Scansione verso email non funziona: configurare una stampante con Microsoft 365 o Gmail

Cosa significa

Le stampanti multifunzione e gli scanner inviano le scansioni via email tramite SMTP, come un vecchio programma di posta. Quando smette di funzionare, il dispositivo mostra di solito un messaggio vago ("SMTP error", "authentication failed", "cannot connect to server"). La maggior parte dei problemi deriva da modifiche dal lato del provider email: regole di accesso più rigide, vecchi protocolli dismessi o posta non autenticata bloccata.

Perché succede

• Il login con password non è più accettato. Gmail richiede una password per app per SMTP e Microsoft 365 ha spesso SMTP AUTH disattivato. Vedi Gmail 535 5.7.8 e Microsoft 365 535 5.7.139.
• Firmware vecchio. I dispositivi che supportano solo TLS 1.0/1.1 o vecchi cifrari non riescono a connettersi ai server attuali.
• Porta o cifratura sbagliate. Per esempio la porta 25 senza login verso smtp.office365.com, oppure SSL sulla 587.
• Orologio sbagliato. Un dispositivo con la data errata non supera i controlli del certificato TLS.
• Direct send bloccato. In Microsoft 365, gli amministratori possono ora rifiutare i messaggi "direct send" non autenticati.
• Posta consegnata ma nello spam, perché il dispositivo invia con il tuo dominio da un IP non presente nell'SPF.

Come verificare

1. Annota le impostazioni del dispositivo: server SMTP, porta, cifratura (None, SSL/TLS, STARTTLS), nome utente e indirizzo "From".
2. Controlla il log o il codice di errore del dispositivo e aggiorna il suo firmware.
3. Testa la connessione da un computer sulla stessa rete:

   nc -vz smtp.office365.com 587
   nc -vz smtp.gmail.com 587

4. Invia una scansione all'indirizzo unico indicato nella home page di Delivmail (funziona con qualsiasi metodo in grado di raggiungere indirizzi esterni). Il report mostra se SPF, DKIM e DMARC passano per l'indirizzo From del dispositivo.
5. Su Microsoft 365, usa la traccia messaggi nell'interfaccia di amministrazione di Exchange per vedere se il messaggio è arrivato e perché è stato rifiutato.

Come risolvere

Microsoft 365: scegli uno dei tre metodi

Microsoft documenta tre modi in cui i dispositivi possono inviare.

1. SMTP AUTH client submission (invia a chiunque):

Server:     smtp.office365.com
Port:       587
Encryption: STARTTLS
Username:   scanner@yourdomain.com (a licensed mailbox)
Password:   the mailbox password

SMTP AUTH deve essere attivato per quella casella. Microsoft sta dismettendo l'autenticazione Basic (nome utente e password) per SMTP AUTH: al momento in cui scriviamo, è prevista la sua disattivazione predefinita per i tenant esistenti alla fine di dicembre 2026, con una data di rimozione definitiva ancora da annunciare. Controlla il calendario aggiornato di Microsoft e, per le nuove configurazioni, preferisci un metodo che non dipenda da essa.

2. Direct send (solo destinatari interni, senza login): il dispositivo invia all'host MX del tuo Microsoft 365 sulla porta 25:

Server:  yourdomain-com.mail.protection.outlook.com
Port:    25
Login:   none
From:    scanner@yourdomain.com

Usa esattamente l'host MX mostrato da dig MX yourdomain.com +short. L'IP pubblico del tuo ufficio deve essere statico e aggiunto all'SPF, altrimenti le scansioni possono finire nella posta indesiderata. Se un amministratore ha attivato Set-OrganizationConfig -RejectDirectSend $true, il direct send viene rifiutato e ti serve il metodo 3. Il direct send non può raggiungere indirizzi esterni, quindi un test Delivmail non funzionerà con questo metodo.

3. SMTP relay con un connettore (invia a chiunque, senza login alla casella): nell'interfaccia di amministrazione di Exchange, crea un connettore in entrata da "your organization's email server" che identifichi il tuo IP pubblico statico (o un certificato). Il dispositivo invia allo stesso host MX sulla porta 25. Aggiungi l'IP all'SPF:

yourdomain.com.  TXT  "v=spf1 include:spf.protection.outlook.com ip4:203.0.113.20 -all"

Vedi SPF, DKIM e DMARC per Microsoft 365.

Gmail e Google Workspace

• Gmail personale o casella Workspace: smtp.gmail.com, porta 587 con STARTTLS (o 465 con SSL), indirizzo completo come nome utente e una password per app (richiede la verifica in due passaggi).
• SMTP relay di Google Workspace: nella Console di amministrazione, configura il servizio SMTP relay per l'IP del tuo ufficio, poi invia a smtp-relay.gmail.com sulla porta 587 (o 25/465). Se ottieni "550 5.7.0 Mail relay denied", vedi SMTP relay di Google Workspace rifiutato.

Se il dispositivo è troppo vecchio

Aggiorna il firmware. Se ancora non supporta un TLS moderno, invia tramite un piccolo relay locale (un server o un NAS che accetta la posta dal dispositivo e la inoltra con un login corretto), oppure usa la funzione di scansione verso il cloud del produttore.

Verifica che sia risolto

Invia una scansione di prova all'indirizzo Delivmail (metodi 1 e 3, o Gmail) e verifica che SPF, DKIM e DMARC passino. Poi esegui una scansione verso un destinatario reale interno ed esterno. Se hai modificato l'SPF, attendi la propagazione DNS prima di testare di nuovo.