Link di disiscrizione pericolosi? Quando è sicuro cliccare

Sì, i link di disiscrizione possono essere pericolosi, e quelli a rischio si trovano nella posta di mittenti che non conosci. Nella posta che arriva davvero da una newsletter o da un negozio a cui ti sei iscritto, il link per annullare l’iscrizione è sicuro ed è il modo più rapido per non ricevere più quelle email. Nello spam o in un messaggio che sospetti sia una truffa, non cliccarlo: può confermare che il tuo indirizzo funziona o aprire una falsa pagina di accesso, quindi segnala piuttosto il messaggio.

Il pulsante per annullare l’iscrizione integrato nella tua app di posta è di solito la strada più sicura. Ma qualunque modo di disiscriverti comunica al mittente che il tuo indirizzo è attivo. Con un’azienda che ha già il tuo indirizzo non fa danni, ed è esattamente ciò che vuole uno spammer. Per tenere le liste lontane dal tuo indirizzo principale fin dall’inizio, CatchNone dà a ogni negozio e a ogni newsletter il proprio indirizzo e ne apre la posta con le immagini remote bloccate, su iPhone, iPad e Mac. I menu e le regole che seguono sono stati verificati sulla documentazione di Google, Apple, Microsoft e Yahoo a settembre 2026.

I link di disiscrizione sono sicuri? Dipende da chi ha inviato l’email

Guarda l’ultima colonna. Annullare l’iscrizione, che sia con un link, un pulsante o un’email, è un messaggio per il mittente. L’RFC 8058, lo standard alla base della disiscrizione con un clic, dice che fornisce “un forte indizio al mittente che l’indirizzo a cui è stato inviato il messaggio era valido”. Bloccare ed eliminare restano azioni solo tue, e la segnalazione non contatta direttamente il mittente. Aprire un messaggio e caricarne le immagini potrebbe averlo già comunicato al mittente: è così che funziona il tracciamento tramite pixel nelle email.

Non sei sicuro che l’email arrivi davvero dall’azienda? Lascia perdere il suo link. La FTC, nei suoi consigli sul phishing, raccomanda di “contattare l’azienda usando un numero di telefono o un sito web che sai essere autentico, non le informazioni contenute nell’email”. Apri l’app dell’azienda o digita tu il suo indirizzo web, accedi e disattiva le email di marketing nelle impostazioni del tuo account. In Outlook, un “?” nella foto del mittente significa che Outlook non è riuscito a verificare il mittente.

In che modo i link di disiscrizione possono essere pericolosi

Confermano che il tuo indirizzo è attivo

Microsoft consiglia di non rispondere mai a un messaggio, “nemmeno per annullare l’iscrizione a una mailing list”, a meno che tu non conosca il mittente e ti fidi di lui, perché rispondere allo spam conferma che il tuo indirizzo è attivo. L’ICO britannico spiega che rispondere allo spam “mostra che il tuo indirizzo email è attivo” e che, se clicchi sulle pubblicità che contiene, “potresti ricevere altre email”. Apple fa notare che gli spammer usano anche il caricamento delle immagini per verificare se un account è attivo.

Una pagina falsa ti chiede la password

Alcuni link di “disiscrizione” portano a una pagina che ti chiede di accedere per gestire la tua iscrizione. I consigli di Google sul phishing sono chiari: se un link ti chiede la password, “non inserire le tue informazioni, ma vai direttamente al sito web che vuoi usare”. La CISA avverte che i siti falsi “possono sembrare identici a un sito legittimo, ma l’URL può contenere una variante nell’ortografia o un dominio diverso”.

Ti spingono a scaricare qualcosa di dannoso

La FTC dice che a volte i truffatori inviano link e allegati “che, se aperti o cliccati, installano malware dannoso sul dispositivo”. Se una pagina insiste perché tu scarichi un file, installi un’app o un “aggiornamento di sicurezza”, è il momento di chiuderla.

Come distinguere una vera pagina di disiscrizione da una falsa

Una vera disiscrizione non richiede mai la tua password, un pagamento o un download. La guida al CAN-SPAM della FTC dice che i mittenti statunitensi non possono farti pagare per toglierti da una lista, chiederti dati personali “oltre a un indirizzo email” né pretendere più di un’email di risposta o della visita a “una singola pagina di un sito Internet”. Le indicazioni di Yahoo per i mittenti raccomandano una procedura di disiscrizione che “non richieda agli utenti di accedere”. Chiudi la pagina se:

• ti chiede di accedere prima di poter annullare l’iscrizione;
• vuole più del tuo indirizzo email, o ti chiede i dati della carta;
• ti propone un file da scaricare o un’app da installare.

Una pagina di conferma con un solo pulsante per annullare l’iscrizione è normale: Mailchimp ci manda chi clicca sul link nel piè di pagina. E nemmeno un link su un dominio diverso da quello del marchio è di per sé un campanello d’allarme, perché piattaforme come Mailchimp obbligano i mittenti a usare “il link di disiscrizione che forniamo noi”. Il dominio conta quando una pagina ti chiede di accedere.

Quanto spesso i link di disiscrizione sono pericolosi?

Nessuno pubblica un dato affidabile. A giugno 2025 DNSFilter, un’azienda di sicurezza DNS, ha detto al Wall Street Journal che circa 1 clic su 644 sui link con “unsubscribe” nell’indirizzo portava a siti potenzialmente dannosi. Non ha pubblicato come l’ha misurato, quindi prendilo come un segnale che il rischio è reale, non come la probabilità che capiti a te.

Il pulsante per annullare l’iscrizione dell’app di posta è più sicuro del link?

Di solito sì. Le mailing list possono aggiungere un’intestazione nascosta, List-Unsubscribe, che indica alla tua app di posta come toglierti dalla lista. Risale all’RFC 2369 del 1998 e può contenere un indirizzo web, un indirizzo email o entrambi. Quando la tua app la trova, può mostrare un proprio comando per annullare l’iscrizione.

È più sicuro per due motivi:

• Gmail e Yahoo decidono se mostrarlo. Le FAQ di Gmail per i mittenti dicono che il pulsante compare “solo per i messaggi che superano i controlli automatici di idoneità di Google”, che comprendono le sue regole per i mittenti e le segnalazioni di spam dei destinatari. Yahoo mostra il suo pulsante blu Unsubscribe (Annulla iscrizione) accanto all’indirizzo del mittente solo con un’intestazione con un clic corretta e “reputazione e coinvolgimento sufficienti” (FAQ di Yahoo per i mittenti). Non tutte le app verificano i mittenti in questo modo: Apple non documenta un controllo simile, e alcune app mostrano il pulsante su qualsiasi messaggio che contenga l’intestazione, spam compreso.
• La disiscrizione con un clic non apre nessuna pagina web. La tua app effettua una singola richiesta in background. L’RFC 8058 stabilisce che la richiesta “NON DEVE includere cookie, autorizzazioni HTTP o qualsiasi altra informazione di contesto”, e il mittente non può rispondere con un redirect. Non c’è niente a cui accedere e niente da scaricare.

Non è una garanzia:

• Go to website (Vai al sito web). Gmail spiega che alcuni mittenti ti fanno visitare il loro sito: lo stesso tipo di pagina del link nell’email.
• Disiscrizioni via email. Quando un’app usa l’indirizzo mailto: dell’intestazione, il risultato è un’email dal tuo indirizzo alla lista, proprio il tipo di risposta che Microsoft sconsiglia.
• Conferma comunque il tuo indirizzo. L’RFC 8058 dice che la richiesta deve contenere “informazioni sufficienti a identificare il destinatario del messaggio e la lista”.
• Non dimostra che il mittente sia onesto. La disiscrizione con un clic richiede una firma DKIM, che mostra quale dominio ha firmato il messaggio, non che quel dominio sia affidabile. Uno spammer può firmare la posta dal proprio dominio.
• Vale per una sola lista. Gmail avverte che “potrebbe annullare l’iscrizione solo a una singola mailing list del mittente”.

Quindi usa il pulsante per i mittenti che riconosci, e lo spam segnalalo invece di annullare l’iscrizione.

Cos’è la disiscrizione con un clic?

La disiscrizione con un clic, definita nell’RFC 8058 nel 2017, aggiunge una seconda intestazione, List-Unsubscribe-Post, così la tua app di posta può toglierti da una lista con una singola richiesta HTTPS in background: nessuna pagina web e nessuna email. Sui telefoni a volte si parla di disiscrizione con un tocco. Ecco l’esempio dell’RFC. Per vedere le intestazioni di un messaggio reale in Gmail sul web, aprilo, fai clic su More (Altro) accanto a Reply (Rispondi), poi su Show original (Mostra originale).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe elenca le vie d’uscita: un indirizzo email e un indirizzo web.
• opaque=123456789 è la parte che identifica te e la lista.
• List-Unsubscribe-Post rende la disiscrizione con un clic: la tua app invia POST /unsubscribe.html?opaque=123456789 con il corpo List-Unsubscribe=One-Click, e non si apre nessuna pagina.

La disiscrizione con un clic esiste perché i software di protezione dallo spam che aprono in automatico l’indirizzo di disiscrizione presente nelle intestazioni cancellavano le persone dalle liste per errore, così i mittenti avevano aggiunto pagine di conferma. Una richiesta POST permette ai mittenti di distinguere la tua richiesta da quelle aperture automatiche, quindi non serve nessuna pagina di conferma. La tua app non deve inviarla “senza il consenso dell’utente”, ed è per questo che ti viene chiesto di confermare.

Dove trovare il pulsante integrato per annullare l’iscrizione

Gmail

Sul web, su Android, iPhone e iPad, la disiscrizione con un clic di Gmail si trova accanto al nome del mittente (la procedura di Google):

1. Apri un’email del mittente da cui vuoi disiscriverti.
2. Accanto al nome del mittente, fai clic o tocca “Annulla l’iscrizione”.
3. Nella finestra che si apre, scegli “Annulla l’iscrizione” o Go to website (Vai al sito web).

Possono volerci alcuni giorni perché la posta smetta di arrivare. La vista Manage subscriptions (Gestisci iscrizioni) di Gmail, lanciata a luglio 2025 e ancora “in fase di implementazione graduale”, ti toglie in un colpo solo da tutte le liste attive di un mittente e sposta in Spam la nuova posta di quel mittente. Per aprirla, sul web fai clic su More > Manage subscriptions (Altro > Gestisci iscrizioni), oppure nelle app tocca Menu > Manage subscriptions (Menu > Gestisci iscrizioni).

Apple Mail su Mac

In macOS 26 e macOS 27, un banner sotto l’intestazione segnala i messaggi che provengono da una mailing list. Fai clic su Unsubscribe (Annulla iscrizione) nel banner, poi su OK nell’avviso (la procedura di Apple). Apple non documenta se Mail effettua una richiesta con un clic o invia un’email dal tuo account, quindi usalo solo per i mittenti che conosci.

iPhone e iPad

Le guide di Apple per iPhone e iPad non documentano un comando per annullare l’iscrizione all’interno dei messaggi. Documentano invece iCloud Mail Cleanup (pulizia della posta di iCloud), che funziona solo con Mail di iCloud e non è disponibile in tutte le lingue. Ti propone i mittenti delle categorie Updates (Aggiornamenti) e Promotions (Promozioni) e sposta la loro posta futura in Trash (Cestino). In iOS 26 e 27 si trova in Impostazioni > [il tuo nome] > iCloud > Mail > iCloud Mail Cleanup; i passaggi completi sono in come trovare le mailing list a cui sei iscritto.

Se Mail mostra un proprio pulsante Unsubscribe (Annulla iscrizione) in cima a un messaggio, Apple non spiega come funziona nemmeno quello, quindi usalo solo per i mittenti che conosci.

Outlook.com

Microsoft non documenta un pulsante per annullare l’iscrizione dal singolo messaggio in Outlook.com, nel nuovo Outlook o nelle app di Outlook. Outlook.com elenca invece i mittenti che riconosce in Settings > Mail > Subscriptions (Impostazioni > Posta > Iscrizioni), con un’opzione Unsubscribe (Annulla iscrizione) per ciascuno. In alcune app anche la finestra di segnalazione propone di annullare l’iscrizione; per la posta di cui non ti fidi, scegli la semplice opzione di segnalazione o di blocco.

Perché in alcune email non c’è il pulsante per annullare l’iscrizione?

Di solito perché il messaggio non ha superato i controlli del tuo provider, o non contiene un’intestazione utilizzabile:

• I controlli di Gmail e Yahoo. Come descritto sopra, un’intestazione corretta non basta se il messaggio non li supera. Google precisa che questo vale “anche quando i mittenti aggiungono il proprio link di disiscrizione nel corpo del messaggio”.
• Le eccezioni di Outlook.com. Potresti non avere l’opzione per la posta filtrata nella posta indesiderata o per i mittenti del tuo elenco dei bloccati.
• Nessuna firma DKIM. L’RFC 8058 dice che senza firma un’app “NON DOVREBBE offrire la disiscrizione con un clic”.
• Posta transazionale. Ricevute, reimpostazioni della password e codici di verifica non sono iscrizioni, e Gmail e Yahoo non richiedono la disiscrizione con un clic per questi messaggi.
• Mittenti che non l’hanno mai configurata. Senza un’intestazione List-Unsubscribe, la tua app non ha niente da mostrare.

Un pulsante che manca non significa che il messaggio sia una truffa, e un pulsante presente non è una prova di onestà.

Perché la disiscrizione con un clic si è diffusa nel 2024

Il 3 ottobre 2023 Google ha annunciato nuove regole per chi invia email in massa, e Yahoo ha sostenuto le stesse modifiche. Ecco le loro regole, aggiornate a settembre 2026:

Gli altri chiedono meno. Le regole di Microsoft per Outlook.com, in vigore dal 5 maggio 2025, richiedono SPF, DKIM e DMARC ai domini che inviano più di 5.000 email al giorno, ma si limitano a raccomandare un link di disiscrizione funzionante. La pagina per i postmaster di Mail di iCloud di Apple chiede a chi invia in massa “un link per annullare l’iscrizione”.

Per Gmail conta solo l’intestazione: le FAQ di Google dicono che i link di disiscrizione mailto: e URL “non soddisfano il nostro requisito di disiscrizione con un clic”, e da novembre 2025 Gmail ha iniziato a “intensificare l’applicazione” delle regole, compresi i rifiuti dei messaggi. Sono regole dei provider, non leggi; il minimo previsto dalla legge è nelle domande frequenti qui sotto.

Annullare l’iscrizione, segnalare come spam, bloccare o segnalare il phishing?

Due dettagli confondono spesso. In Gmail, bloccare un mittente “non annulla automaticamente l’iscrizione alla sua mailing list”, come spiega la guida di Google sulle iscrizioni. In Outlook, quando segnali un phishing, il mittente viene segnalato ma non bloccato, quindi bloccalo anche se continua a scriverti.

I percorsi per segnalare e bloccare in Gmail, Outlook e Apple Mail, e cosa fare con lo spam che continua ad arrivare comunque, sono in cosa riduce davvero lo spam. Uno che sfugge facilmente: in Gmail su computer, Report phishing (Segnala phishing) si trova in More (Altro), accanto a Reply (Rispondi). Se un’azienda reale continua a scriverti dopo che hai annullato l’iscrizione, leggi perché annullare l’iscrizione non funziona per le cause più comuni.

Cosa fare se hai già cliccato su un link di disiscrizione sospetto

Hai toccato o cliccato per sbaglio il link per annullare l’iscrizione in un’email di spam? Cosa fare dipende da cosa è successo dopo:

• Hai solo cliccato o toccato. Chiudi la pagina, segnala l’email come spam o phishing ed eliminala. Il clic potrebbe aver confermato il tuo indirizzo, quindi potrebbe arrivarti altro spam.
• È stato scaricato qualcosa. Non aprirlo; eliminalo. La FTC raccomanda di “aggiornare il software di sicurezza del computer, poi eseguire una scansione e rimuovere tutto ciò che viene identificato come un problema”.
• Hai digitato una password. Vai tu sul sito vero, non passando dall’email, e cambia subito la password. Poi cambiala ovunque l’abbia usata. Attiva la verifica in due passaggi e controlla se ci sono accessi che non riconosci; la nostra guida per capire se il tuo account email è stato violato copre Google, Microsoft e Apple.
• Hai fornito i dati della carta o del conto. Contatta subito la tua banca o l’emittente della carta. Negli Stati Uniti, vai anche su IdentityTheft.gov. Nel Regno Unito, segnalalo su reportfraud.police.uk o chiama lo 0300 123 2040 (Inghilterra, Galles e Irlanda del Nord), oppure chiama la Police Scotland al 101.

Per segnalare l’email anche al di fuori del tuo provider di posta, all’APWG e alla FTC negli Stati Uniti o all’NCSC nel Regno Unito, leggi dove segnalare spam e phishing.

Non dover più annullare l’iscrizione: un indirizzo per ogni lista

La soluzione più pulita sta a monte: dai a ogni negozio e a ogni newsletter un indirizzo tutto suo. Quando una lista ti ignora, vende il tuo indirizzo o subisce una violazione dei dati (data breach), il problema riguarda solo quell’indirizzo, e puoi filtrarlo o disattivarlo senza toccare gli altri. I consigli di Apple contro lo spam si chiudono con “usa un alias email”.

La versione più semplice è il plus addressing (l’indirizzo con il +): con i provider che lo supportano, tra cui Gmail, la posta inviata a you+shop@example.com arriva a you@example.com. Chiunque però può togliere l’etichetta, quindi il mittente può comunque risalire al tuo indirizzo principale. Gli alias separati non lo rivelano, e CatchNone, qui sotto, te ne dà uno per ogni lista e ne mostra la posta nella sua app. La nostra guida su cosa usare per le iscrizioni mette a confronto le opzioni.

Un indirizzo per ogni lista, con CatchNone

CatchNone dà a ogni negozio, newsletter o account il proprio indirizzo: un indirizzo @catchnone.com casuale con Premium, senza dominio né casella da configurare, oppure uno su un dominio di tua proprietà, fino a 10 con il piano Gratuito e illimitati con Lite e Premium. Ogni messaggio porta un badge con l’alias a cui è arrivato, così una lista che vende o lascia trapelare il tuo indirizzo salta fuori. È di sola ricezione per scelta: la posta delle iscrizioni resta nella sua app. I messaggi si aprono con JavaScript disattivato, e le immagini remote, compresa la maggior parte dei pixel di tracciamento, restano bloccate finché non le carichi tu. Se una lista ti ignora o un alias attira spam, segna come “Non in uso” il suo alias @catchnone.com e la posta dei mittenti tornerà indietro, mentre gli altri alias continuano a funzionare; sul tuo dominio, blocca l’indirizzo presso il tuo provider.

Il suo pulsante “Annulla iscrizione” ti chiede prima di confermare. Per le liste che supportano la disiscrizione con un clic, effettua poi la richiesta dal tuo dispositivo, senza cookie e senza pagine web, anche se la lista vede comunque l’indirizzo IP del tuo dispositivo e scopre che l’alias è attivo. Altrimenti, se la lista indica un indirizzo email, apre nella tua solita app di posta un’email già indirizzata, che parte dal tuo indirizzo reale. Se non c’è, apre la pagina del mittente. I link si aprono nel tuo browser senza modifiche, e il pulsante compare per qualsiasi messaggio con un’intestazione List-Unsubscribe, perché CatchNone non verifica la firma DKIM né la reputazione del mittente, quindi usalo per le liste che riconosci. Scarica CatchNone per iPhone, iPad e Mac.

Domande frequenti

Annullare l’iscrizione alle email su iPhone è sicuro?

Con i mittenti che conosci, sì: tocca “Annulla l’iscrizione” accanto al nome del mittente nell’app Gmail, usa iCloud Mail Cleanup per Mail di iCloud, oppure usa il link nell’email. Per lo spam, scorri verso sinistra, tocca More (Altro), poi Move to Junk (Sposta in Indesiderata). Apple suggerisce anche di attivare “Proteggi le attività di Mail” (Impostazioni > App > Mail > “Protezione della privacy”), e la nostra guida su come funziona la Protezione della privacy di Mail spiega cosa cambia.

Dovrei annullare l’iscrizione alle email di spam?

No. Lo spam non è una lista a cui ti sei iscritto, quindi non c’è niente da cui uscire, e cliccare, toccare o rispondere può confermare che il tuo indirizzo è attivo. Contrassegnalo come spam o posta indesiderata, cosa che addestra il filtro e non contatta direttamente il mittente, poi eliminalo; se lo stesso mittente continua a scrivere, blocca l’indirizzo. Annulla l’iscrizione solo dalle liste a cui ti sei iscritto, e segna come spam qualsiasi lista che ignori la tua disiscrizione.

Cosa succede se fai clic su “Annulla l’iscrizione” in Gmail?

Una finestra ti chiede di confermare con “Annulla l’iscrizione”, oppure ti propone Go to website (Vai al sito web) per i mittenti che richiedono la propria pagina. Possono volerci alcuni giorni perché la posta smetta di arrivare. Se il mittente ti scrive di nuovo dopo la disiscrizione, Gmail mette la nuova posta in Spam.

Segnalare lo spam avvisa il mittente?

In Gmail non per nome: la segnalazione sposta il messaggio in Spam e addestra il filtro, e il feedback di Gmail a chi invia in massa consiste in dati aggregati sui reclami per ogni campagna. Yahoo è diverso: il suo Complaint Feedback Loop invia ai mittenti iscritti un rapporto, con le intestazioni del messaggio, quando contrassegni la loro posta come spam. Per una lista a cui ti sei davvero iscritto, Google consiglia invece di annullare l’iscrizione.

I link di disiscrizione sono obbligatori per legge?

Negli Stati Uniti, il CAN-SPAM impone che le email commerciali includano un modo funzionante per disiscriversi, da rispettare entro 10 giorni lavorativi; il pulsante con un clic deriva dalle regole di Gmail e Yahoo per i mittenti, non dalla legge. Le scadenze per Paese sono in perché annullare l’iscrizione non funziona.