Nuove regole Microsoft Outlook per i mittenti ad alto volume: cosa cambia per la deliverability (e come Infomail ti supporta)

Dopo Google e Yahoo, anche Microsoft ha alzato l’asticella. Dal 5 maggio 2025 sono entrate in vigore nuove le regole di autenticazione per chi invia oltre 5.000 email al giorno verso caselle Outlook.com, Hotmail.com e Live.com. È un passo coerente con la direzione che tutto l’ecosistema email sta prendendo: meno spam, più trasparenza, più tutela per chi riceve i messaggi e per chi li spedisce nel modo corretto.

Vediamo nel dettaglio cosa cambia, quali sono i rischi per chi non si adegua e in che modo Infomail si sta muovendo per garantirti continuità e performance.

Cosa richiede ora Microsoft

I mittenti che superano la soglia dei 5.000 invii giornalieri devono avere correttamente configurati i tre pilastri dell’autenticazione email:

• SPF (Sender Policy Framework): il record DNS del dominio deve elencare in modo esplicito gli IP autorizzati a spedire email per conto del mittente.
• DKIM (DomainKeys Identified Mail): ogni messaggio deve avere una firma digitale che ne certifichi l’integrità e l’origine.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): è necessario pubblicare un record DMARC con policy almeno p=none, in allineamento con SPF o DKIM (meglio se entrambi).

Senza una corretta configurazione, le conseguenze sono concrete: in una prima fase i messaggi finiranno nella cartella Posta indesiderata, in un secondo momento Microsoft potrà rifiutarli direttamente con un errore SMTP 550 5.7.515, che segnala l’inadeguatezza dei livelli di autenticazione del dominio mittente.

Perché una policy DMARC p=none non basta più

Tra i requisiti elencati sopra c’è la pubblicazione di un record DMARC con policy almeno p=none. Va detto chiaramente: si tratta del livello d’ingresso, non del traguardo. Una configurazione fermata a p=none, soprattutto se priva delle informazioni di reporting, oggi è un punto di partenza, non una soluzione.

Vediamo perché.

p=none significa solo “osservare”, non “proteggere”

Il valore p=none comunica ai mailbox provider una cosa precisa: “se trovi email che non superano i controlli di autenticazione del mio dominio, non bloccarle, ma fammelo sapere”. È utile in fase iniziale per capire chi sta usando il tuo dominio per inviare email (incluse fonti legittime che magari non sapevi neppure esistessero), ma non offre alcuna protezione effettiva contro l’impersonificazione e lo spoofing. Chiunque può continuare a inviare email apparentemente provenienti dal tuo dominio: il provider riceverà una segnalazione, ma il messaggio fraudolento arriverà comunque al destinatario.

Senza tag rua, perdi metà del valore di DMARC

Il vero potenziale di DMARC sta nel ciclo virtuoso “report → analisi → correzione”. Per attivarlo serve il tag rua, ovvero l’indirizzo email a cui ricevere i report giornalieri in formato XML inviati dai mailbox provider.

Un record così non basta:

v=DMARC1; p=none

Serve invece qualcosa come:

v=DMARC1; p=none; rua=mailto:[email protected]

Solo ricevendo questi report puoi capire quali sistemi spediscono a tuo nome, quali sono allineati con SPF e DKIM, quali invece no, e — soprattutto — costruire un piano per arrivare a una policy realmente protettiva.

Le tre fasi di una corretta adozione di DMARC

DMARC non è un interruttore on/off: è un percorso fatto di tre fasi.

1. Monitoraggio: pubblicazione del record con p=none e tag rua, raccolta e lettura dei report (di norma con il supporto di una piattaforma o di un consulente, perché i file XML grezzi sono poco leggibili).
2. Enforcement: una volta che tutti i flussi legittimi sono allineati, si passa a una policy davvero restrittiva, p=quarantine o p=reject, che istruisce i mailbox provider a mettere in spam o a respingere tutto ciò che non è autenticato correttamente.

È in questa seconda fase che si gioca la vera partita della protezione del dominio: bloccare le email illegittime prima che raggiungano gli utenti, e dare ai messaggi autentici tutto il vantaggio di un mittente verificato.

In ordine di priorità:

• verifica che il tuo record DMARC includa il tag rua per ricevere i report;
• avvia il monitoraggio del traffico email del tuo dominio;
• correggi gli eventuali disallineamenti di SPF e DKIM su tutte le fonti di invio;
• pianifica il passaggio progressivo da p=none a p=quarantine e, dove possibile, a p=reject.

E lo spam rate?

A differenza di Google e Yahoo, che fissano un tetto esplicito allo spam rate (di norma sotto lo 0,3%), Microsoft per ora non ha comunicato una soglia ufficiale. Attenzione però: questo non vuol dire che il comportamento dei destinatari non pesi. Un volume elevato di segnalazioni come spam compromette comunque la reputazione del mittente e impatta in modo significativo sulla deliverability, anche senza un limite numerico dichiarato.

Le altre raccomandazioni di Microsoft

Oltre ai requisiti tecnici, Microsoft invita i mittenti ad adottare alcune buone pratiche che, in realtà, sono il pane quotidiano di chi fa email marketing serio:

• Indirizzi mittente reali: i campi From e Reply-To devono corrispondere a caselle attive, in grado di ricevere risposte, e riflettere il dominio effettivamente utilizzato.
• Pulizia delle liste: rimuovere periodicamente indirizzi non validi o inattivi per contenere bounce e segnalazioni.
• Coerenza e trasparenza: oggetti onesti, contenuti autentici, nessun header ingannevole.

Come Infomail si sta adeguando

In Infomail abbiamo già applicato tutte le modifiche necessarie per garantire ai nostri clienti la piena conformità ai nuovi standard, senza che tu debba preoccuparti delle parti tecniche più complesse. Stiamo aggiornando l’infrastruttura di invio e i meccanismi di autenticazione in modo che ogni messaggio in uscita risponda ai requisiti richiesti da Microsoft (e dagli altri principali provider).

Personalizza return path e link di tracciamento dalla sezione Domini

Per allineare ancora di più la comunicazione al tuo brand e migliorare la coerenza percepita dai filtri antispam, all’interno della piattaforma puoi intervenire direttamente dalla sezione Domini. Qui hai la possibilità di personalizzare il return path e il link di tracciamento, in modo da farli combaciare il più possibile con il dominio del mittente.

Perché è importante:

• Coerenza del dominio: avere return path e link di tracciamento sullo stesso dominio (o su un sottodominio coerente) rispetto al From rafforza l’allineamento SPF e DMARC.
• Identità del brand: i link che il destinatario vede e che vengono analizzati dai filtri richiamano il tuo dominio, non un dominio tecnico anonimo.
• Migliore deliverability: più i segnali tecnici sono coerenti, più la reputazione del dominio si consolida nel tempo.

Pochi minuti di configurazione che si traducono in un vantaggio strutturale per ogni futuro invio.

1. Accedi ad Infomail e clicca sul menu a sinistra Domini di Invio
2. Seleziona il dominio di invio con cui spedisci
3. Dopo aver inserito il dkim, l’spf e il dmarc, inserisci nei tuoi DNS i parametri Return-path personalizzato
4. Inserisci il link per il parametro per il tracciamento personalizzato e copia anche questi parametri nei tuoi DNS

Effettua un invio di test per valutare il corretto inserimento nei DNS.
Cosa devi verificare? Dalla tua casella di posta, dopo l’invio, verifica che i link funzionino correttamente, che la disiscrizione funzioni correttamente.

Accedi a Infomail e vai alla sezione Domini di invio >>

Buon lavoro!

Immagine: Glock