Perché le mie email finiscono nello spam in Outlook? (E come risolvere)

"Outlook" indica tre filtri diversi e la soluzione dipende da quale ha spostato la tua email nella posta indesiderata. C'è Outlook.com, il servizio email di Microsoft per i privati, che gestisce anche gli indirizzi hotmail.com, live.com e msn.com. C'è Microsoft 365, con le caselle email aziendali a pagamento, dove un amministratore dell'azienda destinataria configura i criteri antispam. Infine c'è l'app Outlook sul computer dell'utente, che può applicare un proprio filtro per la posta indesiderata oltre alla decisione presa dal server. I requisiti per i mittenti annunciati da Microsoft nel 2025 si applicano solo al primo caso.

Quindi, prima di modificare anche un solo record DNS, controllo l'indirizzo del destinatario. Un indirizzo hotmail.com o outlook.com è soggetto alle regole per i privati descritte di seguito. Un indirizzo di un'azienda che gestisce la posta con Microsoft è soggetto ai criteri del tenant, definiti dal team IT dell'azienda.

01Outlook.com e le regole di maggio 2025

Nell'aprile 2025 Microsoft ha annunciato i requisiti per i domini che inviano più di 5.000 email al giorno al suo servizio per consumatori, mentre la pagina delle policy per i postmaster indica il 5 maggio 2025 come data di entrata in vigore. Oltre questo volume:

• SPF deve essere superato per il dominio di invio.
• DKIM deve essere superato.
• DMARC deve essere pubblicato con "almeno p=none" e allineato con SPF o DKIM, "preferibilmente entrambi". La pagina delle policy aggiunge che è consigliato p=reject.

L'articolo di supporto relativo al bounce usa una formulazione leggermente diversa. Considera 5.000 o più messaggi inviati ai servizi Microsoft per consumatori che usano tutti lo stesso dominio nell'indirizzo From, specifica che devono essere superati entrambi i controlli SPF e DKIM e, quando un dominio raggiunge questa soglia, Microsoft si aspetta che "tutti i messaggi dei mittenti del dominio" rispettino le regole, non solo la newsletter che ha fatto superare la soglia. Il suo esempio DMARC è praticamente il record più breve possibile:

Hostname:   _dmarc
TXT value:  v=DMARC1; p=none

Aggiungerei un indirizzo per i report, rua=mailto:dmarc@example.com o un altro indirizzo su cui leggi effettivamente la posta. Outlook.com invia report aggregati (le FAQ di Microsoft indicano che invia RUA e non prevede di inviare RUF) e lo strumento di controllo DMARC mostrerà se l'indirizzo indicato è in grado di riceverli.

Google ha stabilito la stessa soglia di 5.000 messaggi al giorno per Gmail nel febbraio 2024 e ha iniziato a intensificare l'applicazione delle regole, inclusi i rifiuti, nel novembre 2025. Yahoo applica un elenco di requisiti simile senza indicare alcuna soglia.

Il modo in cui la regola viene applicata è cambiato quando l'annuncio era ancora recente. Il post originale indicava che le email non conformi sarebbero prima finite nella cartella Junk e avrebbero potuto essere rifiutate in seguito. Un aggiornamento datato 29 aprile afferma che Microsoft ha invece deciso di rifiutarle, ma più avanti lo stesso post contiene ancora il precedente paragrafo che indica il passaggio iniziale nella cartella Junk. Oggi, l'interpretazione più prudente è che dal 5 maggio 2025 le email non conformi finiscano nella cartella Junk e che Outlook.com ora le rifiuti anche con questo messaggio:

Non ho trovato una data pubblicata per il passaggio al rifiuto. L'articolo di supporto lo descrive semplicemente al presente.

02Cosa ti indica il codice di mancato recapito

Un mancato recapito da Outlook.com è più utile di un messaggio che rimane silenziosamente nella cartella Posta indesiderata, perché ne specifica il motivo. La pagina per la risoluzione dei problemi di Microsoft contiene una tabella dei codici. Questi sono quelli più comuni per i normali mittenti:

Un semplice 550 5.7.1 senza i codici specifici di Microsoft è un altro tipo di rifiuto. C'è una pagina separata che spiega come interpretarlo.

03Mittenti di terze parti e requisito SPF

Molti domini inviano contemporaneamente tramite diversi servizi: una piattaforma per newsletter, un CRM, un help desk, un sistema di fatturazione. Ognuno invia usando il tuo dominio nel campo From e deve essere coperto dai tuoi record. Alla domanda se le regole valgano anche quando un provider invia per tuo conto, le FAQ di Microsoft rispondono: "Sì. Anche se affidi l'invio a terzi, l'autenticazione è legata al tuo dominio." L'articolo di supporto specifica cosa verificare: che DKIM firmi con il tuo dominio e che il record SPF "includa l'indirizzo IP o i valori include richiesti dal servizio".

È qui che il requisito di superare sia SPF sia DKIM crea confusione. Molte piattaforme impostano l'indirizzo di bounce sul proprio dominio, ed è questo Return-Path che SPF controlla effettivamente. SPF viene quindi superato per la piattaforma, soddisfacendo il requisito "deve essere superato", mentre l'allineamento DMARC deve derivare dalla firma DKIM con il tuo dominio. Se invece la piattaforma firma con il proprio dominio, ottieni due controlli superati ma nessun allineamento, e il successivo DMARC fail è esattamente ciò che riguarda l'errore 5.7.515. L'articolo di supporto chiede inoltre di verificare se il dominio Return-Path è allineato con il dominio From.due controlli superati, nessun allineamento: tutta la storia del 5.7.515

Ogni servizio che aggiungi a SPF comporta anche delle ricerche DNS. Le FAQ di Microsoft lo spiegano così: "Se superi 10 ricerche DNS, il controllo SPF potrebbe non riuscire." Lo strumento di verifica SPF le conta per te e, se superi il limite, ecco come tornare sotto dieci. Lo strumento di verifica DKIM esegue il controllo corrispondente per il selettore di ogni piattaforma.

04Microsoft 365 applica i filtri in base ai criteri altrui

Un'organizzazione Microsoft 365 dispone di criteri antispam configurati dagli amministratori. Per impostazione predefinita, spam, spam ad alta probabilità e posta in blocco finiscono nella cartella Posta indesiderata, mentre il phishing viene messo in quarantena e il phishing ad alta probabilità viene sempre messo in quarantena. Dal punto di vista del mittente, la quarantena è l'esito più dannoso, perché il destinatario non trova il messaggio in nessuna cartella, a meno che non vada appositamente a cercarlo. Il criterio predefinito lo conserva lì per 15 giorni, mentre le configurazioni predefinite Standard e Strict lo conservano per 30 giorni.

La posta in blocco ha una misura specifica, il livello di reclami per la posta in blocco. Un BCL da 1 a 3 indica un mittente di posta in blocco con pochi reclami, mentre 8 o 9 indica un mittente con molti reclami. Il criterio predefinito invia la posta in blocco nella Posta indesiderata a partire da un BCL di 7, la configurazione Standard a partire da 6 e Strict a partire da 5. Da luglio 2026 è presente anche un livello più recente: la posta in blocco di natura promozionale riceve un'etichetta Promotions indipendentemente dal suo BCL e, se un amministratore ha attivato "Bulk moves enabled", finisce in una cartella Promotions. Non è spam, ma non è nemmeno la Posta in arrivo. La funzionalità è ancora in fase di distribuzione.

I due sistemi Microsoft non sono isolati l'uno dall'altro. Microsoft afferma che il filtro antispam di Microsoft 365 "impara dalle minacce note di spam e phishing e dai feedback degli utenti della nostra piattaforma consumer, Outlook.com", quindi le segnalazioni dei lettori di hotmail.com contribuiscono al filtro utilizzato dalle caselle di posta aziendali.

Gli amministratori possono anche inserire un mittente in un elenco di mittenti consentiti, aggirando la maggior parte delle protezioni tranne quelle contro il malware e il phishing ad alta probabilità. Se un'azienda partner continua a ricevere le tue fatture nella Posta indesiderata, il suo team IT può vedere il verdetto effettivo.

05Leggere il verdetto nelle intestazioni

Se riesci a recuperare il messaggio così come è stato ricevuto da una casella di posta Microsoft 365, le intestazioni antispam indicano esplicitamente la decisione. X-Forefront-Antispam-Report contiene alcuni campi che è utile conoscere:

• SFV:SPM significa che il filtro antispam ha contrassegnato il messaggio come spam, SFV:NSPM che non lo ha contrassegnato come spam e SFV:SFE che il filtro è stato ignorato perché il mittente è nell'elenco Safe Senders dell'utente.
• CAT indica la categoria del criterio applicato: SPM, HSPM (spam con livello di attendibilità elevato), BULK, PHSH, SPOOF.
• SCL è un numero, -1 oppure da 0 a 9. Le guide meno recenti lo considerano il verdetto. La pagina SCL attuale di Microsoft afferma che il valore "non determina se il filtro antispam identifica un messaggio come spam o come spam con livello di attendibilità elevato", quindi controlla prima CAT.

Le intestazioni contengono anche compauth, il verdetto composito di Microsoft basato su SPF, DKIM, DMARC e altre parti del messaggio. Un codice motivo pari a 001 indica che l'autenticazione implicita non è riuscita, in genere perché il dominio di invio non aveva pubblicato record di autenticazione oppure aveva solo un criterio debole.

06SNDS e JMRP, ora sul sito Postmaster

Smart Network Data Services, o SNDS, si trova ora sul nuovo sito Postmaster e sostituisce quello precedente all'indirizzo sendersupport.olc.protection.outlook.com. Fornisce dati per ogni indirizzo IP, quindi devi dimostrare di possedere un intervallo IP prima che mostri qualsiasi informazione. I dati includono volume, tassi di reclamo e un colore che indica quanta parte del traffico è stata classificata come spam dal filtro: verde sotto il 10%, giallo tra il 10% e il 90%, rosso sopra il 90%. Ora l'accesso scade 10 mesi dopo l'approvazione o la migrazione e deve essere rinnovato.

Per un mittente con volumi ridotti, SNDS potrebbe non mostrare alcun dato, perché può ignorare un IP che ha inviato meno di 100 messaggi in un determinato giorno. Inoltre, se invii tramite gli IP condivisi di una piattaforma, non possiedi quegli indirizzi e non puoi registrarli.

JMRP, il Junk Mail Reporting Program, è il ciclo di feedback. Registrati tramite SNDS e Microsoft ti invierà intestazioni selezionate dei messaggi che gli utenti di Outlook.com hanno contrassegnato come posta indesiderata, in genere entro 72 ore. Quando aggiungi nuovi IP, aggiungili anche al programma.

Microsoft definisce il tasso di reclami per posta indesiderata "uno dei fattori principali" della reputazione di un mittente, mentre le FAQ di SNDS definiscono un tasso di reclami inferiore allo 0,3% "un buon obiettivo a cui puntare". I nuovi IP richiedono tempo. Microsoft afferma che un nuovo IP può raggiungere il pieno regime "entro un paio di settimane o prima, a seconda del volume e dell'accuratezza della lista". E no, non esiste una lista in cui puoi pagare per entrare. La pagina di risoluzione dei problemi chiede se Outlook.com gestisca una lista di mittenti consentiti a cui sia possibile accedere e risponde "No."

07Cosa può cambiare la persona dall'altra parte

Alcuni di questi aspetti dipendono dal destinatario, ed è ragionevole chiedere a chi legge di dare una mano. In Outlook.com (Settings, poi Mail, quindi Junk email), un utente può contrassegnare un messaggio come Not junk o aggiungere il mittente a Safe senders and domains. Questo elenco può contenere fino a 10.000 voci e Microsoft segnala che, per i mittenti inclusi, in genere i link e le immagini vengono abilitati per impostazione predefinita. Un utente più rigido può anche attivare la modalità "exclusive", che accetta messaggi solo da Contacts e Safe Senders.

Il pulsante Junk funziona al contrario. Microsoft usa queste segnalazioni per decidere se bloccare i messaggi futuri dello stesso mittente. Separatamente, nelle raccomandazioni per i mittenti richiede un link per annullare l'iscrizione che sia "chiaramente visibile". Il testo di Microsoft non menziona le intestazioni List-Unsubscribe con annullamento dell'iscrizione in un clic richieste da Gmail e Yahoo, ma dato che la stessa campagna viene inviata a tutti e tre, le aggiungerei ovunque (le due intestazioni).

L'app desktop dispone di un proprio Junk Email Filter. Per impostazione predefinita è configurato su "No Automatic Filtering", con le opzioni Low, High e "Safe Lists Only" al di sopra. L'ultima considera posta indesiderata tutto ciò che proviene da mittenti non inclusi negli elenchi sicuri dell'utente. Gli elenchi dei mittenti sicuri e bloccati vengono sincronizzati con il server e utilizzati anche lì.

C'è poi Focused Inbox, che divide la posta in arrivo tra Focused e Other e, secondo Microsoft, "filtra le fonti rumorose, come le email generate automaticamente o inviate in massa". Other è una scheda della posta in arrivo e, secondo la mia interpretazione, una newsletter che finisce lì ha già superato il filtro antispam.

08Test prima dell'invio reale

La pagina di risoluzione dei problemi di Microsoft afferma che «consiglia vivamente di eseguire test delle email prima di inviare comunicazioni reali». Questo è il passaggio coperto da Email Spam Tester. Invia il messaggio effettivo a un indirizzo generato dalla pagina, usando il server o la piattaforma che utilizzeresti davvero, e il report elenca 42 controlli: SPF, DKIM e DMARC con allineamento, DNS inverso, presenza dell'IP di invio in 21 liste di blocco (perché sono importanti), intestazioni di annullamento dell'iscrizione e contenuto. I controlli non superati includono un piano di correzione e record DNS da copiare, mentre i punti assegnati a ogni correzione provengono dalla tabella di valutazione.

Aggiungi il test di recapito e lo stesso messaggio verrà inviato anche a caselle di posta di Gmail, Outlook, Yahoo e altri provider. Il report mostra dove è arrivato presso ciascun provider, leggendo il risultato direttamente dalla casella di posta, incluse le sezioni Focused o Other quando il provider usa questa classificazione. È gratuito e non richiede registrazione. La documentazione spiega ogni controllo e quanti punti costa.

Se il passaggio successivo è aprire un ticket di assistenza, tieni presente che il modulo di Microsoft per i problemi di recapito accetta solo casi relativi a indirizzi @outlook.com, @hotmail.com, @live.com e @msn.com. La pagina delle norme avverte inoltre che, se non rispetti i requisiti, «il nostro team di assistenza potrebbe non essere in grado di aiutarti».