L’email deliverability è la differenza tra un messaggio che esiste e un messaggio che viene letto. La tua piattaforma di invio ti mostra un tasso di consegna del 98% e tu ti tranquillizzi, ma quel numero risponde a una domanda diversa da quella che ti interessa: dice che il server del destinatario ha accettato il messaggio, non che il destinatario lo vedrà mai. Fra le due cose può esserci una cartella spam, una scheda promozioni sepolta o un filtro aziendale che ha silenziosamente cestinato tutto. In questa guida trovi cosa determina davvero il recapito, come si diagnostica un problema in poche ore e perché quasi sempre la causa non sta nel testo dell’email ma nella configurazione del tuo dominio.
Delivery e deliverability non sono la stessa cosa
Partiamo dalla confusione che genera più danni. Il delivery rate misura quante email sono state accettate dal server di destinazione: se non c’è un rimbalzo, il messaggio risulta consegnato. L’email deliverability, invece, misura quante di quelle email sono finite nella posta in arrivo principale. Un mittente può avere il 99% di delivery e il 60% di inbox placement, e nessuna dashboard standard glielo dirà.
La distanza fra i due numeri è il territorio in cui si perde la maggior parte del budget di email marketing italiano. Nei test indipendenti condotti su quindici piattaforme di invio, la media di recapito effettivo si è attestata attorno all’83%, il che significa che circa un messaggio su sei sparisce o finisce nel filtro antispam anche partendo da infrastrutture professionali, come documentato nel test comparativo sul recapito delle newsletter. Se stai investendo in campagne di direct email marketing senza misurare l’inbox placement, stai misurando il fatturato con il metro sbagliato.
Vale la pena chiarire anche il vocabolario tecnico, perché serve dopo. Il percorso di un messaggio passa da un client, un server SMTP di invio, uno o più relay, il server ricevente e infine i filtri. Ogni passaggio lascia tracce nelle intestazioni, e quelle tracce sono la scatola nera che si legge quando qualcosa va storto. Se il funzionamento della posta ti è ancora poco chiaro, ho scritto una guida separata su come viaggia davvero una mail dal mittente al destinatario.
Chi decide se la tua email entra in inbox
Nessun filtro antispam usa una regola sola. Il verdetto nasce da un punteggio composito, e i fattori che pesano di più oggi sono tre.
Il primo è la reputazione del dominio mittente. Anni fa contava soprattutto l’indirizzo IP di invio, e infatti si vendevano IP dedicati come se fossero la soluzione a tutto. Oggi il baricentro si è spostato sul dominio, perché è l’unico identificativo che il mittente non può cambiare senza perdere il proprio brand. Cambiare IP dopo un disastro serve a poco se il dominio è bruciato.
Il secondo è l’engagement reale. Aperture, click, risposte, spostamenti dalla cartella spam alla inbox, cancellazioni, segnalazioni. I provider osservano cosa fanno gli utenti con i tuoi messaggi e ne deducono se li desiderano. Un mittente che invia a duemila contatti attivi ha vita più facile di uno che ne bombarda ventimila indifferenti. Su questo tema ho approfondito altrove cosa significa engagement nell’email marketing e come si misura.
Il terzo è l’autenticazione, cioè la capacità del tuo dominio di dimostrare crittograficamente che quella email l’hai mandata davvero tu. Qui si gioca la partita che la maggior parte delle PMI italiane sta perdendo senza saperlo.
Spf, dkim e dmarc spiegati senza fuffa
Sono tre record DNS. Non sono opzionali, non sono roba da sistemisti paranoici e non risolvono lo stesso problema.
SPF (Sender Policy Framework) è la lista dei server autorizzati a spedire per conto del tuo dominio. Il server ricevente legge quel record e verifica che il messaggio arrivi da un indirizzo previsto. Il limite classico: se usi cinque servizi diversi che mandano email per te, la catena di autorizzazioni si allunga e supera il tetto di dieci lookup DNS, e a quel punto SPF fallisce in silenzio. È un errore che trovo con regolarità imbarazzante nelle aziende che hanno accumulato strumenti nel tempo senza mai rivedere il DNS.
DKIM (DomainKeys Identified Mail) firma il messaggio con una chiave privata. Il destinatario recupera la chiave pubblica dal tuo DNS e verifica che il contenuto non sia stato alterato in transito e che la firma corrisponda al dominio dichiarato. È la parte crittografica del meccanismo.
DMARC mette insieme i due precedenti e aggiunge la cosa che mancava: una policy. Dice al mondo cosa fare quando un messaggio che dichiara il tuo dominio non supera i controlli. Può chiedere di non fare nulla e limitarsi a segnalare (p=none), di mettere in quarantena (p=quarantine) o di rifiutare (p=reject). In più genera report aggregati che ti dicono chi sta spedendo a nome tuo. Detto questo, quasi tutti si fermano a p=none e non leggono mai i report, il che equivale a installare un allarme e staccarne la sirena.
Il dettaglio che fa la differenza si chiama allineamento. Non basta che SPF o DKIM passino: il dominio nell’intestazione “Da:” visibile all’utente deve corrispondere al dominio validato. Google raccomanda esplicitamente di allineare DMARC sia a SPF sia a DKIM e segnala che l’allineamento su entrambi diventerà probabilmente un requisito, come si legge nelle FAQ ufficiali sulle linee guida per i mittenti. Chi si limita al minimo sindacale oggi si troverà fuori norma domani.
Cosa è cambiato con le regole di google e yahoo
Dal febbraio 2024 il gioco ha regole scritte. Chi invia oltre cinquemila messaggi al giorno verso account Gmail deve configurare SPF, DKIM e DMARC, deve garantire record DNS diretti e inversi validi, deve usare una connessione TLS, deve rispettare il formato standard dei messaggi e deve offrire la disiscrizione con un solo clic nei messaggi promozionali. Sono requisiti pubblicati nelle linee guida per i mittenti di email e non sono consigli: sono condizioni di ingresso.
C’è poi la soglia che merita un paragrafo a sé. Il tasso di segnalazione spam misurato in Postmaster Tools deve restare sotto lo 0,3%. Tradotto: su mille email consegnate, meno di tre persone devono premere il pulsante “segnala spam”. Google precisa che il recapito peggiora già sopra lo 0,1% e che il danno cresce in modo progressivo, non a scalini. Tre segnalazioni ogni mille sembrano poche finché non guardi la tua lista importata da una fiera di due anni fa.
Un equivoco diffuso va smontato: la soglia dei cinquemila messaggi non è un salvacondotto. Sotto quel volume restano comunque obbligatori SPF o DKIM, e soprattutto restano valide tutte le logiche di reputazione. La differenza è che il mittente piccolo viene punito più lentamente, quindi si accorge del problema mesi dopo, quando recuperare è più difficile.
Le cause che trovo più spesso quando le email finiscono in spam
In trent’anni di lavoro su infrastrutture di posta, i problemi di email deliverability si ripetono con una monotonia quasi confortante. Ecco quelli che incontro più di frequente.
- DNS mai riordinato. Record SPF multipli sullo stesso dominio, il che invalida automaticamente la verifica, oppure include di servizi dismessi anni prima.
- Dominio di invio diverso dal dominio del brand. Piattaforme configurate per spedire da un sottodominio generico del fornitore, senza allineamento, quindi senza costruire reputazione per il tuo dominio.
- Liste morte tenute in vita. Contatti raccolti anni fa, mai ripuliti, con indirizzi dismessi che ora sono spam trap.
- Invio massivo a freddo. Un dominio nuovo che il primo giorno spara ventimila email è un dominio bruciato entro sera.
- Contenuti che imitano lo spam. Immagine unica senza testo alternativo, link accorciati, redirect strani, un solo grande pulsante e niente altro.
Noterai che quattro cause su cinque non hanno nulla a che vedere con il copywriting. È interessante quanto il settore continui a vendere corsi su come scrivere l’oggetto perfetto a persone che hanno il DNS rotto. L’oggetto conta, certo, ma conta dopo. Per capire come i filtri classificano i messaggi indesiderati ho dedicato un approfondimento a parte al significato tecnico di spam e ai meccanismi di difesa.
Come si diagnostica un problema di email deliverability
Quando un cliente mi dice che le email non arrivano, la sequenza è sempre la stessa e si chiude in mezza giornata di lavoro.
Si parte dal DNS. Interrogazione diretta dei record TXT del dominio per verificare presenza, unicità e sintassi di SPF, DKIM e DMARC, conteggio dei lookup, controllo del record PTR sull’IP di invio. Poi si passa alle intestazioni: si recupera un messaggio realmente ricevuto e si leggono i risultati di autenticazione riga per riga. Le intestazioni non mentono e non hanno interesse a farti stare tranquillo.
Il terzo passo è il monitoraggio. Registrazione del dominio su Postmaster Tools per vedere reputazione e tasso di spam con i dati di Google, non con le stime della piattaforma di invio. In parallelo si attivano i report DMARC aggregati verso una casella dedicata e si leggono davvero, perché è lì che scopri i mittenti terzi che nessuno ricordava di aver autorizzato.
Quarto passo, i test di posizionamento. Si invia una campagna reale a un set di caselle di controllo distribuite fra i principali provider e si registra dove atterra ciascun messaggio. È l’unico modo per avere un numero di inbox placement invece di un numero di delivery. Infine si controlla la presenza del dominio e degli IP nelle principali blacklist pubbliche, che è il primo posto dove guardano molti e l’ultimo dove sta quasi sempre il problema vero.
Il lato che quasi nessuno tratta: la deliverability è un problema di sicurezza
Qui arriva la parte che raramente trovi negli articoli sul tema, e che deriva dal mio lavoro come ethical hacker certificato CPEH prima ancora che come consulente di marketing.
SPF, DKIM e DMARC nascono come controlli antifrode, non come strumenti di marketing. Il loro scopo originale è impedire che qualcuno spedisca email fingendo di essere te. Il beneficio sul recapito è una conseguenza, non l’obiettivo. Questo ribalta la prospettiva: se il tuo dominio non è autenticato correttamente, non hai soltanto un problema di newsletter che finiscono in spam, hai un dominio spoofabile. Chiunque può scrivere ai tuoi clienti con il tuo nome nel campo mittente.
Nella pratica peritale mi è capitato di analizzare casi di frode del bonifico in cui l’anello debole non era il computer della vittima ma un dominio aziendale privo di policy DMARC restrittiva. L’attaccante non ha dovuto violare nulla: gli è bastato spedire. Quando poi il fatto finisce in un’aula di tribunale, la domanda che arriva è sempre la stessa, cioè quali misure tecniche l’azienda avesse adottato. Un record p=none dimenticato da tre anni è una risposta difficile da sostenere.
C’è un corollario operativo importante. Se ancora oggi il tuo dominio principale invia sia posta transazionale sia campagne promozionali sia comunicazioni amministrative senza alcuna separazione, stai mettendo la reputazione delle fatture nelle mani della newsletter. Una campagna sbagliata trascina giù anche le email che devono arrivare per forza. La segmentazione su sottodomini dedicati non è raffinatezza da grandi aziende: è la cosa che protegge il canale critico quando quello di marketing prende una botta. Vale anche il contrario, e va detto con onestà: separare i sottodomini significa costruire e mantenere reputazioni distinte, quindi comporta lavoro in più e va fatto solo se i volumi lo giustificano.
Consenso e gdpr: la lista sporca è anche un rischio legale
Una lista raccolta male è un problema doppio. Da un lato genera segnalazioni spam e distrugge la reputazione, dall’altro espone a un rischio sanzionatorio che in Italia è tutt’altro che teorico. Nel dicembre 2025 il Garante ha sanzionato una società per 400mila euro per trattamento illecito di dati a fini di marketing, imponendo anche la cancellazione dei dati raccolti senza valido consenso, come riportato nella newsletter dell’Autorità.
Da consulente privacy iscritto FederPrivacy ripeto una cosa che al reparto marketing piace poco: il double opt in non serve a rendere felici i filtri, serve a poter dimostrare il consenso. Che poi migliori anche la deliverability è un effetto collaterale gradito. Prova di raccolta, data, sorgente, testo dell’informativa vigente in quel momento: senza questi elementi non hai una lista, hai un elenco. Ho trattato in modo specifico il tema del riutilizzo dei contatti storici nell’articolo su quando una lista email non è più utilizzabile secondo il GDPR.
Riparare una reputazione compromessa
Recuperare si può, ma i tempi non li decidi tu. Il percorso tipico dura fra le quattro e le otto settimane e non ammette scorciatoie.
Un caso concreto, reso anonimo. Azienda manifatturiera del nord Italia, quattordicimila contatti accumulati in sei anni fra fiere, moduli e importazioni da un vecchio gestionale. Recapito percepito in calo, aperture crollate, nessuna idea del perché. L’analisi ha mostrato due record SPF sullo stesso dominio, DKIM assente sulla piattaforma promozionale, DMARC inesistente e un tasso di segnalazione spam sopra la soglia critica di Google.
L’intervento ha seguito questo ordine: pulizia del DNS e autenticazione completa, sospensione totale degli invii per dieci giorni, segmentazione della lista sui soli contatti attivi negli ultimi dodici mesi, che erano poco più di quattromila su quattordicimila, e ripresa graduale partendo da volumi bassi con incrementi progressivi. Dopo sette settimane il tasso di segnalazione era rientrato e le aperture sul segmento attivo erano più che raddoppiate rispetto al periodo precedente. Il fatturato generato dal canale è cresciuto pur inviando a un terzo dei contatti.
Il passaggio psicologicamente più difficile è sempre quello di rinunciare a diecimila indirizzi. Nessun imprenditore lo fa volentieri. Al contrario di quello che suggerisce l’istinto, però, una lista piccola e viva vale molto più di una grande e morta, perché è la seconda che ti impedisce di raggiungere la prima.
Strumenti e risorse per monitorare l’email deliverability
Il monitoraggio minimo indispensabile è composto da pochi elementi: Postmaster Tools per la reputazione lato Google, una casella dedicata alla ricezione dei report DMARC aggregati con un parser che li renda leggibili, un servizio di test di posizionamento da usare prima delle campagne importanti e un controllo periodico delle blacklist. Aggiungerei una regola di igiene: una revisione del DNS ogni volta che si attiva o si dismette uno strumento che invia email, perché è esattamente in quei momenti che nascono i problemi che scoprirai fra otto mesi.
Riepilogo dei punti chiave
L’email deliverability misura quante email raggiungono la posta in arrivo, mentre il delivery rate mostrato dalle piattaforme dice solo che il server ricevente ha accettato il messaggio. La differenza fra i due dati è dove si perde il budget. Il recapito dipende da tre fattori: reputazione del dominio, engagement reale dei destinatari e autenticazione tramite SPF, DKIM e DMARC. Dal 2024 Google e Yahoo hanno reso questi requisiti vincolanti per chi invia oltre cinquemila messaggi al giorno, con un tetto allo 0,3% di segnalazioni spam. Le cause più frequenti dei problemi di recapito sono tecniche e non editoriali: DNS disordinato, record SPF duplicati, liste mai ripulite, invii massivi da domini freddi. La diagnosi corretta parte dal DNS, passa dalle intestazioni dei messaggi e si chiude con test di posizionamento reali. Vale la pena ricordare che l’autenticazione nasce come misura antifrode: un dominio non autenticato non ha solo un problema di newsletter, ha un problema di sicurezza e di conformità.
Domande frequenti su email deliverability
Che cos’è l’email deliverability
L’email deliverability è la capacità di un messaggio di raggiungere la posta in arrivo principale del destinatario, senza essere bloccato dai filtri o dirottato nella cartella spam. Si distingue dal delivery rate, che indica soltanto se il server ricevente ha accettato il messaggio, a prescindere dalla cartella in cui è finito.
Qual è un buon tasso di deliverability
Un inbox placement sopra il 95% indica una infrastruttura sana, fra il 90% e il 95% c’è margine di miglioramento, sotto il 90% esiste un problema da diagnosticare. Il riferimento che conta di più resta però il tasso di segnalazione spam, che secondo le linee guida di Google deve restare sotto lo 0,3% e idealmente sotto lo 0,1%.
Perché le mie email finiscono in spam
Nella maggior parte dei casi la causa è tecnica e non editoriale: autenticazione mancante o incompleta, record SPF duplicati o oltre il limite di dieci lookup DNS, dominio di invio senza reputazione, liste non ripulite che contengono indirizzi dismessi trasformati in spam trap, oppure invii massivi improvvisi da un dominio che non ha una storia di spedizione.
Che differenza c’è fra SPF, DKIM e DMARC
SPF elenca i server autorizzati a inviare per il tuo dominio. DKIM firma crittograficamente il messaggio in modo che il destinatario possa verificarne origine e integrità. DMARC definisce cosa deve fare il destinatario quando i controlli falliscono e produce report su chi spedisce a nome tuo. Servono tutti e tre e devono essere allineati al dominio visibile nel campo mittente.
Come si testa la deliverability di una campagna
L’email deliverability si misura sul campo: si invia la campagna reale a un insieme di caselle di controllo distribuite fra i principali provider e si registra in quale cartella atterra ciascun messaggio. In parallelo si leggono i risultati di autenticazione nelle intestazioni, si consulta la reputazione del dominio negli strumenti per mittenti di Google e si verifica l’assenza di dominio e IP dalle blacklist pubbliche.
Quanto tempo serve per recuperare una reputazione compromessa
In genere fra le quattro e le otto settimane, a condizione di correggere prima l’autenticazione, sospendere temporaneamente gli invii, ripartire solo dai contatti che hanno mostrato interesse recente e aumentare i volumi in modo graduale. Non esistono scorciatoie: i provider valutano il comportamento nel tempo e nessun intervento produce un recupero immediato.
Da dove conviene partire
Se hai letto fin qui probabilmente hai già il sospetto che il tuo problema non sia l’oggetto delle email. Il modo più rapido per capire lo stato reale della tua email deliverability è guardare tre cose nell’ordine: i record DNS del dominio, i risultati di autenticazione nelle intestazioni di un messaggio realmente ricevuto e il tasso di segnalazione spam misurato da Google. Nella maggior parte dei casi la diagnosi emerge già al primo passaggio, e quasi sempre si tratta di una configurazione fatta anni fa da qualcuno che nel frattempo non lavora più con te.
Va detto con onestà che non ogni situazione si risolve con un intervento tecnico. Se la lista è stata costruita male, nessun record DNS la rimette in piedi e la strada giusta passa dalla ricostruzione del rapporto con i contatti, con i tempi che questo comporta. Quello che posso dirti è che rimandare non fa altro che allungare il periodo di recupero.
Prenota una consulenza strategica: se vuoi capire in che stato è davvero il tuo dominio prima della prossima campagna, puoi fissare un confronto diretto in agenda.
