Email Privacy

Inserisci un URL

Email Privacy – Verifica se il tuo sito espone indirizzi email in chiaro

Lo strumento Email Privacy analizza il codice sorgente di qualsiasi pagina web e rileva la presenza di indirizzi email visibili in chiaro nel markup HTML. Inserisci l'URL del sito che vuoi controllare e lo strumento scansiona il codice alla ricerca di stringhe che corrispondono al formato di un indirizzo email — il pattern con il simbolo @ seguito da un dominio — segnalando ogni occorrenza trovata. È un controllo rapido ma essenziale per chiunque gestisca un sito web: un indirizzo email pubblicato in chiaro nel codice è un invito aperto ai bot di raccolta automatica, e le conseguenze possono andare da un semplice aumento dello spam fino a campagne di phishing mirate contro il tuo dominio.

Perché un indirizzo email in chiaro è un problema

Internet è costantemente percorsa da programmi automatici chiamati harvesting bot (o spambot), progettati per una sola cosa: scansionare milioni di pagine web alla ricerca di testo che assomigli a un indirizzo email. Questi bot leggono il codice HTML esattamente come farebbe un browser, cercano qualsiasi stringa che contenga il simbolo @ seguito da un punto e un'estensione di dominio, e la aggiungono a database che possono raggiungere milioni di indirizzi. Quei database vengono poi utilizzati per inviare spam di massa, vengono venduti nei mercati clandestini, e alimentano campagne di phishing su larga scala.

Il processo è interamente automatizzato e avviene in pochi secondi. Un indirizzo email pubblicato in chiaro su una pagina web — sia come testo visibile sia all'interno di un link mailto: — può essere raccolto da un bot nel giro di ore dalla pubblicazione. Una volta che l'indirizzo entra nei circuiti dello spam, rimuoverlo dalla pagina non risolve il problema: il dato è già stato copiato e distribuito, e lo spam continuerà ad arrivare indefinitamente. Per questo motivo, la prevenzione è infinitamente più efficace della cura, e il primo passo è verificare che il tuo sito non stia esponendo indirizzi in chiaro.

Le conseguenze concrete dell'esposizione

La conseguenza più immediata e visibile è l'invasione di spam. Un indirizzo email raccolto da un harvesting bot inizia a ricevere decine o centinaia di messaggi indesiderati al giorno — offerte commerciali fraudolente, tentativi di vendita di prodotti contraffatti, catene di email automatizzate — che intasano la casella di posta e rendono progressivamente più difficile distinguere le comunicazioni legittime da quelle spazzatura. Per un'attività commerciale che riceve richieste di preventivo, ordini e comunicazioni dai clienti attraverso quell'indirizzo, lo spam può diventare un problema operativo serio.

La seconda conseguenza, più grave, è il rischio di phishing mirato. Se un attaccante conosce l'indirizzo email del proprietario o dell'amministratore di un sito, può confezionare messaggi di phishing personalizzati che imitano comunicazioni del provider di hosting, del registrar del dominio, del servizio di posta o della banca, con l'obiettivo di rubare credenziali di accesso. Un'email che dice "il tuo dominio tuodominio.it sta per scadere, clicca qui per rinnovare" e arriva all'indirizzo giusto ha una probabilità di successo molto più alta di un tentativo generico inviato a un indirizzo casuale.

La terza conseguenza riguarda lo spoofing del dominio. Una volta che un attaccante conosce gli indirizzi email associati al tuo dominio, può utilizzarli come mittente apparente per inviare email fraudolente a terzi — i tuoi clienti, i tuoi fornitori, i tuoi contatti — che sembrano provenire dalla tua organizzazione. Questo tipo di attacco è particolarmente dannoso per la reputazione del brand e può essere contrastato efficacemente solo con una configurazione corretta di SPF, DKIM e DMARC nei record DNS del dominio, come descritto nella pagina Trova Record DNS. Ma anche con autenticazioni email perfettamente configurate, evitare di esporre gli indirizzi in primo luogo resta la prima linea di difesa.

Dove si nascondono le email esposte

L'errore più comune è pensare che il problema riguardi solo l'indirizzo email visibile nella pagina dei contatti. In realtà, gli indirizzi email possono essere esposti in molti punti del codice sorgente che il proprietario del sito non controlla direttamente o di cui non è consapevole.

I link mailto: sono il caso più ovvio: un link del tipo <a href="mailto:info@tuodominio.it"> espone l'indirizzo sia nel testo visibile sia nell'attributo href del codice HTML, rendendolo leggibile a qualsiasi bot che scansioni il sorgente. Ma l'indirizzo può comparire anche nel footer del sito, replicato automaticamente su ogni pagina dal template, moltiplicando l'esposizione per il numero totale di pagine indicizzate. Può trovarsi nei commenti HTML lasciati dagli sviluppatori nel codice e dimenticati in produzione. Può essere incorporato nei dati strutturati JSON-LD — ad esempio nel campo "email" di un markup Organization o LocalBusiness — dove è invisibile all'utente ma perfettamente leggibile da qualsiasi bot che analizzi il codice. Può infine essere presente nei meta tag della sezione head, in campi come "author" o "reply-to" inseriti da plugin del CMS.

Lo strumento Email Privacy scansiona l'intero codice sorgente della pagina e rileva gli indirizzi in tutti questi punti, non solo nel testo visibile. Questo è il suo valore rispetto a un semplice controllo visivo della pagina: ciò che l'utente non vede navigando il sito può comunque essere perfettamente visibile a un bot che legge il codice.

Come proteggere gli indirizzi email sul proprio sito

Se lo strumento rileva uno o più indirizzi email esposti, esistono diverse tecniche per proteggerli senza rinunciare alla possibilità per gli utenti di contattarti.

La soluzione più efficace e moderna è sostituire l'indirizzo email visibile con un modulo di contatto. Un form HTML che invia il messaggio al tuo indirizzo attraverso uno script server-side non espone mai l'email nel codice sorgente: l'utente compila i campi, il messaggio arriva nella tua casella, e il bot non trova nulla da raccogliere. Questa soluzione ha il vantaggio aggiuntivo di permettere la validazione dei campi, l'integrazione di un sistema anti-spam come un CAPTCHA, e la raccolta strutturata dei dati di contatto.

Se per qualsiasi ragione devi mostrare un indirizzo email sulla pagina, puoi ricorrere alla codifica in entità HTML. Ogni carattere dell'indirizzo viene convertito nel suo equivalente numerico: la lettera "m" diventa &#109;, la "@" diventa &#64;, e così via. Il browser renderizza l'indirizzo normalmente per l'utente, ma nel codice sorgente al posto dell'email compare una sequenza di codici numerici che molti bot non riescono a interpretare. Non è una protezione assoluta — i bot più sofisticati nel 2026 sono in grado di decodificare le entità HTML — ma blocca la maggior parte dei crawler più semplici.

Un'altra tecnica diffusa è l'offuscamento tramite JavaScript. L'indirizzo email viene codificato in una variabile JavaScript (spesso in base64) e ricostruito dinamicamente nel browser al momento del caricamento della pagina o al clic dell'utente. Nel codice sorgente statico, l'email non compare mai in forma leggibile. Questa tecnica è efficace contro i bot che si limitano a leggere il codice HTML senza eseguire JavaScript, ma nel 2026 i bot più avanzati sono in grado di eseguire JavaScript durante il crawling, il che rende questo metodo meno sicuro di quanto fosse in passato. Google non penalizza l'uso di JavaScript per l'offuscamento email: Googlebot esegue JavaScript e può comunque indicizzare il contenuto della pagina normalmente.

La tecnica più robusta è il proxy email server-side: il link di contatto punta a un URL interno del sito (ad esempio /contatti/invia) che gestisce l'invio lato server senza che l'indirizzo email appaia in nessun punto del codice, né in chiaro né offuscato. Questa soluzione elimina completamente il rischio di harvesting perché l'email non è mai presente nel documento servito al browser.