Verifica sicurezza email: i controlli da fare davvero
La verifica sicurezza email si fa su tre livelli: la connessione tra programma di posta e server (protocolli, porte, SSL/TLS), l'identità del mittente (SPF, DKIM, DMARC) e il contenuto del messaggio (link, allegati, codice HTML). Controllarli tutti riduce molto il rischio di phishing e codice malevolo, anche se nessuna misura offre una garanzia assoluta.
In questa guida vedi cosa controllare, in che ordine e come riconoscere i tentativi di truffa più comuni, compresi quelli che imitano Google, Instagram o WhatsApp.
Perché la sicurezza email non è solo questione di password
Molti attacchi non forzano nulla: sfruttano la fiducia di chi legge. Un messaggio ben costruito, con un logo credibile e un tono d'urgenza, può convincere a cliccare o ad aprire un file.
Per questo la sicurezza email riguarda sia la tecnologia sia il comportamento. Un buon filtro antispam aiuta, ma resta importante sapere cosa guardare quando un messaggio arriva comunque in posta in arrivo.
Come si fa una verifica della sicurezza email, passo per passo
Conviene procedere dal basso verso l'alto: prima la connessione, poi il mittente, infine il contenuto. Ogni livello intercetta problemi diversi.
1. Connessione: protocolli, porte e tipo di sicurezza SSL/TLS
Nelle impostazioni dell'account trovi il tipo di sicurezza scelto per la ricezione (IMAP o POP3) e per l'invio (SMTP). L'obiettivo è che il traffico viaggi cifrato con SSL/TLS, non in chiaro.
I protocolli di sicurezza email non cambiano il significato dei messaggi, ma proteggono ciò che passa in rete, per esempio su un Wi-Fi pubblico. Le porte più usate sono queste:
- IMAP: 993 con SSL/TLS; la 143 è la porta classica, spesso senza cifratura o con STARTTLS.
- POP3: 995 con SSL/TLS; la 110 è la porta classica.
- SMTP: 465 con SSL/TLS implicito, 587 con STARTTLS; la 25 è usata soprattutto tra server.
La scelta esatta dipende dal provider, quindi controlla sempre la sua documentazione ufficiale. Una porta sbagliata o l'opzione «nessuna sicurezza» è una delle configurazioni errate più frequenti.
2. Quando compare «sicurezza email non garantita»
Alcuni servizi e programmi mostrano avvisi quando un messaggio è arrivato senza cifratura o quando il certificato del server non risulta valido. Se vedi la dicitura sicurezza email non garantita o un'icona analoga, non significa automaticamente che il contenuto sia pericoloso.
È però un segnale da non ignorare: evita di inserire dati sensibili e valuta con più attenzione link e allegati. Se l'avviso riguarda il tuo server di posta, verifica il certificato e le impostazioni con il provider.
3. Mittente: SPF, DKIM e DMARC
Questi tre meccanismi servono a stabilire se un messaggio arriva davvero dal dominio che dichiara. SPF indica quali server possono inviare per quel dominio, DKIM aggiunge una firma digitale, DMARC dice come comportarsi se i controlli falliscono.
Nella maggior parte dei programmi puoi aprire le «intestazioni complete» del messaggio e cercare l'esito di questi controlli. Se un'email che si presenta come banca o servizio noto non li supera, trattala come sospetta.
Email di avviso: Google, Instagram, WhatsApp e altri
I nomi più noti sono anche i più imitati. Una falsa email avviso di sicurezza Google può annunciare un accesso sospetto da un luogo lontano e chiederti di «confermare l'identità» tramite un link.
Lo stesso schema vale per i messaggi che parlano di email sicurezza Instagram (account a rischio, violazione del copyright) e per quelli legati a WhatsApp (codici di verifica, sospensione del numero). La regola pratica è sempre la stessa: non usare il link ricevuto.
- Apri il sito o l'app digitando tu l'indirizzo, o usando l'app già installata.
- Controlla gli avvisi nelle impostazioni di sicurezza dell'account.
- Guarda il dominio reale del mittente, non solo il nome visualizzato.
- Diffida di scadenze strette, minacce di chiusura e richieste di codici o password.
Anche la sicurezza email Google come servizio ha strumenti propri, ma sono solo una parte della difesa: la decisione finale su cosa cliccare spetta sempre a te.
Link, allegati e codice HTML: dove si nasconde il rischio
Una volta verificati connessione e mittente, resta il contenuto. Qui si concentrano molti degli attacchi più concreti.
Link a siti infetti
Il testo di un link può dire una cosa e puntare a un'altra. Passando il mouse sopra, senza cliccare, vedi la destinazione reale. Diffida di domini con errori di battitura, sottodomini lunghi o abbreviatori di indirizzi.
Allegati sospetti
Fai attenzione a file compressi, documenti che chiedono di «abilitare le macro» e file con doppia estensione. Un allegato inatteso, anche da un contatto noto, va confermato con una telefonata o un altro canale.
Iniezione di codice nell'HTML
Un messaggio HTML può contenere script, moduli nascosti o immagini che segnalano all'attaccante che hai aperto la mail. Per questo molti programmi bloccano di default il caricamento dei contenuti remoti.
Come E.D.E.R.A. aiuta la sicurezza della posta
Un Client email sicuro come E.D.E.R.A. affronta il problema dal lato del programma di posta. Secondo la descrizione del progetto, è un client in sandbox che unisce diversi elementi.
- HTML sanitizer: ripulisce il contenuto dei messaggi dal codice potenzialmente dannoso.
- Esecuzione locale con PHP Desktop e loopback: il codice PHP gira sul tuo computer, in un ambiente isolato.
- Nessun salvataggio locale delle email: i messaggi non restano archiviati sul dispositivo.
- Analisi con AI: aiuta a riconoscere phishing, allegati sospetti, link a siti infetti, mittenti sospetti ed errate configurazioni.
Non sostituisce il buon senso né i controlli del provider, ma aggiunge un livello di verifica proprio dove l'utente è più esposto: l'apertura del messaggio. Se vuoi provarlo, puoi scaricare E.D.E.R.A. gratuitamente.
Checklist rapida per la sicurezza email di ogni giorno
Quando hai poco tempo, questi controlli coprono i casi più frequenti:
- Verifica che l'account usi porte e impostazioni con SSL/TLS.
- Attiva l'autenticazione a due fattori sul servizio di posta.
- Controlla dominio e intestazioni dei messaggi che chiedono azioni urgenti.
- Non aprire allegati inattesi e non abilitare macro su richiesta.
- Per gli avvisi di account, entra dal sito o dall'app ufficiale, mai dal link.
- Usa un programma di posta che isoli e ripulisca il contenuto HTML.
Se hai dubbi su una configurazione o su un messaggio specifico, puoi confrontarti con altri utenti nel Forum E.D.E.R.A..
Conclusione
Una buona verifica della sicurezza email unisce tre controlli: connessione cifrata, mittente autenticato e contenuto ripulito. Nessuno basta da solo, ma insieme riducono molto la superficie di attacco. Per aggiungere un livello di protezione concreto alla tua posta, scopri come funziona E.D.E.R.A. e valuta se si adatta al tuo modo di lavorare.
Per approfondire: E.D.E.R.A. Project.
Domande frequenti
Come capisco se una email di avviso di sicurezza di Google è falsa?
Non cliccare sui link del messaggio. Apri il browser, digita da solo l'indirizzo del tuo account e controlla gli avvisi di sicurezza nella sezione dedicata. Se lì non compare nulla, il messaggio è molto probabilmente phishing. Controlla anche il dominio reale del mittente e il tono di urgenza.
Che significa «sicurezza email non garantita»?
Di solito indica che il messaggio o la connessione non sono stati protetti con cifratura TLS, oppure che il mittente non supera i controlli di autenticazione. Non vuol dire per forza che sia dannoso, ma è un motivo per essere più prudenti con link e allegati.
Quale porta conviene usare per la posta in modo sicuro?
In generale conviene usare le porte che prevedono la cifratura: 993 per IMAP e 995 per POP3 con TLS, 465 o 587 per l'invio SMTP. Le porte 143, 110 e 25 possono funzionare senza cifratura, quindi vanno evitate se il provider offre alternative protette.
Una email da Instagram o WhatsApp può essere un tentativo di truffa?
Sì, questi nomi sono molto imitati dai truffatori. Se ricevi un messaggio che parla di account sospeso o accessi sospetti, non usare i link. Apri l'app e verifica dalle impostazioni di sicurezza se esistono davvero avvisi, poi cambia la password solo da lì.