e per i messaggi promozionali la disiscrizione con un solo clic. Google indica anche un obiettivo più basso per le segnalazioni, lo 0,1%. Microsoft ha fissato la stessa soglia di 5.000 messaggi al giorno per i propri servizi consumer, con SPF, DKIM e DMARC almeno none.
La disiscrizione in un clic
Per i messaggi promozionali Google e Yahoo chiedono un'intestazione che permetta di disiscriversi con un clic direttamente dal programma di posta, secondo lo standard RFC 8058, oltre al link visibile nel testo. Yahoo scrive che la richiesta va rispettata entro due giorni. È un obbligo tecnico per i mittenti massivi, ma il principio vale per tutti e coincide con quello del GDPR: chi chiede di non ricevere più comunicazioni commerciali va tolto subito, da tutti gli invii. Una richiesta di opposizione ignorata produce prima o poi una segnalazione come spam, che è il segnale più pesante per i filtri. Come gestire le richieste dentro le sequenze commerciali è spiegato in /glossario/opt-out.
Da novembre 2025 le regole si applicano davvero
Nei primi mesi le violazioni hanno prodotto soprattutto avvisi e rallentamenti. Google ha poi aggiornato le proprie domande frequenti: da novembre 2025 Gmail aumenta l'applicazione delle regole sul traffico non conforme, e i messaggi che non rispettano i requisiti subiscono interruzioni, compresi rifiuti temporanei e definitivi. Microsoft aveva annunciato per i propri servizi che i messaggi non conformi sarebbero finiti prima nella posta indesiderata e poi rifiutati. Per un'azienda il rischio concreto non riguarda solo le campagne: se il dominio principale ha l'autenticazione configurata male, possono non arrivare anche le offerte e le fatture. Il percorso per arrivare a una politica DMARC restrittiva senza perdere posta è in /blog/dmarc-da-none-a-reject-in-sei-settimane.
E se i clienti usano caselle aziendali
Nel B2B la maggior parte dei destinatari non usa un indirizzo Gmail personale ma una casella sul dominio della propria azienda, spesso gestita da Google Workspace o da Microsoft 365. Le regole scritte per i mittenti massivi riguardano le caselle personali, non quelle aziendali, che hanno filtri propri e impostazioni decise dall'amministratore. Nella pratica però i filtri delle caselle aziendali guardano gli stessi segnali: autenticazione, reputazione del dominio, segnalazioni dei destinatari. Un dominio che rispetta le regole di Gmail e Outlook parte avvantaggiato anche verso le aziende. Per sapere a che punto è il proprio dominio si può usare lo strumento /strumenti/controllo-dominio-email, che legge i record SPF, DKIM e DMARC pubblicati.
Cosa fare in una PMI, in ordine
Cinque passi, nell'ordine. Uno: fare l'inventario di tutto ciò che invia posta con il dominio aziendale, dal gestionale delle fatture alla piattaforma delle newsletter. Due: verificare che ogni servizio sia autorizzato nel record SPF e firmi con DKIM. Tre: pubblicare un record DMARC, partendo dalla politica none, e leggere i rapporti che arrivano. Quattro: separare gli invii commerciali dal dominio principale con un dominio dedicato, come spiegato in /glossario/dominio-dedicato, così un problema sulle campagne non blocca le fatture. Cinque: tenere basse le segnalazioni di spam con liste pulite e messaggi pertinenti, perché nessuna configurazione compensa invii a chi non ha motivo di riceverli. Le cause più frequenti per cui si finisce in spam sono in /blog/perche-le-email-b2b-finiscono-in-spam-otto-cause.
Tre errori tecnici da evitare
Tre errori si trovano spesso nei domini aziendali e sono facili da correggere. Il primo è avere due record SPF sullo stesso dominio, magari aggiunti in momenti diversi da fornitori diversi: lo standard ne ammette uno solo, e con due la verifica fallisce. Il secondo è superare il limite di dieci consultazioni DNS che lo standard SPF fissa per ogni verifica, cosa che succede quando si aggiungono servizi uno dopo l'altro senza toglierne nessuno. Il terzo è pubblicare un record DMARC senza un indirizzo a cui inviare i rapporti, che sono l'unico modo per sapere chi sta spedendo posta a nome dell'azienda. Sono errori che non si vedono finché un'offerta importante non arriva, e che si correggono in un pomeriggio con chi gestisce il dominio.
Come lo facciamo nei progetti che seguiamo
Gli invii commerciali partono da un'infrastruttura dedicata gestita da UNEEK, separata dal dominio principale del partner: fatture, offerte e posta quotidiana restano sul dominio dell'azienda e non risentono delle campagne. L'autenticazione dei domini di invio viene verificata prima del primo messaggio.
Le richieste di non essere più contattati chiudono la sequenza nel momento in cui arrivano ed entrano nella lista di esclusione consultata prima di ogni nuovo invio, su tutte le campagne.
Il volume conta meno della pertinenza
Le soglie di Google e Microsoft parlano di volumi, ma il segnale che pesa di più è la segnalazione come spam. Per questo lavoriamo su bacini contati e messaggi che partono da un fatto verificabile sull'azienda destinataria: chi riceve un messaggio pertinente risponde o lo ignora, raramente lo segnala.
La soluzione
Un dominio in ordine è la condizione minima per essere letti. L'assessment strategico verifica l'infrastruttura e il bacino prima del primo invio.