Come verificare se un indirizzo email esiste davvero

Un indirizzo email si verifica su tre livelli: la forma dell'indirizzo, il dominio a destra della chiocciola e la casella vera e propria. I primi due danno una risposta attendibile in pochi secondi. Il terzo quasi mai, perché i server di posta sono configurati per non rivelare quali caselle esistono.

La conseguenza pratica è che nessuno strumento può garantire al cento per cento che una casella sia attiva senza inviarle qualcosa. L'unica prova definitiva resta un messaggio recapitato che ottiene una risposta o un clic di conferma.

Che cosa si riesce a controllare

Livello	Come si controlla	Cosa dimostra	Cosa non dimostra
Sintassi	Regole di formato dell'RFC 5321	L'indirizzo è scrivibile	Che esista
Dominio	Record MX nel DNS del dominio	Il dominio può ricevere posta	Che la casella esista
Casella	Dialogo SMTP con il server, oppure invio reale	Il server accetta quella casella	Che qualcuno la legga
Persona	Risposta, clic di conferma, documento	C'è un destinatario che legge	Chi sia davvero

Il salto di affidabilità sta fra la seconda e la terza riga. Un dominio senza record MX non riceve posta in nessun caso, e questo è un dato certo. Un dominio con record MX regolari non dice nulla sulla singola casella.

I controlli in ordine di costo

1. Controlla la forma dell'indirizzo. Una chiocciola sola, nessuno spazio, parte locale entro 64 caratteri, indirizzo completo entro 254 caratteri nella pratica dei server. Qui si intercettano solo gli errori grossolani.
2. Interroga il DNS del dominio. Se non esistono record MX, e non esiste un record A usabile come ripiego, quel dominio non riceve posta. È il controllo con il miglior rapporto fra tempo e certezza.
3. Guarda il dominio, non solo la casella. Data di registrazione recente, dominio simile a uno noto, servizio di caselle temporanee: sono motivi per fermarsi prima di inviare.
4. Interroga il server SMTP, se il contesto lo giustifica. Il comando RCPT TO chiede al server se accetta quel destinatario. La risposta è spesso inutile, per le ragioni del paragrafo seguente.
5. Invia un messaggio di conferma. Un link da cliccare o una richiesta di riscontro chiude la verifica. È l'unico passaggio che prova sia l'esistenza sia la lettura.

Perché il controllo SMTP dà risposte sbagliate

Il dialogo diretto con il server di posta sembra la scorciatoia decisiva. Nella pratica produce due tipi di errore, entrambi frequenti.

• Falsi positivi da catch-all. Molti domini aziendali accettano qualunque casella e smistano il resto internamente. Il server risponde che va bene anche a un indirizzo inventato.
• Falsi negativi da greylisting. Un server può rifiutare il primo tentativo per principio, chiedendo implicitamente di riprovare più tardi. Chi legge solo la prima risposta conclude che la casella non esiste.
• Risposte uniformi dei grandi provider. Le piattaforme di posta più diffuse rispondono in modo identico a caselle esistenti e inesistenti, proprio per impedire la raccolta di indirizzi validi.
• Blocchi per abuso. Un indirizzo IP che apre molte connessioni di verifica finisce in lista di blocco, e da quel momento le risposte diventano inattendibili anche per i controlli legittimi.

Chi acquista un servizio di verifica massiva compra soprattutto una stima di probabilità, non un esito binario. I punteggi del tipo "valido, rischioso, non recapitabile" nascono da questa incertezza.

Segnali che un indirizzo va trattato con cautela

Segnale	Perché conta	Cosa fare
Dominio di caselle usa e getta	L'indirizzo scade da solo dopo poche ore	Chiedere un recapito stabile
Dominio registrato da pochi giorni	Tipico delle campagne fraudolente	Verificare l'azienda a monte
Dominio somigliante a uno noto	Errore di battitura oppure imitazione	Confrontare carattere per carattere
Casella di ruolo (info, amministrazione, noreply)	Nessuna persona identificabile risponde	Chiedere un riferimento nominativo
Provider gratuito in un rapporto B2B	Non collega l'indirizzo all'impresa	Chiedere il recapito aziendale o la PEC
Nessuna risposta a due messaggi	La casella può essere abbandonata	Cambiare canale

Un indirizzo gratuito non è di per sé sospetto, e molte imprese individuali lo usano da sempre. Diventa un problema quando l'indirizzo deve collegare un messaggio a un'impresa precisa, perché quel collegamento non c'è.

Quando l'indirizzo deve avere valore legale

Per le comunicazioni che devono essere opponibili la domanda cambia. Non basta che la casella esista: serve che sia un domicilio digitale, cioè un indirizzo PEC iscritto negli elenchi pubblici previsti dal Codice dell'Amministrazione Digitale.

Gli indirizzi PEC di imprese e professionisti sono pubblici e consultabili su INI-PEC. L'esistenza risulta dall'elenco, quindi non serve nessun controllo tecnico: se l'indirizzo è iscritto, è attivo e riferibile a quel soggetto. La procedura di ricerca è nella guida su come trovare la PEC di un'azienda.

La PEC produce inoltre due ricevute firmate, accettazione e consegna, che dimostrano l'invio e il recapito con data certa. Una email ordinaria non le produce, e la conferma di lettura non ha lo stesso valore. Il confronto fra i due canali è nella guida su quando serve la PEC e quando basta l'email. Chi deve inviare una sola comunicazione può usare l'invio di una PEC singola senza aprire una casella annuale.

Il caso della fatturazione elettronica

Per le fatture l'indirizzo email non c'entra. Il recapito passa dal Sistema di Interscambio, che usa il codice destinatario di sette caratteri oppure la PEC comunicata dal cliente. Una fattura inviata a un indirizzo di posta ordinaria non arriva al destinatario in senso fiscale, anche se la email viene letta.

Il dato corretto si recupera chiedendolo al cliente o consultando gli elenchi pubblici: la procedura è nella guida su come trovare il codice destinatario SDI di un'azienda. Per la trasmissione occasionale di un documento c'è l'invio di una fattura elettronica allo SDI, e sulle regole generali la guida su come inviare una fattura elettronica allo SDI.

Verificare una lista intera: il vincolo privacy

Un indirizzo email che identifica una persona è un dato personale, e sottoporlo a verifica è un trattamento. Chi carica una rubrica su un servizio esterno trasferisce quei dati a un fornitore, che va nominato responsabile del trattamento e deve dire dove conserva le liste e per quanto tempo.

Conviene caricare solo gli indirizzi che servono davvero e scegliere fornitori che cancellano la lista al termine dell'elaborazione. Resta poi da annotare su quale base giuridica poggia il controllo: la verifica di indirizzi raccolti senza un presupposto valido non diventa lecita solo perché è tecnicamente possibile.

Domande frequenti

Esiste un modo gratuito e certo di sapere se una email esiste? No. Il controllo del dominio è gratuito e attendibile, quello della singola casella non lo è. La certezza arriva solo dall'invio di un messaggio.

Il messaggio di mancato recapito è una prova che l'indirizzo non esiste? È il segnale più affidabile disponibile, ma va letto. Un rifiuto permanente indica una casella inesistente o chiusa; un rifiuto temporaneo indica una casella piena o un server momentaneamente indisponibile.

Perché un indirizzo verificato come valido restituisce comunque un errore? Perché fra la verifica e l'invio la casella può essere stata chiusa, oppure il dominio accetta tutto e scarta il messaggio dopo averlo ricevuto.

La conferma di lettura dimostra che il destinatario ha ricevuto il messaggio? No. Il client di posta può disattivarla, ignorarla o inviarla in automatico. Non ha valore probatorio.

Un indirizzo PEC si può verificare come una email normale? Non serve. Se compare su INI-PEC è attivo per definizione, perché l'elenco viene alimentato dal gestore e dalla Camera di Commercio.

Le caselle info@ e amministrazione@ sono indirizzi validi? Sono valide tecnicamente. Sono poco utili quando serve identificare una persona responsabile della risposta, e alcuni filtri antispam le trattano con più severità.

Quanto tempo resta valido il risultato di una verifica? Il dato sul dominio invecchia lentamente, quello sulla casella in fretta. Per le liste usate a scadenze lontane conviene ripetere il controllo prima di ogni invio significativo.

Cosa faccio se il cliente mi ha dato un indirizzo che non funziona? Chiedere un recapito alternativo e, se la comunicazione deve avere data certa, passare alla PEC iscritta agli elenchi pubblici, che non dipende da un indirizzo comunicato a voce.

Fonti ufficiali

Il formato degli indirizzi e il comportamento dei server di posta sono definiti dallo standard RFC 5321 pubblicato dalla IETF. Il domicilio digitale e il valore delle comunicazioni elettroniche derivano dal Codice dell'Amministrazione Digitale (D.Lgs. 82/2005), consultabile su Normattiva; le regole tecniche della PEC e l'elenco dei gestori accreditati sono pubblicati da AgID. Gli indirizzi PEC di imprese e professionisti sono consultabili su INI-PEC. Sul trattamento degli indirizzi email come dati personali la fonte da seguire è il Garante per la protezione dei dati personali.

Per l'operatività collegata vedi invio PEC singola e invio fattura elettronica SDI.

Questa guida ha finalità informative e non sostituisce una valutazione sul trattamento dei dati personali nel caso concreto. Vedi il disclaimer YMYL.