Come analizzare la reputazione del dominio e del sito? Si perde in fretta e si ricostruisce piano

Prima di mettere mano a un sito che non ho costruito io, c'è una cosa che controllo ancora prima del codice: che reputazione ha il dominio. Mi è capitato di ereditare progetti in cui il problema non era il tema lento o il plugin vecchio, ma il fatto che Google e i server di posta avevano già deciso di non fidarsi di quel nome.

La risposta breve: la reputazione di un dominio si analizza in tre posti, e in mezz'ora hai un quadro onesto. Search Console per quello che Google pensa del sito, un controllo su autenticazione e liste nere per quello che pensano i server di posta, e la cronologia del dominio per quello che è successo prima di te. Il resto dell'articolo è il perché, e cosa fare quando uno dei tre dà un risultato brutto.

Reputazione del dominio vuol dire due cose diverse, e si controllano in posti diversi

Il dominio ha due reputazioni, non una: quella davanti ai motori di ricerca e quella davanti ai server di posta. Condividono il nome, e quando una va male l'altra prima o poi ne risente.

La prima è quella di cui si parla quando si fa SEO: Google valuta se il sito è sicuro da visitare, se ha ricevuto azioni manuali per spam, che storia hanno i link che puntano a quel nome. La seconda è la reputazione di mittente: ogni volta che il tuo sito spedisce una mail, che sia la conferma di un ordine o una newsletter, Gmail e Outlook decidono se metterla in posta in arrivo o nello spam, e lo decidono guardando il dominio.

Il primo controllo: Search Console e Safe Browsing

Search Console dice in due pagine se Google ha un problema con te: «Azioni manuali» e «Problemi di sicurezza». Se entrambe sono vuote, la parte peggiore è esclusa. Se non sono vuote, lì c'è scritto il motivo, e di solito è una delle cose che vediamo più avanti: contenuti spam che qualcuno ha iniettato nel sito, oppure link comprati in passato.

Il secondo controllo è il rapporto sulla trasparenza di Google Safe Browsing: si inserisce il dominio e si legge se risulta pericoloso. È lo stesso elenco che fa comparire la schermata rossa in Chrome. Un sito che finisce lì dentro perde i visitatori prima ancora di perdere posizioni, perché il browser li ferma sulla porta.

Il terzo lo faccio a mano: cerco su Google site:nomedominio.it e scorro i risultati. Se tra le pagine compaiono titoli in giapponese, farmaci, scommesse, orologi di marca, il sito è stato bucato e ospita pagine che tu non hai mai scritto. Il proprietario di solito non ne sa niente, perché dal menu non si vedono.

Per la posta: autenticazione e liste nere

Un server di posta si fida di un dominio se riesce a verificare che la mail arriva davvero da lì, e questo passa da tre record DNS: SPF, DKIM e DMARC. Senza quei tre, le mail del sito partono già con un sospetto addosso. Con DMARC impostato su «reject», invece, chiunque provi a spedire a tuo nome viene scartato prima di fare danni.

Come si controlla: un servizio come MXToolbox verifica i record e dice se il dominio o il suo IP di invio compaiono nelle liste nere pubbliche, Spamhaus in testa. Per Gmail, che riceve buona parte della posta che un sito italiano spedisce, Google Postmaster Tools mostra la reputazione del dominio come la vede Gmail, su quattro livelli da «cattiva» ad «alta». È gratuito e quasi nessuno lo apre.

Una cosa che ho imparato a chiedere subito: da dove partono le mail del sito. Se il modulo di contatto spedisce con la funzione mail del server, senza un servizio di invio autenticato, quelle mail finiscono nello spam a intermittenza, e nessuno capisce perché. È una delle prime cose che sistemiamo quando prendiamo in carico un sito.

Il passato del dominio conta anche se non è tuo

Un dominio si compra con la sua storia, e la storia non si vede sul listino del registrar. Prima di consigliare un nome a un cliente lo passo sulla Wayback Machine: se anni fa quel dominio ospitava un sito di scommesse o una pagina parcheggiata piena di link, i motori se lo ricordano, e qualche lista nera pure.

Lo stesso vale per i domini scaduti che qualcuno ricompra perché «hanno già autorevolezza»: più spesso quell'autorevolezza viene da link di pessima qualità lasciati dal proprietario precedente, e ti ritrovi a ereditare un'azione manuale che non hai meritato. Prima di comprare: cronologia, liste nere, una ricerca del nome tra virgolette su Google. Se uno dei tre dà risultati strani, si cambia nome.

Come si perde: quasi sempre senza accorgersene

La reputazione di un dominio si perde per trascuratezza molto più che per malizia. I casi che ho visto più spesso sono tre.

• Il sito viene bucato e usato per ospitare pagine spam o per spedire posta. Succede attraverso un plugin non aggiornato o una password debole, e il proprietario lo scopre quando Google gli manda l'avviso, o quando un cliente gli dice che il sito «mostra cose strane».
• Il modulo di contatto o la registrazione senza protezione vengono usati dai bot per inviare migliaia di mail dal tuo dominio. Dopo qualche giorno l'IP e il dominio sono in lista nera, e le mail vere, quelle con le conferme degli ordini, smettono di arrivare.
• Qualcuno, in buona fede, compra una lista di indirizzi e manda una newsletter dal dominio aziendale. Le segnalazioni come spam salgono, Gmail abbassa la reputazione del dominio, e con lei scende anche la posta ordinaria di tutta l'azienda.

Nessuno di questi danni fa rumore quando avviene. Si notano dopo, dai sintomi: meno traffico, clienti che dicono di non aver ricevuto la mail.

Come si ricostruisce: pulizia, richiesta di riesame e tempo

Si ricostruisce nell'ordine inverso in cui si è persa: prima si toglie la causa, poi si chiede a chi ti ha bollato di riguardare, poi si aspetta. Non esiste il passo che salta l'attesa.

Per la parte web: si rimuove il contenuto iniettato, si chiudono le falle, si cambiano gli accessi, e solo dopo si invia la richiesta di riesame da Search Console spiegando cosa è stato fatto. Per i link comprati in passato Google oggi tende a ignorarli, ma dopo un'azione manuale la richiesta di riesame va fatta e va documentata.

Per la posta: si mettono a posto SPF, DKIM e DMARC, si chiede la rimozione dalle liste nere (ognuna ha la sua procedura, e alcune si puliscono da sole se il flusso di spam si ferma), e si riparte spedendo poco, a chi ha chiesto di ricevere, aumentando con calma. Un consiglio che do sempre: le newsletter partono da un sottodominio dedicato, così se una campagna va male non trascina giù la posta di tutta l'azienda.

Quanto ci vuole non te lo so dire in giorni, perché cambia da caso a caso. Quello che so è che la risalita è sempre più lenta della caduta.

Cosa decidere, se il sito è tuo

Chiedi a chi ti segue il sito tre cose: se Search Console è attiva e qualcuno la guarda, da dove partono le mail del sito e se sono autenticate, e se è previsto un controllo periodico sulle liste nere. Se la risposta a una delle tre è un silenzio, quello è il punto da cui partire.

La reputazione del dominio è il patrimonio più lento da costruire di tutto il progetto, e il più facile da rovinare con una password riciclata. Per questo da noi il controllo di Search Console e dei record di posta sta nella checklist di ogni sito che consegniamo, e nella manutenzione che viene dopo.