Perché le e-mail Magic Link falliscono: problemi di consegna nell'autenticazione senza password

È facile capire perché le aziende offrano l'accesso tramite "magic link". Le password si dimenticano, le richieste di reimpostazione richiedono tempo e agli utenti non piacciono particolarmente né l'una né l'altra. 

Inviare un link di accesso via e-mail sembra un modo ragionevole per aggirare tutto questo.

Ma, come si suol dire, il diavolo si nasconde nei dettagli. L'e-mail stessa diventa ora parte integrante della procedura di accesso all'account. Se non arriva, l'utente non può completare l'accesso, anche se sul vostro sito web tutto sembra funzionare correttamente.

Chiedere agli utenti di controllare la cartella dello spam o di riconfigurare i filtri antispam della posta elettronica e riprovare da capo ti costerà probabilmente un gran numero di potenziali clienti. È troppo complicato per un utente medio.

Risolvere i principali problemi legati alla consegna sembra l'approccio migliore. Ma cosa va effettivamente storto durante la consegna? 

Di seguito illustreremo i motivi principali per cui le e-mail con link magici non vanno a buon fine, distingueremo i problemi di consegna delle e-mail da quelli relativi ai link stessi e spiegheremo come aumentare le probabilità che raggiungano la casella di posta degli utenti.

Cosa sono le e-mail con link magici e come funzionano?

Il termine "email con link magico" è un'espressione colloquiale che indica le email inviate agli utenti per consentire loro di accedere a un sito o a una risorsa senza password. Alcune alternative più tecniche a questo termine includono "link di accesso senza password" o "link di accesso tramite email".

Le password sono complicate, soprattutto perché richiede uno sforzo ricordarle. Ecco perché le aziende ricorrono a soluzioni di autenticazione senza password, tra cui i “magic link”. Ecco come funziona, passo dopo passo (versione semplificata):

1. Inserisci il tuo indirizzo e-mail nella pagina di accesso.
2. Il servizio crea un account temporaneo e ti invia un'e-mail (e-mail con link magico per l'accesso) contenente il link corrispondente.
3. Clicchi sul link e il sistema esegue una rapida verifica della validità dell'accesso.
4. Se la verifica va a buon fine, l'accesso è stato effettuato.

Un link di questo tipo scade solitamente dopo un determinato periodo di tempo limitato (di solito pochi minuti) ed è valido per un solo utilizzo.

In questa illustrazione è possibile vedere l'intero processo:

La parola chiave di tutta questa storia è “senza password”, ma ciò non significa che non ci sia più nulla da proteggere. Chiunque riesca ad accedere alla tua casella di posta potrebbe anche utilizzare i link di accesso inviati lì. È qui che entra in gioco l’autenticazione a due fattori può fare davvero la differenza, non solo salvando il tuo account, ma anche proteggendo il tuo accesso senza password.

Per l'azienda che invia queste e-mail, l'affidabilità della consegna è altrettanto importante. Se il messaggio non raggiunge mai l'utente, la procedura di accesso si interrompe prima che questi possa accedere al servizio. 

Perché le e-mail con link magici non arrivano nella posta in arrivo

Quando si affida alla propria app la gestione del processo di autenticazione degli utenti, si è tentati di pensare che tutto procederà senza intoppi. Dopotutto, si tratta di un processo puramente tecnico, privo di qualsiasi errore umano. Tuttavia, ci sono diversi punti in cui le cose possono andare storte.

Cominciamo dal server di ricezione e dai suoi controlli tecnici di routine, che determinano se la tua e-mail è affidabile.

Problemi di configurazione di SPF, DKIM e DMARC

Un nome del mittente familiare non garantisce che la tua e-mail venga accolta favorevolmente dal sistema di verifica dei server destinatari. Chiunque può copiare un nome. I server destinatari hanno bisogno di qualcosa di più di un semplice nome, qualcosa che possano effettivamente verificare.

È qui che entrano in gioco le politiche SPF, DKIM e DMARC:

• L'SPF identifica i server di invio autorizzati.
• DKIM aggiunge una firma digitale che aiuta a verificare il messaggio.
• DMARC verifica se un risultato positivo dei controlli SPF o DKIM corrisponda al dominio del mittente visibile.

Tre controlli tecnici, una decisione: accettare o rifiutare la tua e-mail (oppure inviarla nella cartella dello spam).

Inoltre, anche se le tue normali e-mail aziendali funzionano perfettamente, quelle relative all’accesso potrebbero non superare il controllo DMARC finale.

Per individuare la causa del problema, basta utilizzare strumenti di verifica della deliverability delle e-mail e effettuare controlli regolari. Controlla le impostazioni SPF, DKIM e DMARC e verifica se le tue e-mail arrivano nella posta in arrivo. Inoltre, assicurati di testare un indirizzo e-mail di accesso effettivo, poiché potrebbe utilizzare una configurazione di invio diversa rispetto alle tue e-mail normali.

Scarsa reputazione dell'IP e del dominio del mittente

Prima ancora di passare al contenuto delle e-mail come potenziale fattore che può influire sulla deliverability, c’è un aspetto ben più evidente da considerare: la reputazione del dominio e dell’indirizzo IP del mittente. In una certa misura, è persino più importante (o almeno ha la precedenza) rispetto a quei controlli tecnici di cui abbiamo parlato nel capitolo precedente.

Per valutare la reputazione, i provider di caselle di posta analizzano i messaggi provenienti dal tuo dominio e dall'IP di invio:

• I destinatari hanno contrassegnato quelle e-mail come spam? 
• L'indirizzo IP è stato utilizzato per inviare messaggi indesiderati? 

Questi fattori influenzano il modo in cui verranno gestite le future e-mail, comprese quelle contenenti i tuoi URL magici.

Inoltre, potresti non essere l'unica azienda a utilizzare quell'IP. Molti servizi di invio e-mail ospitano più clienti su un'infrastruttura condivisa. Saresti fortunato se gli altri utenti che condividono quell'IP avessero una reputazione migliore della tua, ma non è sempre così. La loro reputazione compromessa danneggerà inevitabilmente quella del tuo IP condiviso, 

Il risultato? Anche le tue e-mail di accesso potrebbero finire nel filtro.

Filtri antispam e contenuti sospetti nelle e-mail

I filtri antispam non funzionano sempre come dovrebbero. I loro algoritmi sono soggetti a revisione ad ogni aggiornamento importante del sistema operativo o ad ogni patch di sicurezza. Quindi, se continui a ricevere email con link "magici" per mesi, ciò non significa che il mese successivo non finiranno nella tua cartella dello spam.

In sostanza, i filtri antispam analizzano i contenuti delle e-mail alla ricerca di elementi sospetti:

• Oggetti delle e-mail fuorvianti che spingono gli utenti ad agire immediatamente.
• Domini collegati associati a spam o phishing.
• Allegati inaspettati che non hanno alcuna ragion d'essere in un'e-mail di accesso.
• Offerte promozionali inserite in un messaggio contenente un link magico.

Alcuni filtri antispam sono molto sensibili al rilevamento di link che nascondono la loro destinazione dietro servizi di accorciamento degli URL o una serie di reindirizzamenti. Questo elenco non è esaustivo, poiché potrebbero esserci altri motivi per cui i filtri antispam bloccano un’e-mail.

Ovviamente, la presenza di un link o di una frase che trasmette urgenza non rende automaticamente un’e-mail spam. I filtri antispam valutano una serie di segnali nel loro insieme, tra cui la reputazione del mittente. Tuttavia, le aggiunte superflue possono far sembrare meno affidabile un messaggio di accesso legittimo.

Se le tue e-mail di accesso contengono una firma aggiunta automaticamente, controlla anche quella parte del messaggio. Oltre a inserire link e immagini aggiuntivi, una firma aggiunta dopo la firma DKIM può causare problemi di autenticazione delle email modificando il contenuto che era già stato firmato. 

Perché i link magici nelle e-mail possono non funzionare anche dopo la consegna

Un’e-mail recapitata viene visualizzata come un risultato positivo nella dashboard. Per il cliente, successo significa poter accedere al proprio account. C’è ancora un passaggio da compiere tra questi due eventi, e non sempre tutto procede senza intoppi.

Link non più validi e richieste di accesso ripetute

I clienti non organizzano la propria giornata in base al momento in cui ricevono l'e-mail relativa all'accesso al proprio account. Quando viene inviata una richiesta di accesso, il cliente potrebbe ricevere una telefonata e distrarsi per un po'. Quando il cliente desidera accedere nuovamente al proprio account, l'e-mail è già stata recapitata, ma l'URL magico è già scaduto.

Questo è il comportamento previsto per un link temporaneo. Tuttavia, la situazione diventa frustrante quando il cliente non ha praticamente alcuna possibilità di utilizzarlo a causa dei lunghi tempi di attesa durante la consegna.

Inoltre, l’invio di richieste ripetute può dare luogo a un’ulteriore forma di ambiguità. A seconda di come funziona il sistema di invio, ogni volta che si clicca su “invia” in un pulsante di reinvio, il link precedente viene annullato, con il risultato di ricevere più e-mail quasi identiche, costringendo il destinatario a chiedersi quale sia quella valida… e quale no.

Quando provi ad aprire un vecchio messaggio, potresti ritrovarti a cliccare su un link non più valido; e se invii un’altra richiesta, aggiungi un altro link a tutti gli altri che creano già confusione. È una seccatura che conosciamo bene, vero?

Scanner di sicurezza che utilizzano link monouso

Alcuni scanner di sicurezza sono più accurati di altri. È il classico caso in cui “il meglio è nemico del bene”, ovvero quando un sistema di sicurezza, invece di limitarsi a scansionare il contenuto dell’e-mail e a verificare il dominio del mittente, apre effettivamente tutti i link contenuti nell’e-mail.

Non ci vuole un genio per capire cosa succede in questo caso con un’e-mail contenente un link magico. Il link in essa contenuto è valido solo per un unico utilizzo. Pertanto, il sistema di sicurezza ti priva di fatto del diritto di utilizzare quel link, che scade prima ancora che tu lo apra.

Quando ciò accade, inviare un’altra e-mail potrebbe non servire a nulla. L’e-mail sostitutiva viene sottoposta agli stessi controlli di sicurezza e potrebbe diventare inutilizzabile esattamente per lo stesso motivo.

Altri errori comuni relativi ai link magici dopo la consegna nella casella di posta dell'utente includono il cambio di contesto (l'utente deve passare da un'applicazione all'altra, il che risulta particolarmente fastidioso sui dispositivi mobili) e gli errori legati al cambio di dispositivo (quando si passa da un dispositivo all'altro):

Come migliorare la deliverability delle email di Magic Link

La conoscenza è potere. Abbiamo volutamente dedicato così tanto tempo e spazio a spiegare tutte le possibili cause che potrebbero andare storte e impedire l'accesso a Magic Link. Ora vediamo come risolvere i problemi di consegna delle e-mail che impediscono agli utenti di accedere ai propri account.

Una cosa va chiarita fin dall'inizio: non esiste un'unica impostazione in grado di risolvere tutti i problemi di consegna. Tuttavia, è sicuramente possibile rendere più affidabili le e-mail di accesso seguendo questi quattro consigli:

1. Verifica la configurazione dell'autenticazione. Configura SPF e DKIM, quindi verifica che almeno uno dei due superi il controllo con l'allineamento del dominio richiesto per DMARC. Se la tua e-mail aziendale e quelle di accesso condividono lo stesso dominio, verifica separatamente ciascuna configurazione di invio.
2. Separa le email di accesso da quelle di marketing. Rendi le tue email di accesso il più semplici possibile. Evita di mescolarle con contenuti promozionali e, soprattutto, evita di includere link aggiuntivi. 
3. Cerca di mantenere l'e-mail concisa. Non scrivere testi lunghi nelle email con link magici. Più il testo è lungo, maggiori sono le probabilità che un sistema di filtraggio antispam o un'app di sicurezza individui qualcosa di sospetto al suo interno. 
4. Non limitarti a considerare i tassi di consegna. Monitorate la deliverability delle e-mail contenenti il link magico e utilizzate i risultati ottenuti per migliorarne le prestazioni. Aspetti da tenere d'occhio: la velocità di consegna dei messaggi, i bounce e il il posizionamento nella posta in arrivo presso i provider di posta elettronica effettivamente utilizzati dai tuoi clienti.

Consiglio da esperto: Verifica se il tuo provider di posta elettronica aggiunge il tracciamento dei clic ai link di accesso e, in tal caso, richiedi che venga rimosso. Il tracciamento dei clic può sostituire l'URL originale con un reindirizzamento di tracciamento, il che aggiunge un ulteriore punto in cui potrebbero verificarsi degli errori. Il tracciamento dei clic non è comunque necessario per le e-mail di accesso.

Conclusione: integrare la consegna affidabile nell’autenticazione senza password

I link automatici presenti nelle e-mail di autenticazione senza password potrebbero non funzionare per vari motivi, alcuni di natura tecnica, altri legati all'errore umano.

In qualità di mittente, non dovresti smettere di monitorare lo stato di avanzamento anche quando la dashboard del tuo client di posta indica “consegnato”. Fai uno sforzo in più e prova tu stesso a completare la procedura di accesso, verificando i punti in cui i tuoi clienti incontrano difficoltà. Rimarrai sorpreso da quante informazioni riuscirai a raccogliere e da quante azioni potrai intraprendere per migliorare il processo di consegna delle tue e-mail.

I tuoi clienti non dovrebbero avere bisogno di capire nulla di tutto ciò. Hanno richiesto l'accesso al proprio account e la procedura di accesso dovrebbe rendere questa operazione semplicissima.

Domande frequenti

I link magici sono più sicuri delle password?

I link magici sono più sicuri delle password sotto un certo aspetto: eliminano la vulnerabilità nota che si verifica quando gli utenti scelgono password deboli o riutilizzano la stessa password su più account. Tuttavia, introducono un’altra vulnerabilità: qualcuno potrebbe accedere all’account di posta elettronica del destinatario e abusare dei suoi diritti di accesso.

Per quanto tempo dovrebbe rimanere valido un "magic link"?

Non esiste una finestra aperta universale e valida per tutti i casi. Un link “magico” dovrebbe concedere all’utente il tempo sufficiente per aprire il proprio client di posta elettronica, leggere il testo dell’e-mail, individuare il link e cliccarci sopra. Nella scelta di tale limite di tempo, è necessario tenere in considerazione i ritardi di consegna e la sensibilità dell’account.

Il superamento del controllo DMARC garantisce la consegna nella posta in arrivo?

No, non è così. Il superamento del controllo DMARC serve semplicemente a confermare che il dominio del mittente visibile corrisponda a un dominio autenticato tramite SPF o DKIM. Oltre alla politica DMARC, potrebbero esserci altri motivi per cui la consegna potrebbe non andare a buon fine, ad esempio una reputazione del mittente compromessa, contenuti spam nel messaggio, link nascosti o semplicemente troppi link in una singola email.

Cosa devono fare gli utenti se l'e-mail con il link magico non arriva mai?

La prima cosa da fare è controllare la cartella dello spam, poiché è lì che si trovano la maggior parte delle e-mail di registrazione non recapitate. Un altro problema comune è un errore nell’indirizzo e-mail, se questo viene inserito manualmente. Se questi due passaggi non funzionano, richiedi un nuovo link, ma non premere ripetutamente il pulsante “Invia”. Se non ricevi nulla, contatta il team di assistenza del servizio o utilizza un’altra opzione di accesso, se disponibile.