Il recapito: MX e regole di routing

Perché la posta di un dominio arrivi a Gmail servono i suoi record MX: oggi ne basta uno, valore smtp.google.com e priorità 1, con Name/Host vuoto o @. Gli account attivati prima del 2023 possono avere i cinque record che iniziano con aspmx, ancora supportati.

Le impostazioni da non confondere, in Apps > Google Workspace > Gmail, sono due. Default routing vale per l’intero account, non per singola unità organizzativa, e risponde alla domanda «che ne faccio dei messaggi diretti a questi destinatari». La corrispondenza si esprime su un singolo indirizzo, su un’espressione regolare, sull’appartenenza a un gruppo oppure su tutti i destinatari, riconosciuti e non: è così che si realizzano il catch-all per gli indirizzi inesistenti, la split delivery verso due sistemi di posta diversi e la dual delivery, che consegna la stessa copia a due caselle. Routing applica invece regole mirate a utenti, gruppi o unità organizzative, e prevale sul comportamento predefinito.

Due regole di lettura valgono ovunque: le impostazioni con azione Reject hanno sempre la priorità più alta, e il routing agisce sull’envelope recipient, cioè su dove il messaggio viene realmente consegnato, mentre il destinatario originale resta leggibile nelle intestazioni.

Filtrare per contenuto e per allegato

Content compliance confronta oggetto, corpo e allegati di testo con le espressioni che definisci, separatamente per messaggi in entrata, in uscita e interni. Le azioni sono tre: rifiutare (con codice SMTP e messaggio personalizzabile), mettere in quarantena o modificare il messaggio. La modifica è la più ricca: aggiungere intestazioni, anteporre un testo all’oggetto come [Confidenziale], cambiare rotta o forzare il bypass del filtro antispam. Accanto c’è Objectionable content, che confronta una lista di parole: la corrispondenza è su parola intera e non distingue maiuscole, quindi «bad» intercetta «Bad» ma non «badminton».

I limiti sugli allegati non stanno qui ma in Attachment compliance, che filtra per tipo di file, nome e dimensione del messaggio: è lo strumento con cui si bloccano gli eseguibili e si ferma la posta oltre una certa soglia. Sempre in Compliance vive Append footer, il footer di conformità: un testo fisso aggiunto in coda ai messaggi degli utenti dell’unità organizzativa scelta, tipicamente una nota legale.

Le quarantene si creano da Gmail > Manage quarantines: nome, eventuale gruppo di revisori e comportamento in caso di rifiuto, cioè eliminare il messaggio o notificare il mittente. Qualunque impostazione di compliance, routing o antispam può poi indirizzarvi i messaggi. I super administrator possono ricevere notifiche periodiche, e i messaggi restano in quarantena fino a 30 giorni prima di essere eliminati: la revisione non è un archivio.

Spam, phishing e gateway in ingresso

Tre elenchi diversi, tre effetti diversi. Gli approved senders dei filtri antispam personalizzati fanno saltare del tutto i filtri per gli indirizzi o i domini indicati. L’email allowlist basata su indirizzi IP evita la cartella spam, ma il messaggio può ancora mostrare all’utente un avviso di sospetto. I blocked senders impediscono il recapito. La cautela è sempre la stessa: un mittente in allowlist, se compromesso, arriva in casella senza controlli.

Se la posta passa da un antispam o da un archiviatore prima di Gmail, va configurato l’inbound gateway con i suoi indirizzi IP pubblici. Senza, ogni messaggio sembra provenire dal gateway e le valutazioni antispam sbagliano bersaglio; l’opzione di rilevamento automatico dell’IP esterno cerca il primo IP pubblico non in elenco nelle intestazioni Received. Puoi anche rifiutare i messaggi che non arrivano dal gateway e imporre TLS. Da ricordare: per i messaggi che entrano dal gateway Gmail non applica la policy DMARC del mittente.

Autenticare il dominio

Contro il phishing la difesa strutturale sono i tre record DNS. SPF è un TXT per dominio, nella forma consigliata v=spf1 include:_spf.google.com ~all, e ammette al massimo dieci direttive include: ogni servizio terzo che spedisce per te va aggiunto lì. DKIM si genera da Gmail > Authenticate email, preferendo la chiave a 2048 bit, con selettore google e pubblicazione del TXT su google._domainkey; l’ultimo passo, spesso dimenticato, è avviare l’autenticazione dalla console. DMARC arriva per ultimo: richiede SPF o DKIM già attivi da circa 48 ore, si pubblica su _dmarc e va introdotto per gradi, da p=none a quarantine fino a reject, usando pct per aumentare la percentuale di messaggi sottoposti alla policy e rua per inviare i report a una casella dedicata.

Utenti, deleghe e migrazioni

Sotto End User Access decidi cosa possono fare le persone: attivare o disattivare l’inoltro automatico (se è disattivato, l’opzione sparisce dalle impostazioni di Gmail) e consentire o negare l’accesso POP e IMAP, di solito riservato a chi usa client esterni.

La delega si abilita in User settings, per tutti o per unità organizzative: il delegato legge, invia e riceve per conto del titolare, si sceglie se il destinatario vede entrambi i nomi o solo quello del titolare, e la delega funziona solo verso utenti della stessa organizzazione. Il limite è di 1.000 delegati per casella, con un gruppo che ne conta uno.

Le migrazioni vivono in Menu > Data > Data import & export > Data import, con credenziali di super administrator: si importa da Exchange Online, da provider IMAP, da un altro account Workspace o da un Gmail personale. Fino a 20 utenti la mappatura è manuale, oltre si carica un CSV. Nella direzione opposta, l’export dei dati dell’organizzazione produce una copia completa da consegnare al sistema di destinazione.