Email professionale avvocato: dominio dello studio, firma, SPF/DKIM/DMARC

Punti chiave dell'articolo

▸Un'email professionale sta sul dominio dello studio (nome@nomestudio.it): resta tua se cambi fornitore e la puoi autenticare con SPF, DKIM e DMARC; dal 2 luglio 2016 il codice deontologico non contiene più la regola sui «siti web con domini propri», e nessuna norma del codice vigente impone un dominio per l'email: è una scelta di sicurezza e di riconoscibilità
▸Google chiede a chi scrive agli account Gmail almeno SPF o DKIM e consiglia di configurare sempre SPF, DKIM e DMARC; sopra i 5.000 messaggi al giorno servono tutti e tre, anche per Outlook.com
▸Un destinatario sbagliato o il Cc al posto del Ccn possono violare segreto e riserbo (artt. 13 e 28 del codice deontologico) e sono violazioni dei dati personali da documentare (art. 33, par. 5, GDPR) quando espongono dati di altri; il disclaimer in calce non le rimedia
▸Il fornitore di posta tratta i dati dei clienti per tuo conto: serve un contratto o accordo sul trattamento (art. 28 GDPR); nella firma titolo professionale, studio e Ordine (art. 35, comma 3)

Cos'è un'email professionale per un avvocato e a cosa serve?

Un'email professionale è un indirizzo sul dominio dello studio, per esempio nome.cognome@nomestudio.it, gestito da un servizio di posta per aziende con cui hai un contratto. A uno studio legale serve a tre cose: farsi riconoscere, perché il dominio è lo stesso del sito; restare padrone dell'indirizzo, che non cambia se cambi fornitore; controllare chi scrive a nome dello studio, con caselle per persona, caselle condivise, autenticazione del dominio e un accordo sul trattamento dei dati dei clienti.

Con un indirizzo gratuito come @gmail.com la parte dopo la chiocciola appartiene al fornitore: non la porti con te e non puoi autenticarla tu. Il codice deontologico non ti obbliga al dominio proprio: i commi 9 e 10 dell'art. 35, che parlavano di «siti web con domini propri», sono stati soppressi dal 2 luglio 2016. Resta una scelta di sicurezza e di riconoscibilità. Questa guida riguarda l'email ordinaria; la PEC ha regole proprie, che trovi nella guida sulla PEC dell'avvocato.

Quando ti serve: i segnali che la posta dello studio va sistemata

Ti serve mettere ordine quando la posta dello studio funziona per abitudine e non per regole. Sono segnali concreti questi:

▸scrivi ai clienti da un indirizzo gratuito, @gmail.com o simili, diverso dal dominio del sito;
▸la segreteria legge la tua casella entrando con la tua password, oppure tutti usano la stessa password di info@;
▸clienti o colleghi ti dicono che i tuoi messaggi sono finiti nello spam;
▸il dominio è intestato al fornitore che ha fatto il sito, e non sai chi ha accesso al pannello;
▸non sai in quale paese sono conservate le email né se hai firmato un accordo sul trattamento dei dati con il fornitore;
▸quando un collaboratore lascia lo studio la sua casella resta attiva, con dentro le email dei clienti, e nessuno sa chi la legge.

Come si verifica che la posta dello studio sia configurata bene

Si verifica controllando tre cose: se i messaggi superano l'autenticazione, chi manda email a nome del tuo dominio e chi ha accesso alle caselle. Non serve un cruscotto: bastano gli strumenti che i fornitori documentano.

▸Esito dell'autenticazione. Manda un messaggio di prova a un indirizzo Gmail, aprilo e scegli «Altro», poi «Mostra originale»: nell'intestazione completa trovi l'esito dei controlli. Google indica questo percorso per verificare se un'email ha superato DKIM, e lo strumento «Intestazione messaggio» degli Strumenti amministrativi Google per leggerla.
▸Report DMARC. Il record DMARC può indicare un indirizzo (il tag rua) a cui i server di destinazione mandano report su chi invia posta a nome del tuo dominio. Google lo definisce facoltativo ma consiglia di includerlo sempre: secondo Google i report aiutano a identificare i mittenti che potrebbero simulare l'identità del tuo dominio.
▸Tasso di spam. Se mandi volumi alti verso Gmail, Postmaster Tools mostra il tasso di spam, cioè la quota dei tuoi messaggi che gli utenti segnalano come spam. Google indica di restare sotto lo 0,10% e di evitare di arrivare allo 0,30%; stare sotto lo 0,3% è tra i requisiti per tutti i mittenti.
▸Inventario degli accessi. Elenca le caselle attive, chi le usa, chi è amministratore del servizio di posta e chi del dominio. Ogni casella deve avere un responsabile; quelle di chi ha lasciato lo studio vanno chiuse o passate a qualcuno, secondo una regola scritta.

Perché le email dello studio finiscono in spam o non arrivano

Le email finiscono in spam o vengono respinte quando il server di chi le riceve non riesce a provare che vengono davvero dal tuo dominio, o quando il dominio ha una cattiva reputazione. Queste sono le situazioni documentate da Google e Microsoft:

▸Dominio senza autenticazione. Dal 1° febbraio 2024 Google chiede a tutti i mittenti verso account Gmail personali di configurare SPF o DKIM. Per Google i messaggi non autenticati «potrebbero essere contrassegnati come spam o rifiutati con un errore 5.7.26».
▸SPF incompleto. Il record SPF deve includere tutti i servizi che mandano email per il tuo dominio: il servizio di posta, ma anche il gestionale che invia promemoria o lo strumento delle newsletter. Per Google i messaggi dei mittenti esclusi hanno una probabilità maggiore di finire in spam.
▸Invii collettivi da un indirizzo @gmail.com. Google chiede di non usare l'identità di altre intestazioni «Da:» di Gmail, cioè di non far partire da altri servizi messaggi con mittente @gmail.com, e considera spoofing usare un dominio @gmail.com come nome visualizzato per email collettive. Per gli invii collettivi ti serve quindi un mittente sul tuo dominio, autenticato.
▸Messaggi a chi non li ha chiesti. Google invita a non scrivere a chi non si è iscritto: le segnalazioni di spam degli utenti, con il tempo, possono abbassare la reputazione del dominio, e rendere più probabile che anche i messaggi futuri vengano trattati come spam.
▸Volumi alti senza DMARC. Sopra i 5.000 messaggi al giorno Google chiede SPF, DKIM e DMARC con allineamento al dominio del mittente; Microsoft chiede lo stesso ai domini che superano quella soglia verso Outlook.com, Hotmail e Live, e indica che i messaggi non conformi possono finire nella posta indesiderata o essere respinti.

Cosa aspettarsi e in quanto tempo

Aspettati che la configurazione completa richieda alcuni giorni, per le attese tecniche elencate sotto, e un risultato di servizio: un'email professionale rende lo studio riconoscibile e i messaggi più consegnabili, ma non porta incarichi da sola e nessuno può garantirti che un messaggio non finisca mai in spam. Google stesso scrive di non poter garantire che i messaggi inviati dai provider email superino i filtri antispam di Gmail. I tempi documentati sono questi:

▸Dominio .it. Si registra tramite un registrar, ha durata annuale e si rinnova tacitamente; il Registro .it precisa che non sono previste registrazioni gratuite.
▸Chiave DKIM su Google Workspace. Dopo aver attivato Gmail per l'organizzazione, Google indica di attendere da 24 a 72 ore prima di poter generare la chiave DKIM nella Console di amministrazione.
▸DMARC. Google consiglia di attendere 48 ore dopo aver configurato SPF e/o DKIM, di partire con il criterio p=none, che non blocca nulla e produce report giornalieri, e di passare a quarantine o reject con il tempo, man mano che vedi come vengono autenticati i tuoi messaggi.
▸Reputazione. Se il tasso di spam sale, Google avverte che può essere necessario del tempo prima che i miglioramenti si riflettano sulla classificazione dei messaggi.
▸Microsoft. I requisiti per i domini che mandano oltre 5.000 email al giorno a Outlook.com, Hotmail e Live si applicano dal 5 maggio 2025.

Errori da evitare, deontologia e privacy comprese

Gli errori da evitare riguardano a chi arriva un messaggio, chi può leggere la casella e chi conserva le email dei clienti.

▸Sbagliare destinatario. L'autocompletamento propone un omonimo e il messaggio parte. L'art. 13 del codice deontologico chiede la «rigorosa osservanza del segreto professionale» e il «massimo riserbo»; per il GDPR la divulgazione accidentale di dati personali è una violazione dei dati (art. 4, n. 12), da documentare sempre e, secondo il rischio, da notificare al Garante e comunicare agli interessati (artt. 33 e 34). Cosa scrivere ai destinatari lo trovi nelle FAQ in fondo.
▸Usare il Cc quando scrivi a più clienti. In Cc ogni destinatario vede gli indirizzi degli altri: per uno studio vuol dire rivelare chi sono i tuoi assistiti, contro il «massimo riserbo sull'attività prestata» dell'art. 28, comma 1. Il Comitato europeo per la protezione dei dati (linee guida 01/2021) suggerisce il Ccn come impostazione predefinita per più destinatari e una conferma in più quando non lo usi.
▸Inoltrare senza rileggere. Un inoltro porta con sé tutta la conversazione precedente, allegati compresi. E l'inoltro automatico della casella dello studio su un indirizzo personale sposta le email dei clienti fuori dal servizio con cui hai un contratto.
▸Condividere la password. Una casella condivisa si usa con permessi personali, non con una password comune: Microsoft indica di bloccare l'accesso diretto all'account di una cassetta postale condivisa e di assegnare le autorizzazioni agli utenti. Devi adoperarti perché segreto e riserbo siano rispettati anche da dipendenti, praticanti e collaboratori (art. 28, comma 3).
▸Scegliere il fornitore senza accordo sul trattamento. Il servizio di posta tratta i dati dei clienti per conto dello studio: è un responsabile del trattamento, e l'art. 28 del GDPR chiede «garanzie sufficienti» e un contratto che fissi istruzioni, riservatezza, sicurezza e cancellazione dei dati. I principali servizi per aziende lo prevedono (per Google Workspace è il Cloud Data Processing Addendum, in cui Google è indicato come responsabile del trattamento; Microsoft ha il suo Data Protection Addendum): verificalo nel contratto. Con un account gratuito per uso personale, controlla nei termini se un accordo del genere esiste.
▸Firmare in modo incompleto o promozionale. L'art. 35, comma 3, chiede di indicare «in ogni caso» titolo professionale, denominazione dello studio e Ordine di appartenenza quando dai informazioni sulla tua attività, e la firma è il posto naturale per farlo. Il praticante usa per esteso «praticante avvocato» (comma 5). Niente slogan che promettono esiti (art. 35, commi 1 e 2) e niente nomi di clienti, nemmeno con il loro consenso (comma 8).
▸Contare sul disclaimer. La nota di riservatezza in calce può avvisare chi riceve un messaggio per errore che il contenuto è riservato e chiedergli di avvisarti e cancellarlo. Non è un accordo, perché chi la legge non l'ha sottoscritta, e non cambia quello che è successo: dopo un invio sbagliato gli obblighi restano quelli degli artt. 33 e 34 del GDPR e i doveri deontologici restano tuoi. Se richiama la privacy, rimanda all'informativa dello studio.

Prima di scrivere ai clienti dalla casella dello studio: otto controlli

Una email resta nelle caselle di chi la riceve e può essere inoltrata. Prima di usare l'indirizzo dello studio con i clienti, controlla gli otto punti qui sotto.

1.Il dominio è registrato a nome tuo o dello studio, e hai accesso al pannello del registrar e al codice per trasferirlo (Authinfo).
2.Con il fornitore di posta hai un contratto o accordo sul trattamento dei dati come responsabile (art. 28 GDPR) e sai dove sono conservate le email.
3.SPF include tutti i servizi che mandano email per il dominio, DKIM è attivo e c'è un record DMARC con un indirizzo per i report.
4.Ogni persona ha la sua casella e la verifica in due passaggi è attiva per tutti; le caselle condivise si aprono con permessi personali, senza password comuni.
5.La firma indica titolo professionale, studio e Ordine, senza promesse di risultato né nomi di clienti (art. 35, commi 1, 3 e 8, del codice deontologico).
6.Per i messaggi a più clienti si usa il Ccn, e chi ti aiuta nella posta lo sa (artt. 13 e 28 del codice deontologico).
7.Non ci sono inoltri automatici dalla casella dello studio verso indirizzi personali.
8.C'è una procedura scritta per l'invio sbagliato: chi avvisa, come si scrive ai destinatari, come si documenta (art. 33 GDPR).

Come si imposta l'email professionale dello studio, passo per passo

1.Registra il dominio a nome tuo o dello studio. Per un .it ti rivolgi a un registrar; possono registrarlo soggetti maggiorenni con cittadinanza, residenza o sede nello Spazio economico europeo, in Vaticano, a San Marino, in Svizzera o nel Regno Unito. Scegli un nome che non sia equivoco né suggestivo: l'art. 10, comma 2, L. 247/2012 lo chiede per tutte le informazioni diffuse pubblicamente «con qualunque mezzo, anche informatico».
2.Scegli un servizio di posta per aziende. Google Workspace e i piani Microsoft 365 per le aziende che includono Exchange Online danno caselle sul tuo dominio; Microsoft precisa che Microsoft 365 Apps for business non include la posta. Prima di attivare, verifica l'accordo sul trattamento dei dati e il luogo di conservazione.
3.Crea una casella per persona. Uno schema semplice come nome.cognome@nomestudio.it, uguale per tutti, rende chiaro chi scrive e chi risponde di ogni messaggio.
4.Crea caselle condivise per le funzioni. Per segreteria o amministrazione usa una cassetta postale condivisa in Microsoft 365 o un gruppo usato come casella di posta collaborativa in Google Workspace, dove puoi assegnare una conversazione a un collega. Gli accessi passano dai permessi, non da una password comune.
5.Autentica il dominio. Pubblica nel DNS il record SPF con tutti i servizi che mandano email per te, attiva DKIM (per scrivere agli account Gmail personali Google chiede chiavi di almeno 1024 bit e consiglia 2048) e, dopo 48 ore, pubblica DMARC con p=none e un indirizzo per i report.
6.Attiva la verifica in due passaggi. Per Google è un'ulteriore barriera contro chi tenta di rubare nomi utente e password: oltre alla password serve un elemento in tuo possesso, come il telefono o un token di sicurezza.
7.Imposta la firma. Nome, titolo professionale («avvocato» o «praticante avvocato»), denominazione dello studio, Ordine di appartenenza, indirizzo, telefono, sito; se vuoi, il link all'informativa privacy e una nota di riservatezza breve.
8.Fissa le regole di invio. Ccn per più destinatari, controllo del destinatario prima dell'invio, se il servizio lo consente un breve ritardo che permette di annullare un messaggio appena partito (le linee guida europee lo citano tra le misure), niente inoltri automatici verso caselle personali.
9.Prova. Manda un messaggio a un indirizzo Gmail e a uno Outlook.com, controlla che arrivi in posta in arrivo e leggi l'esito dell'autenticazione con «Mostra originale».

A chi rivolgersi

L'email professionale la puoi impostare da solo: registrar e fornitori di posta pubblicano le procedure, e le pagine di Google e Microsoft citate in fondo spiegano SPF, DKIM e DMARC passo per passo. Per i record DNS il riferimento è chi gestisce il tuo dominio; per l'accordo sul trattamento dei dati e la procedura in caso di invio sbagliato, il tuo consulente privacy o il responsabile della protezione dei dati, se lo studio l'ha nominato; per i dubbi deontologici, il tuo Ordine. Per la posta certificata vale la guida sulla PEC dell'avvocato; per gli invii a più persone e il consenso, quella sulla newsletter per studio legale. Se vuoi impostare dominio, posta e sito insieme, nella pagina sito web per avvocati trovi come lavoriamo noi.

Domande frequenti

Come creare un'email professionale?

Ti servono due cose: un dominio registrato a nome tuo o dello studio, presso un registrar, e un servizio di posta per aziende che crei le caselle su quel dominio, come Google Workspace o un piano Microsoft 365 che include Exchange Online. Poi crei una casella per persona, pubblichi SPF, DKIM e DMARC nel DNS, attivi la verifica in due passaggi e imposti la firma.

Esiste un'email professionale gratis?

Un indirizzo gratuito su un dominio del fornitore, come @gmail.com, è gratuito ma non è tuo e non puoi autenticarlo. Un indirizzo sul tuo dominio .it ha almeno il costo del dominio: il Registro .it precisa che non sono previste registrazioni gratuite. A questo si aggiunge il servizio di posta, se non è compreso nell'offerta del fornitore.

Si può avere un'email professionale con Gmail?

Sì, con Google Workspace: usi Gmail con indirizzi sul tuo dominio, del tipo maria@nomestudio.it, e il rapporto è regolato dal Cloud Data Processing Addendum, in cui Google agisce come responsabile del trattamento. Un account @gmail.com gratuito invece resta un indirizzo personale sul dominio di Google, che non puoi autenticare con SPF, DKIM e DMARC del tuo studio.

Come scegliere il nome dell'indirizzo email professionale?

Usa uno schema unico per tutto lo studio, per esempio nome.cognome@nomestudio.it, così si capisce chi scrive. Per le funzioni usa caselle condivise con nomi chiari, come segreteria@ o amministrazione@. Evita abbreviazioni difficili da dettare al telefono e parole che promettono risultati: per l'art. 10 L. 247/2012 le informazioni diffuse anche con mezzi informatici non devono essere equivoche o suggestive.

Cosa scrivere nella firma email di un avvocato?

Titolo professionale, denominazione dello studio e Ordine di appartenenza: sono le indicazioni che l'art. 35, comma 3, del codice deontologico chiede «in ogni caso» quando dai informazioni sulla tua attività. Aggiungi nome e cognome, indirizzo, telefono e sito. Il praticante scrive per esteso «praticante avvocato»; specialista solo con il titolo previsto dall'art. 9 L. 247/2012. Niente nomi di clienti né promesse di esito.

Cosa sono SPF, DKIM e DMARC?

Sono tre record pubblicati nel DNS del dominio. SPF elenca i server autorizzati a mandare email per il dominio; DKIM firma i messaggi, così chi li riceve verifica che vengono davvero dal proprietario del dominio; DMARC dice ai server cosa fare con i messaggi che non superano SPF o DKIM e può farti ricevere report. Google chiede a tutti i mittenti almeno SPF o DKIM e consiglia di configurarli sempre tutti e tre.

A cosa serve il Ccn nelle email?

Il Ccn, copia conoscenza nascosta, manda il messaggio a più persone senza che ciascuna veda gli indirizzi delle altre. Per uno studio legale è la scelta da fare ogni volta che scrivi a più clienti insieme: in Cc riveleresti a ognuno chi sono gli altri assistiti, contro il riserbo dell'art. 28 del codice deontologico. Il Comitato europeo per la protezione dei dati suggerisce il Ccn come impostazione predefinita.

Email inviata per errore: cosa scrivere?

Scrivi subito ai destinatari sbagliati, mettendoli in Ccn: scusati, chiedi di cancellare il messaggio e ricorda che non hanno il diritto di usare ulteriormente gli indirizzi email che hanno visto. È quello che raccomandano le linee guida europee 01/2021. Poi valuta il rischio: la violazione va documentata, notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne sei venuto a conoscenza, salvo che sia improbabile un rischio per le persone, e comunicata agli interessati se è elevato (artt. 33 e 34 GDPR).

Fonti

Alessio D'Aleo

CEO, The Future Law Studio

Fondatore di The Future Law Studio. Aiuta gli studi legali italiani a costruire un sistema di acquisizione clienti misurabile. Ogni guida cita fonti ufficiali e indica la data a cui è aggiornata.

Redatti con l'ausilio di strumenti di intelligenza artificiale, con fonti ufficiali citate e verificate una per una. Contenuto informativo: non sostituisce le indicazioni degli enti né una consulenza sul caso specifico.