SMTP WordPress: come configurare email affidabili per moduli, reset password e WooCommerce

Un modulo di contatto può mostrare un messaggio di conferma, WooCommerce può registrare un ordine e WordPress può accettare una richiesta di reset password senza che l’email arrivi al destinatario. Il problema non è sempre nel sito: può dipendere dal sistema di invio dell’hosting, dalle credenziali SMTP, dal mittente usato o dalla consegna successiva al provider destinatario.

Configurare SMTP WordPress, oppure un’integrazione API con un provider di email transazionali, rende il flusso di invio più controllabile. Non garantisce però la consegna nella Posta in arrivo: l’autenticazione del dominio con SPF, DKIM e DMARC e i filtri del destinatario restano elementi determinanti.

Prima verifica il dominio presso il provider, configura un solo mailer globale, imposta un mittente coerente e infine testa gli eventi reali del sito.

Come funziona l’invio email in WordPress

Da wp_mail() al provider

WordPress invia molte notifiche tramite wp_mail(), una funzione che utilizza PHPMailer. Nel funzionamento predefinito, la consegna viene affidata al sistema email configurato sul server di hosting. Questa soluzione può funzionare, ma spesso offre pochi strumenti di controllo e può risentire della configurazione o della reputazione dell’infrastruttura condivisa.

Un plugin SMTP o un’integrazione API modifica normalmente questo flusso globale. Una configurazione corretta può quindi interessare notifiche dei moduli, registrazioni utente, reset password, avvisi amministrativi ed email WooCommerce. La documentazione di wp_mail() chiarisce che un esito positivo della funzione non equivale necessariamente alla ricezione da parte del destinatario.

SMTP, relay SMTP e API email

SMTP è il protocollo con cui WordPress può autenticarsi presso un server di posta e consegnargli un messaggio. Un provider di email transazionali agisce come relay: riceve le email dal sito, le inoltra ai destinatari e può mettere a disposizione informazioni su accettazione, bounce, differimenti e indirizzi soppressi.

Molti provider offrono anche un’API email. Invece di aprire una connessione SMTP, il plugin comunica con il servizio via HTTPS usando una chiave API o OAuth. Scegli l’API quando il plugin offre un’integrazione nativa mantenuta o quando l’hosting blocca le connessioni SMTP in uscita. SMTP generico è invece adatto quando il provider fornisce credenziali SMTP e il sito non richiede un’integrazione proprietaria.

Per email transazionali importanti, come ordini e recuperi password, evitare il solo invio PHP predefinito è spesso utile quando l’hosting non offre autenticazione del dominio, log consultabili o assistenza sul recapito.

Un test riuscito non prova la consegna

La catena ha più passaggi: WordPress genera l’email, il mailer tenta l’invio, il provider la accetta e il server del destinatario la valuta. Il messaggio può poi essere consegnato, spostato nello spam, differito o rifiutato.

Un messaggio indicato come “inviato” dal plugin può quindi significare soltanto che il relay lo ha accettato. Per capire cosa è avvenuto dopo servono i log del provider, gli header dell’email eventualmente ricevuta e test su caselle di posta diverse.

Prima della configurazione: dominio, provider e mailer

Scegli il provider in base al tipo di invio

Per moduli, ordini e notifiche di sistema, valuta un provider orientato alle email transazionali con documentazione aggiornata, verifica del dominio e log di consegna. Se prevedi volumi regolari di email WooCommerce, verifica anche gestione di bounce e soppressioni; sono informazioni utili per capire perché un destinatario non riceve più i messaggi.

Brevo, Postmark, Amazon SES, Twilio SendGrid, Resend e MailerSend offrono modalità di invio per applicazioni. Host, porte, chiavi e requisiti non sono intercambiabili: vanno sempre copiati dalla documentazione aggiornata del servizio scelto. Per esempio, Brevo pubblica le proprie istruzioni per l’integrazione SMTP, mentre Postmark documenta separatamente l’invio via SMTP e l’API.

Verifica il dominio e scegli il mittente

Nel pannello del provider, aggiungi il dominio dal quale invierai le email e pubblica i record DNS richiesti. Il servizio può richiedere record di verifica e record per l’autenticazione del dominio. Completa questa fase prima di collegare WordPress.

Usa un indirizzo mittente appartenente al dominio verificato, per esempio noreply@azienda.it, ordini@azienda.it o supporto@azienda.it. Evita di impostare come mittente tecnico un indirizzo Gmail, Yahoo o quello personale del visitatore: il disallineamento tra dominio del sito, provider e campo From può causare rifiuti o aumentare il rischio di spam.

Configura un solo mailer globale

Installa e attiva un solo plugin incaricato di gestire l’invio globale. Due plugin SMTP attivi, oppure più componenti che modificano PHPMailer, possono sovrascrivere host, credenziali o mittente e produrre risultati incoerenti.

Prima dei test disattiva configurazioni SMTP duplicate. Se un plugin per moduli o un’estensione WooCommerce ha una propria configurazione di invio, verifica se usa il mailer globale o se richiede un’eccezione esplicitamente documentata.

Configurare SMTP WordPress passo per passo

1. Installa il plugin e scegli la modalità di invio

Nel plugin scelto, cerca prima un mailer nativo per il provider selezionato. In genere richiede una chiave API, una procedura guidata o OAuth e riduce il numero di parametri SMTP da compilare.

Se non esiste un’integrazione adatta, usa l’opzione spesso chiamata “Other SMTP”, “SMTP generico” o equivalente. Inserisci esclusivamente i dati forniti dal provider: alcuni servizi distinguono le API key dalle chiavi SMTP, mentre altri richiedono credenziali regionali o formati specifici.

2. Inserisci host, porta, cifratura e credenziali

Una configurazione SMTP generica richiede normalmente questi campi:

• SMTP Host: il nome host indicato dal provider;
• Encryption: STARTTLS/TLS oppure SSL/TLS, secondo le istruzioni del servizio;
• SMTP Port: la porta associata alla cifratura scelta;
• SMTP Authentication: da attivare quando il provider richiede l’accesso autenticato;
• Username: l’utente SMTP previsto;
• Password: password SMTP, token o chiave SMTP dedicata.

La porta 587 con STARTTLS/TLS è una combinazione diffusa, ma non universale. Alcuni provider usano la porta 465 per TLS implicito; la porta 25 è spesso filtrata o limitata dall’hosting per ragioni antispam.

Segui la combinazione host, porta e cifratura indicata dal provider. Non disattivare TLS per aggirare un errore di connessione: verifica invece porta, firewall, certificato e restrizioni dell’hosting.

3. Imposta From, From Name e Reply-To

Il campo From identifica il mittente tecnico dell’email e deve usare il dominio verificato. Un’impostazione coerente può essere:

From: Sito Azienda <noreply@azienda.it>
Reply-To: commerciale@azienda.it

Nei moduli di contatto, l’indirizzo digitato dal visitatore non deve finire nel campo From. Inseriscilo invece nel campo Reply-To:

From: Sito Azienda <noreply@azienda.it>
Reply-To: email-del-visitatore@example.com
To: commerciale@azienda.it

In questo modo il destinatario può rispondere direttamente al visitatore senza far apparire il messaggio come inviato dal suo dominio. Nei plugin per moduli, controlla che il Reply-To utilizzi il campo email del form secondo la sintassi prevista dal plugin; WPForms, per esempio, documenta la configurazione delle notifiche email.

Controlla anche le impostazioni di WooCommerce: possono definire mittente, nome e destinatari propri. L’opzione che forza globalmente From Email e From Name può uniformare le notifiche, ma va attivata dopo aver verificato che non alteri email già configurate correttamente.

4. Proteggi chiavi e credenziali

Usa una chiave dedicata al sito, con i privilegi minimi necessari, e attiva l’autenticazione a più fattori sull’account del provider. Se una chiave compare in uno screenshot, in un ticket pubblico o in un repository, revocala e sostituiscila subito.

Alcuni plugin consentono di definire le credenziali tramite costanti in wp-config.php. Può essere utile nei processi di deployment, ma non sostituisce la protezione del server. Non usare password personali come credenziali SMTP quando il provider mette a disposizione chiavi dedicate o OAuth.

Testare moduli, reset password e WooCommerce

Il test email integrato nel plugin è necessario, ma non basta. Dopo averlo eseguito, controlla nel pannello del provider se il messaggio è stato accettato e poi prova gli eventi che contano davvero:

1. invia un messaggio dal test del plugin;
2. verifica nel provider se il relay lo ha accettato e osserva lo stato successivo;
3. controlla spam e header completi della casella destinataria;
4. invia un modulo di contatto reale;
5. richiedi un reset password WordPress;
6. crea un ordine WooCommerce di prova e portalo allo stato che attiva la notifica prevista.

Testa almeno due destinatari con provider differenti, per esempio Gmail e Outlook. Un solo recapito riuscito dimostra che il flusso funziona in quel caso, non che ogni provider tratterà il messaggio allo stesso modo.

Controlla le email WooCommerce

Apri WooCommerce → Impostazioni → Email. Per ogni notifica controlla se è abilitata, quali destinatari usa e quale evento o stato ordine la attiva. Da questa schermata puoi verificare anche le impostazioni generali di nome e indirizzo mittente.

Prima di attribuire un mancato invio a SMTP, verifica che WooCommerce abbia generato la notifica prevista. La documentazione sulle impostazioni email di WooCommerce indica quali notifiche sono disponibili e come vengono configurate.

Non tutte le installazioni dispongono di un log WooCommerce dedicato alle email transazionali. Se un’estensione o un’integrazione produce log, puoi cercarli in WooCommerce → Stato → Log, ma il nome della sorgente varia. Per la consegna, fai riferimento soprattutto al log del plugin mailer e agli eventi registrati dal provider SMTP o API.

Se le email WordPress non arrivano: diagnosi per livelli

1. Verifica che l’evento abbia generato un’email

Controlla innanzitutto l’evento applicativo: notifica WooCommerce abilitata, destinatario corretto, stato dell’ordine previsto e eventuali condizioni introdotte da automazioni o estensioni. Per un modulo, verifica la configurazione della notifica nel plugin usato.

L’assenza di un evento nel pannello del provider non prova da sola che il problema sia applicativo: un errore SMTP può interrompere il flusso prima che il relay riceva il messaggio.

2. Controlla gli errori del mailer e di WordPress

Consulta il log del plugin SMTP, se disponibile, e il debug di WordPress o PHP. WordPress mette inoltre a disposizione l’hook wp_mail_failed, che gli sviluppatori possono usare per registrare gli errori restituiti da wp_mail().

Errore “Could not connect to SMTP host”

Controlla host, porta e cifratura: devono coincidere con la documentazione del provider. Verifica poi firewall, certificati TLS non validi e blocchi sulle connessioni SMTP in uscita applicati dall’hosting. Chiedi al supporto hosting se la porta richiesta è filtrata e, se provider e plugin lo supportano, valuta l’integrazione API senza ridurre il livello di sicurezza.

Errore 535 o autenticazione non riuscita

L’errore 535 indica spesso credenziali non accettate. Le cause comuni sono username errato, API key inserita al posto della chiave SMTP, chiave revocata, formato della password non corretto, IP allowlist non aggiornata oppure OAuth richiesto dal provider. Rigenera una chiave SMTP dedicata e ricontrolla le istruzioni del servizio.

3. Verifica l’accettazione e la consegna

Se il provider ha ricevuto il messaggio, cerca stati come accepted, delivered, bounced, deferred e suppressed, secondo la terminologia del servizio. Un bounce, un differimento o una soppressione richiedono interventi diversi. Se il messaggio risulta consegnato ma finisce nello spam, esamina gli header, il dominio del mittente e l’autenticazione del dominio.

La reputazione del mittente, le policy della casella destinataria e il contenuto del messaggio possono influenzare il risultato. Google pubblica requisiti specifici per i mittenti diretti a Gmail, con condizioni più rigorose per l’invio in massa: consulta le linee guida di Gmail per i mittenti prima di usare l’invio a volumi elevati come riferimento per tutti i siti.

Il mittente visualizzato è diverso da quello impostato

Confronta la configurazione del plugin SMTP con quella di WooCommerce, del plugin form e del provider. Alcuni provider accettano solo indirizzi o domini verificati e possono riscrivere o rifiutare mittenti non autorizzati. Definisci un mittente globale coerente e conserva eccezioni solo quando sono necessarie.

SMTP non basta per la deliverability: controlla il dominio

SMTP autentica WordPress verso il relay. SPF, DKIM e DMARC aiutano invece i destinatari a verificare che il dominio del mittente sia autorizzato e che il messaggio non sia stato alterato. Sono livelli distinti e complementari; WooCommerce riepiloga il ruolo dell’autenticazione email nella consegna dei messaggi.

Se WordPress genera le email e il provider le accetta, ma i messaggi finiscono ancora nello spam o vengono rifiutati, verifica i record DNS richiesti dal provider e i risultati di autenticazione negli header del messaggio ricevuto.

Infine, limita l’accesso ai log email agli utenti che ne hanno effettiva necessità e controlla il periodo di conservazione impostato nel plugin e nel provider. I log possono contenere indirizzi dei clienti, contenuti dei moduli e link per il reset della password; evita di mantenere un logging esteso in produzione senza una necessità operativa concreta.