Che cos’è l’APRF? Spiegazione del nuovo standard di feedback sulla deliverability delle e-mail

Stato attuale: l'APRF è una bozza proposta dall'IETF attualmente in fase di elaborazione, ma i mittenti possono già oggi ricevere rapporti giornalieri in tempo reale. Comcast (Xfinity) sta inviando attivamente rapporti beta di produzione ai mittenti che pubblicano un record DNS APRF. Altri provider coautori (come Google) non hanno ancora abilitato la generazione dei rapporti.

Da quando le organizzazioni hanno iniziato a inviare email di massa, i responsabili della deliverability si sono trovati di fronte a un punto cieco fondamentale: una volta che un provider di caselle di posta accetta un messaggio, nessuno può dire con certezza dove sia effettivamente arrivato. Storicamente, i mittenti hanno ricostruito un quadro approssimativo dell’inserimento nella posta in arrivo utilizzando test con liste di seed artificiali o controllando dashboard dei postmaster disparate su Google, Microsoft e Yahoo. Ogni provider offre metriche diverse in formati incompatibili, lasciando i mittenti senza un’unica fonte di verità unificata.

Una nuova specifica proposta mira a risolvere questo annoso problema del settore. Conosciuto come APRF (Aggregate Performance Reporting Format), questo protocollo emergente consente ai provider di caselle di posta di generare report giornalieri standardizzati sull’invio dei messaggi e sul coinvolgimento dei destinatari, inviandoli direttamente ai mittenti. Anziché fare affidamento sulle stime basate su liste di test, i mittenti possono ora verificare come sono stati classificati i loro flussi di posta autenticati e in che modo i destinatari reali hanno interagito con essi.

Ecco un'analisi approfondita di cosa sia l'APRF, come funzioni il suo meccanismo di rilevamento, come si collochi rispetto agli standard esistenti come il DMARC e come sia possibile pubblicare il proprio primo record DNS per iniziare a raccogliere i report già da oggi.

Che cos’è l’APRF (Aggregate Performance Reporting Format)?

L'Aggregate Performance Reporting Format (APRF) è un protocollo di reporting via e-mail proposto, progettato per fornire ai mittenti un feedback strutturato e leggibile da un computer sulla deliverability delle e-mail e sull'interazione degli utenti. Mentre i protocolli tradizionali segnalano gli errori di autenticazione o di connessione a livello di gateway, l'APRF si concentra interamente su ciò che accade ai messaggi dopo che sono stati accettati dal server di destinazione.

La specifica è attualmente definita nell'Internet-Draft dell'IETF intitolato "draft-brotman-aggregate-performance-reporting-00". Pubblicato il 17 marzo 2026, con lo status previsto di "Standards Track", il documento è stato redatto da tre esperti del settore della posta elettronica:

• Alex Brotman (Comcast)
• Tom Corbett (Iterable)
• Emil Gustafsson (Google)

Secondo la pagina ufficiale di stato dell’IETF Datatracker, la revisione iniziale -00 ha una data di scadenza ufficiale fissata al 18 settembre 2026. In quanto proposta individuale, l’APRF si trova ancora nella fase iniziale di valutazione (“I-D Exists”) e non è stata ancora adottata formalmente da un gruppo di lavoro dell’IETF né pubblicata come RFC. Tuttavia, la co-autorialità da parte di un ISP leader, di un importante ESP aziendale e di Google rende l’APRF una delle iniziative più significative in materia di deliverability proposte negli ultimi anni.

Nota terminologica: al di fuori dell’ambito della tecnologia della posta elettronica, l’acronimo “APRF” compare spesso nella ricerca medica e biologica per indicare la “fibrina avanzata ricca di piastrine” (Advanced Platelet-Rich Fibrin) o il “fattore di risposta in fase acuta” (Acute-Phase Response Factor). Nel contesto della sicurezza della posta elettronica, dell’infrastruttura e della deliverability, APRF si riferisce esclusivamente alla specifica “Aggregate Performance Reporting Format”.

APRF, report DMARC e feedback loop: quali sono le differenze concrete?

Per comprendere quale sia il ruolo dell'APRF nella strategia aziendale relativa alla posta elettronica, è utile confrontarlo con i meccanismi di reporting esistenti sotto quattro aspetti chiave: ambito di applicazione, formato dei dati, chiave di identificazione e metodo di consegna.

Autenticazione contro prestazioni: la differenza fondamentale

La differenza principale tra i report aggregati DMARC e l'APRF riguarda l'autenticazione rispetto alle prestazioni:

1. DMARC riguarda l'autenticazione. I report aggregati DMARC rispondono alla domanda: «Questa e-mail è stata autenticata correttamente tramite SPF e DKIM utilizzando il mio nome di dominio visibile, e c'è stata una fonte non autorizzata che ha tentato di falsificare il mio marchio?»
2. L'APRF riguarda le prestazioni. I report APRF rispondono alla domanda: “Ora che l'e-mail ha superato l'autenticazione ed è stata accettata, dove l'ha collocata il provider di posta elettronica e in che modo i destinatari hanno interagito con essa?”

L'APRF non sostituisce i report aggregati DMARC né i tradizionali circuiti di feedback sui reclami. Funge invece da livello complementare. DMARC protegge l'identità del vostro marchio dall'usurpazione d'identità, mentre l'APRF offre visibilità su come gli algoritmi delle caselle di posta valutano la reputazione del vostro mittente.

Inoltre, APRF si differenzia dalle dashboard dei provider, come ad esempio Google Postmaster Tools. Queste dashboard richiedono accessi manuali o integrazioni API personalizzate su misura per un singolo provider. APRF definisce uno standard aperto e indipendente dal fornitore che invia le metriche sulle prestazioni direttamente alla tua casella di posta elettronica in un payload JSON strutturato.

Cosa contiene un rapporto APRF?

I report APRF vengono generati una volta al giorno dai provider di posta elettronica partecipanti. Ciascun report copre un intervallo completo di 24 ore UTC (dalle 00:00:00 UTC alle 23:59:59 UTC). Il report viene inviato come allegato e-mail in formato JSON, utilizzando il tipo di contenuto application/json o, se compresso, application/gzip.

Il payload JSON è suddiviso in due sezioni distinte: l'intestazione (Header) e il corpo (Body).

1. Metadati dell'intestazione

L'intestazione contiene informazioni amministrative relative al periodo di riferimento, al fornitore che emette il rapporto e all'identità DKIM del mittente:

• versione: la versione delle specifiche APRF (attualmente 1).
• fonte: Il nome o l'identificativo del provider della casella di posta da cui proviene la segnalazione (ad esempio, Comcast).
• dkim_domain: Il dominio DKIM (d=) verificato nella firma in uscita.
• dkim_selector: il selettore DKIM specifico (s=) individuato dal provider.
• report_start / report_end: timestamp dell'epoca Unix che definiscono l'esatto intervallo di copertura di 24 ore in UTC.
• contact_info: Un indirizzo e-mail amministrativo o un URL fornito dal soggetto dichiarante.
• sdi_used: Indica se gli identificatori definiti dal firmatario sono stati analizzati ai fini della segmentazione dei sottostream.

2. Famiglie metriche (il corpo del report)

Il documento contiene dati aggregati organizzati in due principali famiglie di metriche:

Metriche di classificazione (posizionamento)

Le metriche di classificazione tracciano dove il provider ricevente ha instradato i messaggi accettati:

• Posta in arrivo: messaggi recapitati nella cartella principale della posta in arrivo.
• indesiderati: messaggi indirizzati alle cartelle “spam”, “posta indesiderata” o “posta di massa”.
• promozionali: messaggi raggruppati in schede o cartelle promozionali secondarie.
• Inoltrati: messaggi reindirizzati automaticamente in base alle regole della casella di posta del destinatario.

Metriche di coinvolgimento (comportamento degli utenti)

Le metriche di coinvolgimento riepilogano le azioni effettive compiute dai destinatari dopo la consegna:

• Positive: azioni favorevoli da parte degli utenti, tra cui aperture, clic sui link, spostamento dei messaggi dalla cartella dello spam (azioni di recupero) o contrassegnazione dei messaggi come importanti.
• Negativo: azioni sfavorevoli da parte degli utenti, come cliccare su “Segnala come spam”, cancellare i messaggi senza leggerli o annullare l’iscrizione.
• Neutro: operazioni non valutative, quali l’archiviazione, l’inserimento in cartelle personalizzate o l’inoltro manuale.

3. Identificatori definiti dal firmatario (SDI) per il tracciamento granulare

Per impostazione predefinita, l'APRF riporta dati aggregati a livello di selettore DKIM. Tuttavia, le grandi imprese spesso inviano diversi tipi di e-mail sotto un unico selettore DKIM. Per ovviare a questo problema, la bozza include una funzionalità opzionale nota come "Signer-Defined Identifiers" (SDI).

Dichiarando un tag sdi nel proprio record DNS, è possibile indicare ai provider di caselle di posta di esaminare una specifica intestazione personalizzata (come X-Campaign-ID o Signer-Info) inclusa nella firma DKIM. Il provider suddividerà quindi le metriche giornaliere relative alla classificazione e al coinvolgimento in base a tali sotto-identificatori, supportando fino a quattro livelli annidati di segmentazione. Ciò consente alle organizzazioni di valutare le notifiche transazionali separatamente dalle campagne di marketing, mantenendo al contempo un’architettura semplificata delle chiavi DKIM.

Esempio commentato di un payload JSON APRF

Di seguito è riportato un report JSON esemplificativo, strutturato secondo la specifica draft-brotman-aggregate-performance-reporting-00:

[
  {
    "header": {
      "version": 1,
      "source": "Comcast/Xfinity",
      "dkim_domain": "example.com",
      "dkim_selector": "s1024",
      "report_start": 1773705600,
      "report_end": 1773791999,
      "contact_info": "[email protected]",
      "sdi_used": "none",
      "extra_info": "https://postmaster.comcast.net/aprf-info"
    },
    "body": [
      {
        "classification": {
          "inbox": 45000,
          "unwanted": 120,
          "promotional": 0,
          "forwarded": 15
        },
        "engagement": {
          "positive": 14200,
          "negative": 18,
          "neutral": 850
        }
      }
    ]
  }
]

Come funziona l'APRF: dalla rilevazione del DNS alla consegna dei report

APRF utilizza un flusso di rilevamento basato sul DNS che si ispira a protocolli consolidati come DMARC e TLS-RPT. Poiché la segnalazione è direttamente collegata alla firma dei messaggi, un provider di caselle di posta può individuare le tue preferenze di segnalazione senza richiedere configurazioni personalizzate del portale.

Il flusso passo dopo passo

1. Trasmissione delle e-mail: la tua infrastruttura invia e-mail in uscita firmate con firme DKIM valide.
2. Verifica della firma: il provider ricevente accetta l'e-mail, verifica la firma DKIM ed estrae il dominio (d=example.com) e il selettore (s=s1024). Interrogazione DNS: il provider interroga il DNS per un record TXT situato all'indirizzo: s1024._aprf._domainkey.example.com
3. Analisi del record: il provider analizza il record TXT per verificare la presenza del tag obbligatorio v=APRFv1 e recuperare l'indirizzo e-mail di destinazione definito nel tag rua.
4. Aggregazione e invio: nelle successive 24 ore, il provider aggrega i dati relativi al posizionamento e al coinvolgimento per quel selettore. Al termine della giornata UTC, genera il report in formato JSON e lo invia all'indirizzo RUA specificato tramite SMTP.

Misure di tutela della privacy e soglie di volume

Al fine di tutelare la privacy dei singoli utenti, la bozza dell’APRF raccomanda espressamente ai fornitori di caselle di posta elettronica di applicare soglie di limitazione del volume. Se un mittente invia solo pochi messaggi a un fornitore in un determinato giorno, le metriche di prestazione grezze potrebbero consentire al mittente di dedurre le azioni di specifici individui.

In base al quadro normativo sulla privacy dell'APRF, i provider omettono completamente la segnalazione o applicano algoritmi di raggruppamento con aggiunta di rumore per i flussi a basso volume. Se il volume giornaliero dei messaggi inviati a un determinato provider di caselle di posta scende al di sotto della soglia di privacy da esso stabilita, non riceverai alcun rapporto relativo a quel giorno.

Come iniziare oggi stesso a raccogliere i rapporti APRF

Sebbene l'APRF sia ancora una bozza IETF in fase di elaborazione piuttosto che uno standard RFC definitivo, Comcast (Xfinity) sta generando attivamente report APRF in tempo reale e su base giornaliera in ambiente di produzione (in versione beta) per i mittenti che pubblicano il record TXT del DNS.

La pubblicazione di un record APRF richiede solo pochi minuti e non comporta l'installazione di alcun software né modifiche alla propria infrastruttura di posta elettronica. Segui questi quattro passaggi per iniziare a ricevere i report.

Passaggio 1: Identificare il proprio selettore DKIM attivo

Controlla le intestazioni di un'e-mail inviata di recente dal tuo dominio. Individua l'intestazione DKIM-Signature e prendi nota del selettore (s=) e del dominio (d=).

Ad esempio, se l'intestazione riporta d=example.com e s=s1024, il record APRF sarà ospitato all'indirizzo: s1024._aprf._domainkey.example.com

Supporto dei caratteri jolly: se gestisci decine di selettori e desideri evitare di creare record individuali per ciascuno di essi, la specifica ti consente di pubblicare un record generico utilizzando un asterisco (*): *._aprf._domainkey.example.com

I provider di ricezione verificheranno innanzitutto se esiste un record selettore specifico. Se non ne esiste alcuno, ricorreranno al record jolly.

Fase 2: Creare una casella di posta dedicata alla segnalazione

Crea una casella di posta dedicata o un alias e-mail per raccogliere le segnalazioni in arrivo (ad esempio, [email protected]). Poiché le segnalazioni contengono file JSON generati automaticamente, inviarle a un alias dedicato evita che la tua casella di posta principale venga sommersa da allegati quotidiani.

Fase 3: Pubblicare il record TXT del DNS

Accedi alla tua console di gestione DNS e aggiungi un nuovo record TXT con i seguenti parametri:

• Host / Nome: s1024._aprf._domainkey.example.com (oppure *._aprf._domainkey.example.com per un carattere jolly)
• Tipo di record: TXT
• TTL: 3600 secondi (1 ora)
• Valore: v=APRFv1; rua=mailto:[email protected];

Se desideri abilitare il tracciamento dei sottostream tramite gli identificatori definiti dal firmatario (Signer-Defined Identifiers) per un’intestazione denominata X-Campaign-ID con il delimitatore carat (^), costruisci il valore come segue:

v=APRFv1; rua=mailto:[email protected]; sdi=X-Campaign-ID,^;

Fase 4: Verifica della pubblicazione

Utilizza uno strumento di ricerca DNS o un'utilità da riga di comando (dig o nslookup) per verificare che il tuo nuovo record sia risolvibile pubblicamente:

dig TXT s1024._aprf._domainkey.example.com +short

Aspettative realistiche attuali

È importante definire aspettative operative realistiche al momento dell’implementazione di un record APRF:

• Stato della versione beta attiva: Comcast (Xfinity) è attualmente l’unico grande fornitore di caselle di posta elettronica che genera attivamente report APRF di produzione in versione beta.
• Il ruolo di Google: Google ha contribuito alla stesura della bozza, dimostrando un forte interesse a lungo termine per la standardizzazione dei rapporti sulle prestazioni. Tuttavia, al momento Gmail non genera rapporti APRF. I mittenti dovrebbero continuare a fare riferimento alle Linee guida per i mittenti di email di Gmail per conoscere i requisiti attuali di Gmail.
• Costo di pubblicazione pari a zero: oggi la pubblicazione di un record APRF non comporta alcun costo né alcun impatto sulle prestazioni. Una volta pubblicato, il tuo dominio inizierà automaticamente a ricevere segnalazioni da Comcast, nonché da eventuali altri provider che adotteranno lo standard in futuro.

Perché l’APRF è importante (e cosa non risolverà)

La reazione del settore all’APRF è stata in gran parte positiva. In un’analisi pubblicata su Spam Resource, l’esperto di deliverability Al Iverson ha elogiato l’APRF per fornire “dati reali e aggregati basati sul comportamento effettivo degli utenti” anziché stime artificiali basate su seedlist. Iverson ha sottolineato che l’APRF è uno strumento complementare che opera in sinergia con le piattaforme esistenti per garantire una maggiore visibilità operativa.

I principali vantaggi

7. Dati reali dei destinatari: le seedlist si basano su account artificiali privi di cronologie di interazione realistiche. L'APRF riflette i risultati effettivi di consegna su account utente reali.

8. Formato aperto standardizzato: i mittenti possono importare metriche JSON provenienti da più fornitori in un’unica pipeline di analisi interna, eliminando la necessità di sviluppare web scraper personalizzati o connettori API per i diversi portali dei postmaster.

9. Granularità dei sotto-flussi: l’utilizzo del tag SDI consente ai team di ingegneri di isolare i problemi di deliverability che interessano specifici tipi di messaggi transazionali senza dover suddividere la loro architettura principale delle chiavi DKIM.

Limiti noti

Nonostante i suoi vantaggi, l’APRF presenta dei limiti ben definiti:

• Supporto limitato dei provider al momento: poiché solo Comcast genera report in versione beta, APRF non offre ancora una visibilità globale sulla deliverability.
• Mancanza di dati diagnostici sulle cause alla radice: un rapporto APRF indica che una percentuale di messaggi è finita nella cartella dello spam, ma non ne specifica il motivo. Non è possibile capire se il problema sia stato causato da una reputazione IP scadente, dall’inserimento dell’URL in una lista di blocco o da trigger relativi ai contenuti attivati dal filtro antispam.
• Bozza di specifica in fase di sviluppo: trattandosi di una bozza IETF attiva, la sintassi dei tag e i campi dello schema JSON sono soggetti a revisioni prima della standardizzazione definitiva.

L’autenticazione rimane il prerequisito fondamentale

Le metriche APRF vengono calcolate solo dopo che un server di destinazione ha accettato un'e-mail. Se i messaggi in uscita non superano i controlli di autenticazione di base, i server di destinazione potrebbero bloccarli a livello di gateway, rendendo irrilevanti i dati relativi alla consegna.

Prima di cercare di ottenere feedback sulla deliverability, assicurati che i tuoi controlli di autenticazione primari siano configurati correttamente:

• Configurare record DKIM validi su tutte le fonti di invio legittime.
• Verifica che il tuo dominio sia protetto da DMARC con firme SPF e DKIM allineate.
• Utilizzare uno strumento centralizzato di analisi dei report DMARC per monitorare lo stato di autenticazione e i progressi verso l'applicazione di una politica (p=reject).

È il caso di pubblicare subito un record APRF?

Sì, per i mittenti con volumi elevati. Se la vostra organizzazione invia un volume significativo di e-mail a indirizzi di utenti privati su Comcast/Xfinity, la pubblicazione di un record APRF offre un vantaggio immediato. Potrete accedere a dati reali e aggiornati quotidianamente sul posizionamento dei messaggi e creare un flusso automatizzato di reportistica prima che altri grandi provider aderiscano allo standard.

Per i mittenti con volumi ridotti o che operano esclusivamente in ambito B2B, la pubblicazione di un record APRF è facoltativa ma consigliata. Sebbene le soglie di privacy possano impedire la ricezione immediata dei rapporti giornalieri, la pubblicazione di un record TXT con carattere jolly (*._aprf._domainkey.example.com) richiede meno di cinque minuti, non comporta alcun rischio per la sicurezza e garantisce che il dominio sia pronto man mano che l’adozione da parte del settore si diffonde.

Domande frequenti

Cosa significa l'acronimo APRF nelle e-mail?

APRF è l'acronimo di Aggregate Performance Reporting Format. Si tratta di uno standard aperto proposto, progettato per consentire ai provider di caselle di posta elettronica di fornire ai mittenti di e-mail dati standardizzati relativi alle prestazioni giornaliere e al coinvolgimento dei destinatari.

L'APRF è già uno standard ufficiale dell'IETF?

No. L'APRF è attualmente un Internet-Draft attivo (draft-brotman-aggregate-performance-reporting-00). Non è stato ancora adottato formalmente da un gruppo di lavoro dell'IETF né pubblicato come standard RFC.

In che modo i rapporti APRF differiscono dai rapporti aggregati DMARC?

I report aggregati DMARC (RUA) misurano la conformità dell'autenticazione delle e-mail (convalida SPF e DKIM) rispetto al dominio "Da" visibile. L'APRF misura le prestazioni post-accettazione (invio nella posta in arrivo e coinvolgimento degli utenti) rispetto al dominio e al selettore della firma DKIM.

Quali provider di caselle di posta elettronica supportano attualmente l'APRF?

Comcast (Xfinity) è attualmente l'unico provider di posta elettronica che invia rapporti APRF in versione beta in ambiente di produzione. Sebbene Google abbia contribuito alla stesura delle specifiche, Gmail al momento non supporta la generazione di rapporti APRF.

È necessario il DKIM per ricevere i rapporti APRF?

Sì. I record di discovery dell'APRF vengono pubblicati nello spazio dei nomi delle chiavi di dominio DKIM (_domainkey) e la segnalazione è direttamente collegata al selettore DKIM utilizzato per firmare i messaggi in uscita.

L'APRF sostituisce i tradizionali circuiti di retroazione (FBL)?

No. I circuiti di feedback tradizionali inviano rapporti ARF quasi in tempo reale quando un singolo utente contrassegna un messaggio come spam. L'APRF fornisce metriche aggregate giornaliere che riassumono il posizionamento complessivo e il coinvolgimento degli utenti nell'intero flusso di posta.

Prossimi passi: verifica la configurazione di base del tuo dominio

L'APRF fornisce informazioni preziose sul posizionamento dei messaggi, ma dipende interamente da un'infrastruttura di posta elettronica ben funzionante. Se i record di autenticazione sono configurati in modo errato o non allineati, i provider di caselle di posta rifiuteranno i messaggi prima che le metriche di posizionamento possano essere registrate.

Per assicurarti che il tuo dominio sia pronto per l'APRF:

• Verificare che tutti i flussi di posta in uscita siano firmati con chiavi DKIM valide e allineate.
• Verifica la tua politica DMARC utilizzando il Domain Analyzer di PowerDMARC per accertarti che l'autenticazione sia conforme.
• Pubblica un record APRF generico (*._aprf._domainkey.yourdomain.com) per iniziare a ricevere feedback sulle prestazioni man mano che i provider partecipanti si connettono.

• Informazioni su
• Ultimi messaggi

Yunes Tarada

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.

Ultimi messaggi di Yunes Tarada (vedi tutti)

• Che cos’è l’APRF? Spiegazione del nuovo standard di feedback sulla deliverability delle e-mail - 4 settembre 2026
• Guida alla configurazione di DKIM, DMARC e SPF di Network Solutions - 2 settembre 2026
• Guida all'autenticazione delle e-mail di Simply.com: SPF, DKIM e DMARC - 1 settembre 2026