IMAP e POP3: differenza e se le email restano sul server

Sì, quando elimini un messaggio: IMAP cancella l’email dal server, e quindi da tutte le app che colleghi. Il server conserva l’unica vera copia della tua posta e ogni app lavora su quella, quindi leggere o scaricare un messaggio non rimuove nulla, ma eliminarlo in un’app lo elimina in tutte. La maggior parte delle app lo sposta prima in una cartella Cestino, da cui puoi ancora recuperarlo, mentre Gmail di solito lo archivia in All Mail (Tutti i messaggi). Ed è qui la differenza tra IMAP e POP3: POP3 scarica la posta su un solo dispositivo e, a seconda delle impostazioni, può eliminare la copia sul server. Se vuoi leggere la posta degli alias di un dominio di tua proprietà in un’app che non può eliminare nulla, CatchNone legge quella casella in sola lettura tramite IMAP o JMAP e non segna, non sposta e non elimina mai un messaggio sul server, su iPhone, iPad e Mac.

IMAP cancella le email dal server in tutte le app?

Sì, anche se di solito prima le sposta nel cestino invece di eliminarle per sempre. L’attuale standard IMAP (Internet Message Access Protocol), RFC 9051, descrive IMAP come un modo per lavorare con “cartelle di messaggi remote” come se fossero locali. Le app IMAP scaricano comunque i messaggi: telefono, portatile e webmail possono tenerne ciascuno delle copie in cache, per essere più veloci e per la lettura offline, ma quelle copie seguono il server. Quando un messaggio lascia il server, sparisce da tutte le app alla sincronizzazione successiva.

Eliminare richiede due passaggi: flag, poi expunge

1. L’app imposta il flag \Deleted sul messaggio. Il messaggio è contrassegnato per la rimozione, ma è ancora lì.
2. Il comando EXPUNGE, oppure la chiusura della cartella con CLOSE, rimuove definitivamente tutti i messaggi contrassegnati in quella cartella.

Fino al secondo passaggio, basta togliere il flag per far tornare il messaggio. Le app desktop più vecchie lo rendevano visibile: la guida di Microsoft per Outlook 2010 mostra barrati i messaggi IMAP contrassegnati per l’eliminazione finché non vengono ripuliti, dopodiché “vengono eliminati dal server di posta IMAP e non possono essere ripristinati”.

Eliminare di solito vuol dire “spostare nel cestino”

Oggi la maggior parte delle app, invece, sposta il messaggio eliminato in una cartella Cestino sul server. In termini IMAP di solito si tratta di un MOVE: una copia, un flag \Deleted e un expunge, eseguiti in un solo passaggio. Il messaggio compare nel cestino su tutti i dispositivi e sparisce per sempre solo quando il cestino viene svuotato: da te, dall’app o dal provider. A settembre 2026, Gmail elimina definitivamente i messaggi nel cestino dopo 30 giorni, e la guida di Mail per iPhone di Apple precisa che iCloud non conserva i messaggi eliminati per più di 30 giorni, qualunque sia l’impostazione del tuo iPhone.

Gmail: etichette, non cartelle

Gmail mostra le sue etichette alle app IMAP come cartelle, con cartelle di sistema come All Mail (Tutti i messaggi), Spam e Trash (Cestino) sotto [Gmail]. Se elimini un messaggio da una cartella che corrisponde a un’etichetta, di norma togli solo quell’etichetta. La guida alle impostazioni IMAP di Google dice che i messaggi eliminati da una cartella IMAP si trovano nell’etichetta All Mail (Tutti i messaggi) di Gmail. Sconsiglia anche di far finire i messaggi eliminati dall’app nel Trash (Cestino) di Gmail, perché “verranno eliminati definitivamente da Gmail dopo 30 giorni”. Le impostazioni di eliminazione lato server di Gmail sono nella tabella qui sotto.

Outlook elimina le email IMAP dal server?

Sì. Quando Outlook è collegato tramite IMAP, lavora sulla copia del server come qualsiasi altra app, quindi un’eliminazione fatta lì arriva a tutti i dispositivi; alcune versioni più vecchie mostrano prima il messaggio barrato, come descritto sopra. Se la tua casella è su Outlook.com o Hotmail, il suo server IMAP è outlook.office365.com sulla porta 993, e Microsoft richiede l’accesso moderno (OAuth2). Dal 16 settembre 2024, le app che inviano solo nome utente e password non funzionano più con gli account Outlook.com e Hotmail.

Dove finisce la posta eliminata nelle app più comuni

Alcune scelte saltano il cestino: None (Nessuna) su Mac, Remove it immediately (Eliminalo subito) in Thunderbird e l’impostazione di Gmail che elimina per sempre. Al di fuori di Gmail, lo stesso vale per Just mark it as deleted (Segnalo solo come eliminato) di Thunderbird: il messaggio resta contrassegnato finché la cartella non viene ripulita con l’expunge, poi sparisce. In Thunderbird l’impostazione predefinita è il cestino; per gli account Gmail, Google consiglia Just mark it as deleted con entrambe le caselle “on Exit” (all’uscita) deselezionate. L’ultima parola spetta al provider: la guida di Apple per Mac dice che, se il server è impostato per eliminare i messaggi più vecchi, questi vengono eliminati “indipendentemente da come modifichi questa opzione”.

Se leggi un’email in un’altra app, risulta letta ovunque?

Con IMAP, sì. Lo stato di lettura è il flag \Seen, salvato sul server, quindi si sincronizza come un’eliminazione. Un’app che scarica un messaggio con BODY[] lo segna come letto. Una che usa BODY.PEEK[] lo lascia com’era, e può impostare \Seen da sé quando apri il messaggio.

JMAP, il protocollo più recente di cui parliamo più avanti, sincronizza lo stato di lettura allo stesso modo. POP3 non ha alcuno stato di lettura, quindi ogni dispositivo tiene il proprio. L’eccezione è Gmail, le cui impostazioni POP possono segnare come letta la copia di Gmail quando un’altra app la scarica.

IMAP o POP3: quale lascia la posta sul server?

IMAP la lascia sul server per come è progettato. POP3 (Post Office Protocol versione 3, di solito chiamato semplicemente POP; RFC 1939) è nato per il compito opposto: “normalmente la posta viene scaricata e poi eliminata”.

Anche POP elimina in due passaggi. Il comando DELE si limita a contrassegnare un messaggio, e il server lo rimuove quando l’app chiude la sessione con QUIT. “Leave messages on server” (lascia i messaggi sul server) è un’impostazione dell’app. Lo standard la definisce una “versione debole” di ciò che fa IMAP, e un server potrebbe non rispettarla. Cosa succede alla copia sul server dipende dall’app e dal provider:

• Thunderbird: i nuovi account POP configurati con la procedura guidata di Thunderbird lasciano la posta sul server per al massimo 14 giorni per impostazione predefinita, ed eliminare un messaggio in locale elimina anche la copia sul server.
• Gmail: le impostazioni POP offrono Keep Gmail’s copy in the Inbox (Mantieni la copia di Gmail in Posta in arrivo), Mark Gmail’s copy as read (Segna la copia di Gmail come letta), Archive Gmail’s copy (Archivia la copia di Gmail) o Delete Gmail’s copy (Elimina la copia di Gmail).
• Yahoo: il suo accesso POP “scarica copie delle tue email, così puoi spostarle ed eliminarle nell’app senza toccare le email originali”.

Usa IMAP, a meno che tu non abbia un motivo preciso per non farlo. POP ha senso quando vuoi che un solo computer tenga l’unica copia, per esempio per scaricare la posta di un vecchio account prima di chiuderlo, e quel computer ha un backup.

Non sai quale usa la tua app? Controlla le impostazioni del server dell’account: la porta 993 o 143 indica IMAP, la 995 o 110 indica POP. Exchange e Microsoft Graph sono protocolli di Microsoft, distinti da entrambi.

Quali provider offrono IMAP o POP3

Nomi dei server e porte, a settembre 2026:

Cosa vuol dire accesso IMAP in sola lettura

Accesso IMAP in sola lettura significa che l’app apre una cartella con EXAMINE invece di SELECT, e scarica i messaggi con BODY.PEEK[] invece di BODY[]. Nella casella non cambia nulla: nessun messaggio viene segnato come letto, contrassegnato, spostato o eliminato. Un client di posta in sola lettura è qualsiasi app che si limita a questi comandi.

La differenza si vede nella risposta del server. Questi due scambi sono gli esempi di RFC 9051 (C: è l’app, S: il server, e blurdybloop è il nome di cartella d’esempio dello standard):

C: A142 SELECT INBOX
S: * 172 EXISTS
S: * OK [UIDVALIDITY 3857529045] UIDs valid
S: * OK [UIDNEXT 4392] Predicted next UID
S: * FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
S: * OK [PERMANENTFLAGS (\Deleted \Seen \*)] Limited
S: * LIST () "/" INBOX
S: A142 OK [READ-WRITE] SELECT completed

C: A932 EXAMINE blurdybloop
S: * 17 EXISTS
S: * OK [UIDVALIDITY 3857529045] UIDs valid
S: * OK [UIDNEXT 4392] Predicted next UID
S: * LIST () "/" blurdybloop
S: * FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
S: * OK [PERMANENTFLAGS ()] No permanent flags permitted
S: A932 OK [READ-ONLY] EXAMINE completed

L’ultima riga di ogni risposta dice come è aperta la cartella: [READ-WRITE] o [READ-ONLY]. PERMANENTFLAGS elenca i flag che l’app può modificare in modo permanente: in questi esempi, \Deleted, \Seen e nuove parole chiave (\*) dopo SELECT, e nessuno dopo EXAMINE. In una cartella aperta con EXAMINE, lo standard non consente “alcuna modifica allo stato permanente della casella, compreso lo stato per utente”, e chiuderla non esegue alcun expunge.

È il server a imporre la sola lettura?

Tramite IMAP, e per la tua casella, solo quando è l’app a chiederlo. Dopo EXAMINE, il server mantiene quella cartella in sola lettura per tutta la sessione. Tutto il resto è nelle mani dell’app:

• Con lo stesso accesso si può inviare SELECT al suo posto, in qualsiasi momento.
• EXAMINE riguarda una sola cartella. I comandi a livello di account come DELETE (un’intera cartella), RENAME e APPEND funzionano comunque.
• BODY.PEEK[] è solo una scelta dell’app.

Un server può imporre la sola lettura anche tramite i diritti di accesso (RFC 4314), ma questo si usa per le caselle condivise e delegate. Gmail, Outlook.com, iCloud e Fastmail non documentano alcun accesso IMAP in sola lettura alla tua casella; la cosa più vicina è il token JMAP in sola lettura di Fastmail, descritto più sotto.

Cosa consente la tua password o il tuo accesso

Fastmail ti permette di limitare una password per le app in base al tipo di dati, ma non documenta alcuna opzione in sola lettura. Il permesso in sola lettura di Google esiste solo per la sua Gmail API, non per IMAP. Quindi, quando un’app dice di essere in sola lettura, ti stai fidando dell’app, non della password.

Come provare una nuova app di posta in sicurezza

1. Scegli IMAP (o JMAP), non POP. Un’app POP può togliere la posta dal server mentre la scarica. Un’app IMAP lascia la posta dov’è, anche se le eliminazioni si sincronizzano comunque (passaggio 4).
2. Usa un token in sola lettura, se il tuo provider e l’app lo supportano. Funziona solo con le app che si collegano tramite JMAP. Su Fastmail, vai in Settings > Privacy & Security > Connected apps & API tokens > Manage API tokens > New API token (Impostazioni > Privacy e sicurezza > App collegate e token API > Gestisci token API > Nuovo token API), scegli JMAP e seleziona Read-only access (accesso in sola lettura) ed Email, e nient’altro (guida di Fastmail ai token API). La nostra guida a Fastmail spiega come creare il token. A settembre 2026, i token API non sono disponibili con il piano Basic di Fastmail.
3. Altrimenti, dagli una password per le app tutta sua. Così più avanti puoi revocare quella sola password senza toccare le altre app. Per iCloud, creane una su account.apple.com > “Accesso e sicurezza” > “Password specifiche per le app”; la nostra guida alle password specifiche per le app di iCloud ti accompagna passo passo. Per Gmail ti serve la Verifica in due passaggi, e Google preferisce Sign in with Google (Accedi con Google) quando l’app lo offre; vedi password per le app di Gmail e impostazioni IMAP.
4. Subito dopo aver aggiunto l’account, prima di eliminare qualsiasi cosa, controlla la sua impostazione di eliminazione. Usa la tabella qui sopra: scegli il cestino o l’archivio (per Gmail, segui il consiglio di Google riportato sopra anziché il cestino), ed evita None (Nessuna), Remove it immediately (Eliminalo subito) e, al di fuori di Gmail, Just mark it as deleted (Segnalo solo come eliminato) finché non ti fidi dell’app.
5. Fai una prova con un messaggio che non ti serve. Inviatene uno, aprilo nella nuova app e guarda se risulta letto nella tua app abituale. Poi eliminalo nella nuova app e guarda dove finisce.
6. Revoca la password quando smetti di usare l’app. La pagina di Apple sulle password specifiche per le app spiega Remove (Rimuovi) e Revoke All (Revoca tutte). Quelle di Google si gestiscono su myaccount.google.com/apppasswords, come spiega la sua pagina di assistenza sulle password per le app.

JMAP e IMAP a confronto, in breve

JMAP (JSON Meta Application Protocol) è un protocollo email più recente che fa lo stesso lavoro, pubblicato nel 2019 come RFC 8620 e RFC 8621, con un ingegnere di Fastmail come autore principale. Invia JSON su HTTPS invece dei comandi testuali di IMAP, e ogni richiesta deve usare TLS 1.2 o successivo. L’introduzione dell’IETF definisce IMAP “avido di risorse” e poco adatto alle reti mobili.

Per l’eliminazione e lo stato di lettura, il modello è familiare:

• Un’email può stare in più caselle contemporaneamente, un po’ come le etichette di Gmail.
• Eliminare di solito vuol dire spostarla nella casella con il ruolo di cestino. “Distruggerla” la rimuove da tutte le caselle.
• Lo stato di lettura è la parola chiave $seen, la versione JMAP di \Seen.
• Il server dice a ogni app se l’intero account è in sola lettura.

Ti riguarda? Solo se il tuo provider offre JMAP e la tua app lo supporta. Fastmail lo offre sui piani superiori a Basic. Tra le app, Thunderbird desktop non lo supporta ancora, anche se il suo annuncio del 2 settembre 2026 dice che il team è ottimista sulla possibilità di aggiungerlo più avanti. In ogni caso, le eliminazioni si sincronizzano proprio come con IMAP.

La porta IMAP 993 è sicura? Cos’è STARTTLS?

Sì, durante il transito. Sulla porta 993, IMAP è cifrato dal primo byte: la connessione si apre con un handshake TLS, lo stesso tipo di protezione che HTTPS offre a un sito web. Si chiama TLS implicito. La 143 è la porta in chiaro di IMAP, dove un’app può passare a una connessione cifrata con il comando STARTTLS.

Oggi gli standard preferiscono la porta 993. RFC 8314 (2018) raccomanda il TLS implicito al posto di STARTTLS per le app di posta, con TLS 1.2 o successivo, e RFC 9051 richiede che ogni server conforme allo standard attuale offra il TLS implicito. Uno studio presentato a USENIX Security nel 2021 ha trovato oltre 40 falle di STARTTLS in client e server di posta, e circa 320.000 server (2%) esposti a command injection (iniezione di comandi). Molte sono state corrette dopo la segnalazione, ma gli autori hanno concluso che STARTTLS “andrebbe evitato”. Fastmail non lo offre per IMAP o POP, e Gmail e iCloud richiedono una connessione cifrata (SSL/TLS) sulla porta 993.

TLS protegge la connessione, non il messaggio archiviato, e non è una crittografia end-to-end; lo dice la stessa RFC 8314. Quindi la porta 993 protegge la tua password e la tua posta durante il tragitto, e niente di più. I punti deboli sono la tua password (usa l’autenticazione a due fattori e le password per le app) e ciò che ogni app fa con l’accesso che le concedi.

Un client in sola lettura per i tuoi alias: CatchNone

CatchNone è un client in sola lettura esattamente nel senso descritto sopra, pensato per gli alias email su un dominio di tua proprietà. Tramite IMAP (TLS implicito, porta 993 per impostazione predefinita) apre solo la tua posta in arrivo con EXAMINE e scarica con BODY.PEEK[]; tramite JMAP usa un token di accesso. Non segna, non sposta e non elimina mai nulla sul tuo server, quindi nessuna delle eliminazioni descritte in questo articolo può partire da lì. Legge la tua casella direttamente dal tuo dispositivo, e quella posta non passa mai dai server di CatchNone.

Ogni negozio, newsletter o account riceve il suo alias, e ogni messaggio porta il badge dell’alias a cui è arrivato, così un indirizzo trapelato o venduto salta fuori. CatchNone è di sola ricezione per scelta: la posta delle iscrizioni resta nella sua app, separata dalla tua posta in arrivo principale. Il piano Gratuito copre fino a 10 alias sul tuo dominio, mentre Lite e Premium non hanno limiti. Se preferisci fare a meno di dominio e casella, Premium aggiunge gli indirizzi @catchnone.com, senza niente da configurare.

La password o la password per le app che inserisci ha comunque accesso completo: la sola lettura riguarda il comportamento dell’app, non ciò che la credenziale consente. Non ci sono POP3, Exchange, STARTTLS né accesso OAuth, quindi probabilmente non si possono collegare Outlook.com e Hotmail, e per Gmail serve una password per le app. La posta del tuo dominio deve prima arrivare nella posta in arrivo di quella casella, di solito tramite un indirizzo catch-all presso un provider di posta che supporta il catch-all; la posta classificata come spam o spostata da una regola non compare. Scarica CatchNone per iPhone, iPad e Mac.

Domande frequenti

Cosa vuol dire “eliminare dal server”?

Il server del tuo provider conserva la copia principale della tua posta; le tue app ne hanno delle copie. Con IMAP, ogni eliminazione è un’eliminazione sul server, di solito passando dal cestino. Con POP è un’impostazione: dopo il download, l’app lascia la copia sul server oppure la rimuove.

Ho eliminato un’email per sbaglio. Posso recuperarla?

Di solito sì, se fai in fretta. Cerca nella cartella Cestino (o Eliminati) sul server, dalla webmail o da qualsiasi app; per Gmail, controlla anche All Mail (Tutti i messaggi). A settembre 2026, Gmail e iCloud tengono i messaggi nel cestino per 30 giorni al massimo. Una volta svuotato il cestino o eseguito l’expunge del messaggio, questo sparisce da tutte le app.

Posso eliminare un’email dal telefono ma tenerla sul server?

Non con un’eliminazione IMAP, che la rimuove ovunque. Archiviala, invece: su iPhone, seleziona Archive Mailbox (casella Archivio) in Move Discarded Messages Into (Sposta i messaggi scartati in), e i messaggi che scarti finiscono nella casella archivio invece che nel cestino. Con POP e “leave messages on server” (lascia i messaggi sul server), un’eliminazione locale non tocca la copia sul server, a meno che l’app non sia impostata anche per eliminarla lì, come succede con i nuovi account POP nell’attuale Thunderbird (Until I delete them, cioè finché non li elimini). Il server può comunque rimuovere la posta vecchia secondo le proprie regole.

Posso eliminare un’email dal server ma tenerne una copia sul computer?

Sì: prima spostala in una casella salvata sul computer. In Mail su Mac, scegli Mailbox (Casella) > New Mailbox (Nuova casella) e imposta Location (Posizione) su On My Mac (Sul Mac); Apple dice che quelle caselle sono locali, cioè solo su quel Mac. Le Local Folders (Cartelle locali) di Thunderbird funzionano allo stesso modo. Dopo che hai eliminato la copia sul server, quel computer ha l’unica copia rimasta, quindi fanne un backup.

Rimuovere un account da un’app elimina le mie email?

Non con IMAP. La guida di Mail per Mac di Apple dice che i messaggi dell’account vengono rimossi dal Mac, mentre “le copie dei messaggi restano sul server di posta dell’account”. Con POP, fai prima un backup: rimuovere l’account elimina dal Mac i messaggi scaricati, e si salva solo ciò che il server conserva ancora.