“Abbiamo pagato un ordine, il cliente non riceve la conferma.” È probabilmente il ticket di supporto più frequente sui negozi PrestaShop nel 2026 — ed è quasi sempre un problema di deliverability, non un bug applicativo. Da febbraio 2024, Gmail e Yahoo hanno inasprito i loro requisiti per i mittenti di massa, e l’ecosistema segue. Hotmail, Outlook, Apple iCloud applicano ormai controlli equivalenti.
Per un negozio e-commerce, la posta in gioco non è marginale: un’email di conferma che finisce nello spam significa un cliente che richiama, un agente di supporto che gestisce, un rischio di contestazione e un declassamento della reputazione di dominio che degrada tutte le email successive. Ecco il punto completo sulle regole 2026, le verifiche da fare sul proprio negozio e le correzioni concrete.
Le regole applicabili nel 2026 — sintesi operativa
Tre meccanismi di autenticazione sono oggi richiesti o esigibili a seconda del volume:
- SPF (Sender Policy Framework): record DNS che elenca i server autorizzati a inviare posta per il dominio. Soft fail (~all) tollerato, hard fail (-all) consigliato una volta validata la migrazione.
- DKIM (DomainKeys Identified Mail): firma crittografica di ogni email con una chiave privata, verificabile tramite una chiave pubblica pubblicata in DNS. Indispensabile.
- DMARC (Domain-based Message Authentication, Reporting & Conformance): politica pubblicata in DNS che dice ai server destinatari cosa fare delle email che falliscono SPF o DKIM. p=none = monitoring, p=quarantine = spam, p=reject = rifiuto puro.
Da febbraio 2024, Gmail e Yahoo richiedono DMARC pubblicato (minimo p=none) per ogni mittente che supera le 5.000 email al giorno. Outlook e iCloud hanno seguito nel 2025. A partire da aprile 2025, Gmail ha iniziato a filtrare in modo più aggressivo i mittenti in p=none che non progrediscono verso una politica stretta dopo diversi mesi.
Nel 2026, la traiettoria è chiara: DMARC p=quarantine o p=reject sta diventando lo standard de facto, anche per i mittenti sotto la soglia delle 5.000 email/giorno. I negozi che restano in p=none vedranno la loro deliverability degradarsi progressivamente.
BIMI: il bonus visuale che diventa un segnale di reputazione
BIMI (Brand Indicators for Message Identification) permette di mostrare il logo del brand nella casella di posta (cerchio blu Gmail, anteprima Apple Mail). Per attivarlo, serve:
- Una politica DMARC in p=quarantine o p=reject (non p=none).
- Un logo SVG quadrato in formato SVG Tiny Portable/Secure (.svg).
- Idealmente un certificato VMC (Verified Mark Certificate) emesso da DigiCert o Entrust — a pagamento, intorno ai 1.200-1.800 € + IVA all’anno — per attivare la visualizzazione su Gmail e Apple Mail.
Oltre all’aspetto cosmetico, BIMI invia ai filtri antispam un segnale di serietà e di continuità di identità. I negozi BIMI guadagnano in media 2-4 punti di tasso di apertura sulle newsletter, e marginalmente sul transazionale (dove il tasso di apertura è già molto alto).
Perché le tue email PrestaShop finiscono nello spam — le sei cause principali
1. Invio tramite il server web di default (PHP mail)
PHP mail() da un server condiviso Aruba, Register, OVH, o qualsiasi cPanel: IP condiviso con centinaia di domini, niente firma DKIM di default, niente loop di feedback. Causa numero uno di messa in quarantena immediata da Gmail.
La regola sana nel 2026: tutte le email passano per un SMTP autenticato, sia esso Brevo, Mailjet, Sendgrid, Postmark, AWS SES, Scaleway TEM, o un SMTP self-hosted ben configurato. Questo impone a PrestaShop di usare il modulo Symfony Mailer in modalità SMTP.
2. SPF non allineato
SPF corretto sul dominio di invio, ma l’indirizzo Return-Path punta a un sottodominio non coperto. Risultato: SPF passa ma non si allinea con il From visibile. DMARC fallisce. La diagnosi si fa con un report DMARC aggregate (RUA): si vede immediatamente lo scarto.
3. DKIM scaduta o rotazione dimenticata
La chiave DKIM pubblicata in DNS deve essere a rotazione periodica (semestrale o annuale). Molti negozi la installano al lancio e poi la dimenticano. Dopo qualche anno, la chiave è statisticamente compromessa (lunghezze 1024 bit storiche) e Gmail inizia a penalizzare. Serve una rotazione pulita, in genere gestita dal fornitore SMTP.
4. Contenuto HTML mal concepito
Email con troppi link verso domini terzi, rapporto testo/immagine invertito (immagine a banner che copre l’80% del contenuto, poco testo), URL accorciati (bit.ly e altri), assenza di versione testo plain. Questi segnali sono individualmente deboli, cumulati scatenano i filtri bayesiani.
5. Volume erratico e liste mal gestite
Negozio che invia un’email transazionale al giorno per tre mesi, poi 50.000 newsletter di colpo. Picco atipico → sospetto. E se la lista contiene indirizzi inattivi o hard bounce non purgati, il tasso di reclami sale. Sopra lo 0,3%, Gmail inizia a filtrare.
6. Liste avvelenate
Indirizzi spam-trap (vecchi indirizzi riciclati dagli ISP per intrappolare gli spammer). Un solo indirizzo spam-trap toccato distrugge la reputazione di dominio per diverse settimane. La prevenzione: double opt-in obbligatorio, pulizia regolare, validazione al momento dell’inserimento (verificare che l’indirizzo risponda prima dell’iscrizione).
La checklist di messa a punto nel 2026 — sequenza in 6 step
Step 1 — Audit dell’esistente
Verificare i record DNS con dmarcian, MXToolbox o Postmark DNS checker: SPF corretto, DKIM pubblicato, DMARC pubblicato e leggibile. Testare un invio verso un indirizzo Gmail personale e ispezionare gli header (Authentication-Results) per verificare il pass/fail.
Step 2 — Implementazione di un SMTP transazionale autenticato
Brevo, Mailjet, Postmark o AWS SES a seconda del volume. Configurare PrestaShop tramite il modulo Symfony Mailer (PS 8.1+) o tramite un modulo SMTP di terze parti. Validare l’invio di un’email di test del negozio: conferma ordine, reset password, avviso prezzo.
Step 3 — Attivazione di DMARC in p=none con reporting
Pubblicare il record DMARC con p=none e l’attributo rua che punta a un indirizzo dedicato ([email protected]) o a un servizio di monitoring (dmarcian, Postmark DMARC, OnDMARC). Lasciar girare 2-4 settimane per raccogliere i report aggregate.
Step 4 — Analisi dei report DMARC e correzione delle perdite
I report identificano tutti i servizi di terze parti che inviano per il dominio: SMTP transazionale, piattaforma newsletter, strumento di supporto (Zendesk, Crisp), CRM, paghe. Ciascuno deve essere autorizzato in SPF e firmare in DKIM allineato. È lo step che richiede più tempo in pratica.
Step 5 — Passaggio a p=quarantine poi p=reject
Una volta che i report DMARC sono puliti (>95% di allineamento), salire a p=quarantine per 4-8 settimane, poi p=reject. A ogni step, monitorare i bounce e i ticket clienti.
Step 6 — BIMI e certificato VMC (opzionale ma utile)
Una volta in p=quarantine o p=reject stabile, pubblicare un record BIMI con logo SVG. Acquistare un VMC se il brand è protetto (marchio registrato) e che il volume giustifica l’investimento.
Il filtraggio antispam interno — un tema spesso dimenticato
Lato in entrata, un negozio riceve molto spam (form di contatto, falsi preventivi, falsi ordini…) che inquina le caselle dei team commerciali e che a volte si perde nel database CRM. Un filtro di qualità lato in entrata migliora la produttività e la sicurezza (phishing in entrata).
Lato DataFirefly, il modulo dfemailfilter applica un filtraggio antispam lato server sui domini ospitati, con regole SPF/DKIM/DMARC in entrata, score bayesiano e blocklist dinamica. Utile per il form di contatto PrestaShop e le email B2B.
Conclusione: la deliverability come metrica e-commerce di primo piano
Molti merchant trattano l’email come un tema “informatico” da delegare. È un errore nel 2026. La deliverability condiziona ormai: la conversione (carrello abbandonato non recuperato se l’email non arriva), il supporto (ticket “non ho ricevuto la mia fattura”), la retention (newsletter che finiscono nello spam = relazione cliente rotta), e la conformità (GDPR: prova del consenso tramite double opt-in valida solo se l’email arriva).
Una messa a punto SPF/DKIM/DMARC pulita richiede 4-8 settimane di lavoro concentrato e apporta in genere 5-15 punti di tasso di apertura lato marketing, senza toccare i contenuti. È uno dei migliori ROI tecnici dell’anno.
