La tua email non arriva su Hotmail e nessuno te lo dice

Dal 5 novembre, secondo chi gestisce posta per mestiere, una parte delle email mandate da indirizzi con dominio proprio (nome@tuodominio.it, per capirci) e senza un record chiamato DMARC non arriva più a chi ha una casella Outlook.com, Hotmail, Live o MSN. Torna indietro con un messaggio pieno di sigle. Lo ha documentato MailRoute, una società che gestisce la posta di altre aziende, e il dettaglio che mi ha fatto fermare è un altro: succede a qualche messaggio sì e a qualche messaggio no.

Se la posta si rompe del tutto lo scopri in un’ora; rotta a metà, può andare avanti per settimane prima che qualcuno se ne accorga, e nel frattempo un preventivo, una fattura o una conferma d’appuntamento restano per strada.

Prima bastava il francobollo

Per anni l’indirizzo col dominio è stato una di quelle cose che si sistemano una volta. Compri il dominio, qualcuno crea la casella, la colleghi al telefono e al computer, fine. Da lì in poi la posta è un elettrodomestico: funziona, e nessuno si chiede come.

Ho l’impressione che in tanti piccoli studi sia ancora così. Chi ha configurato la casella magari era il nipote, o il tecnico che anni fa ha fatto il sito, o il provider con una procedura guidata. Le impostazioni stanno nel DNS, cioè la rubrica pubblica che dice a internet dove si trovano il sito e la posta di un dominio, e quella rubrica non la apre mai nessuno.

Funzionava perché le regole erano larghe. Una lettera con il francobollo arrivava, anche se sulla busta c’era scritto un mittente qualunque.

Adesso la busta deve mostrare i documenti

Le regole si sono strette per un motivo serio: è facilissimo spedire una email facendo finta di essere qualcun altro. Per difendersi, i grandi servizi di posta guardano tre cose.

• SPF: l’elenco dei server autorizzati a spedire per conto del tuo dominio, come la lista dei corrieri a cui l’ufficio consegna i pacchi.
• DKIM: una firma digitale aggiunta a ogni messaggio, il sigillo di ceralacca che dimostra che la lettera non è stata aperta e rimessa in giro.
• DMARC: un’istruzione pubblicata nel DNS che collega i primi due all’indirizzo che compare nel campo “Da”, e dice a chi riceve cosa fare quando i controlli non tornano.

Microsoft queste regole le aveva già annunciate, ma per un pubblico preciso. Nel suo annuncio della primavera 2025 le chiedeva ai domini che spediscono oltre 5.000 email al giorno verso le sue caselle personali. Chi manda newsletter, insomma. Uno studio di commercialisti con tre caselle aveva tutte le ragioni per sentirsi fuori.

Il cambio del 5 novembre, secondo MailRoute, è che il rifiuto colpisce anche chi spedisce poco: una risposta di una riga da un piccolo ufficio. Il messaggio di errore dice che mancano i record SPF, DKIM e DMARC, ma nei domini respinti che hanno visto loro di solito SPF c’era, e spesso anche DKIM. Mancava DMARC. Alla data del 6 novembre, scrivono, Microsoft non aveva pubblicato nessun avviso.

La correzione che propongono è un solo record TXT nel DNS, con un DMARC impostato su “p=none”: dichiara che il dominio usa DMARC, senza dire a nessuno di scartare la posta che non passa i controlli. Con una condizione che spesso si salta: serve anche che SPF o DKIM funzionino per lo stesso dominio che compare nel mittente.

Potrebbe essere un guasto

Windows Latest, un sito specializzato su Microsoft, ha raccolto le segnalazioni l’8 novembre, e diversi utenti raccontano di essere respinti anche con SPF, DKIM e DMARC in regola. Un utente del forum di Microsoft parla di una piccola percentuale di messaggi, forse a seconda del server su cui finiscono. Altri raccontano che reinviando la stessa email, a volte, passa. L’autore dice di non aver trovato dichiarazioni che indichino una modifica voluta, e Microsoft non ha confermato la causa.

L’obiezione quindi è forte: forse non è una regola nuova, è un guasto. E se è un guasto, tutto questo discorso sulle piccole imprese che devono mettere a posto il DNS rischia di scaricare su di loro un problema di Microsoft.

L’obiezione ha ragione a metà. Non so se tra un mese i rifiuti spariranno da soli, e chi dice di saperlo oggi sta tirando a indovinare. Nello stesso articolo, però, c’è anche un utente che aveva controllato tutto, ha scoperto che il dominio della sua organizzazione non aveva il record DMARC, lo ha aggiunto con “p=none” e dopo un’ora di prove non vedeva più errori. Un caso solo non prova niente, ma è lo stesso scenario che descrive MailRoute. E senza quel record il dominio resta più facile da usare come falso mittente, anche quando Microsoft avrà sistemato i suoi server.

Una comodità in meno

Si è persa una comodità vera: l’idea di poter ignorare la posta. Non è più un elettrodomestico, assomiglia di più alla caldaia, che va avanti anni senza problemi finché un giorno serve qualcuno che sappia dove mettere le mani. E la caldaia almeno, quando si ferma, te ne accorgi.

Con la posta no. Chi spedisce vede tornare indietro un messaggio in inglese pieno di codici, pensa a un intoppo e passa oltre, mentre il destinatario non sa nemmeno che il messaggio esisteva. Dal suo lato sembra solo che tu non abbia risposto.

In cambio c’è una strada per difendersi. Un record con “p=none” da solo non ferma nessuno: è il primo passo. Quando la regola passa a “reject”, i server che la rispettano rifiutano la posta che finge di venire dal tuo dominio, e un truffatore che vuole spedire finte fatture con il nome del tuo studio trova la strada più in salita. Quando si parla di sicurezza dei siti aziendali si pensa al sito; qui il bersaglio è il tuo nome nella casella di un cliente.

La posta col dominio deve avere un responsabile con nome e cognome. Qualcuno che sa dove sta il DNS, ha le credenziali per entrarci e ogni tanto controlla. Quando si cambia sviluppatore o fornitore, l’accesso al DNS va preteso insieme al resto, e un controllo dei record di posta ha senso dentro una manutenzione del sito fatta sul serio, non solo quando qualcosa si rompe.

Una prova da fare oggi, senza competenze: apri la posta in arrivo degli ultimi giorni (spam compreso) e cerca gli avvisi di mancato recapito che contengono “Message rejected” o “5.7.1”. Se ne trovi anche uno solo per un messaggio mandato a un indirizzo Hotmail o Outlook, quel cliente potrebbe non aver mai ricevuto la tua risposta. E se non trovi niente, chiedi comunque a chi gestisce il dominio se esiste un record DMARC.

Se vuoi che dia un’occhiata ai record di posta del tuo dominio, scrivimi.