Come leggere gli header di un'email

Ogni email porta con sé un blocco di header sopra la parte che normalmente leggi. La maggior parte dei client li nasconde dietro “Mostra originale” o “Visualizza sorgente”. Due di questi vale la pena imparare a leggerli: uno ti dice quanto è facile disiscriversi, l’altro quanta fiducia puoi riporre su chi ha realmente inviato il messaggio.

Puoi incollare gli header direttamente nel nostro Controllo disiscrizione e header — questo articolo spiega cosa sta leggendo.

List-Unsubscribe (RFC 2369)

Questo header pubblicizza come disiscriversi. Contiene uno o due URI tra parentesi angolari:

List-Unsubscribe: <https://brand.example/u/one-click?id=a8f3e1c9b2>, <mailto:unsub@brand.example>

• Una voce mailto: significa che il tuo client può disiscriverti inviando un’email.
• Una voce https: significa che esiste un endpoint web per disiscriverti.

Da sola, seguire il link https: potrebbe semplicemente aprire una pagina web — non necessariamente una disiscrizione completata. È qui che entra in gioco l’header successivo.

List-Unsubscribe-Post (RFC 8058)

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Quando questo header è presente insieme a un URL List-Unsubscribe https:, il mittente supporta la disiscrizione con un clic: il tuo client di posta può inviare una singola richiesta POST che completa la disiscrizione senza pagina web e senza modulo. Gmail e altri provider mostrano un pulsante “Annulla iscrizione” ben visibile proprio quando rilevano questa coppia.

Se vedi List-Unsubscribe-Post ma nessun URL https:, la configurazione è difettosa — non soddisfa l’RFC 8058 e la disiscrizione con un clic non funzionerà.

Authentication-Results (SPF / DKIM / DMARC)

Questo header registra se il messaggio ha superato i controlli di autenticazione del mittente. Viene aggiunto dal server ricevente, quindi riflette ciò che il tuo provider ha concluso:

Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=brand.example;
  dkim=pass header.d=brand.example; dmarc=pass

In parole semplici:

• SPF — il server di invio era autorizzato a inviare per quel dominio? (pass = sì)
• DKIM — il messaggio è firmato crittograficamente, e la firma è valida? (pass = il contenuto non è stato manomesso durante il transito e proviene dal dominio firmatario)
• DMARC — SPF/DKIM sono allineati con il dominio “From” visibile, e la politica pubblicata dal dominio accetta il risultato? (pass = l’indirizzo From è affidabile)

Un dmarc=fail è il segnale d’allarme più forte: il mittente visibile potrebbe essere falsificato. spf=softfail o dkim=fail indeboliscono la fiducia ma a volte significano semplicemente che il messaggio è stato inoltrato.

Leggere le righe ripiegate

Gli header possono andare a capo su più righe; le righe di continuazione iniziano con uno spazio o una tabulazione e appartengono all’header che le precede. Quando copi gli header, mantieni quell’indentazione affinché un parser (incluso il nostro) possa riassemblarli correttamente.

Perché conviene

Insieme questi header ti permettono di giudicare, prima di cliccare qualsiasi cosa, se un messaggio offre un’uscita pulita e se proviene davvero da chi dichiara. Sono anche un utile riscontro sull’igiene complessiva di un mittente: i brand che curano bene l’autenticazione e la disiscrizione con un clic tendono a prendere sul serio anche il resto.