FAQ Email API
Come faccio a testare senza inviare email reali?
Invia a un indirizzo sandbox come delivered@messagebird.dev. Il risultato dipende dall'indirizzo che usi, non dallo stato del tuo account, quindi puoi testare invii, webhook e soppressione prima di verificare un dominio. Indirizzi come bounce@ e complaint@ simulano quei risultati attraverso la nostra pipeline reale. Installa un SDK e puoi inviare a uno di questi in circa cinque minuti.
Devo verificare un dominio prima di poter inviare?
Non subito. Gli indirizzi sandbox funzionano non appena hai una chiave API. Per raggiungere un destinatario reale serve un dominio verificato: aggiungi i record DNS che ti forniamo e potrai registrare un dominio di invio con il piano Free, dieci con Startup e mille con Growth.
Cosa include la nostra Email API?
Invio transazionale e marketing, template, domini di invio con DKIM/SPF/DMARC, IP dedicati e pool, soppressione, inbound, webhook e analytics sulla deliverability, tutto su un'unica API. Gli SDK coprono TypeScript, Python, Go, PHP, Kotlin e Swift, ciascuno documentato con le stesse strutture della REST API; è disponibile anche una CLI, installabile con brew install messagebird/tap/bird, più un server MCP hosted se stai collegando un agente anziché un'app.
Quanto costa?
Il piano Free ti offre 1.000 email al mese senza costi e senza carta di credito. I piani a pagamento partono da $15 per 50K e il costo per messaggio scende con l'aumentare dei volumi. Se superi quanto copre il tuo piano, l'eccedenza viene fatturata ogni 1.000 email a una tariffa che diminuisce con il salire del tier: $0,90 per 1.000 su Startup e alla base di Growth, fino a $0,50 per 1.000 a 2,5M al mese. Un contratto Enterprise può eliminare del tutto quel limite.
Cosa succede agli handle personalizzati se effettuo un downgrade o uso il mio dominio?
Il downgrade non compromette nulla: gli handle già rivendicati continuano a funzionare, semplicemente non è possibile rivendicarne di nuovi finché non si rientra nella quota consentita. Una casella di posta sul proprio dominio viene conteggiata nella quota complessiva delle caselle come qualsiasi altra, e la sua parte locale non incide mai sulla quota degli handle personalizzati.
Quanto costano gli IP dedicati?
24,95 $ al mese per IP dedicato con il piano Growth, fino a cinque. Nessun costo di attivazione né impegno annuale.
Quali sono i limiti di frequenza e quanto posso inviare in una singola richiesta?
Invii singoli e batch hanno limiti separati, e i limiti contano le richieste anziché i destinatari — ed è questo che rende il batching la leva per i volumi. Una chiave del piano gratuito consente 10 invii singoli e 5 chiamate batch al minuto; i piani a pagamento alzano entrambi. Non inserire questi numeri nel codice: ogni risposta include un header IETF RateLimit che indica quanto resta e quando si resetta la finestra, quindi regolati su quello anziché aspettare un 429. Una singola chiamata batch può contenere fino a 100 messaggi, e ogni messaggio accetta fino a 50 indirizzi in ciascuno dei campi to, cc e bcc.
Quanto può essere grande una singola email e per quanto tempo la conservate?
20 MB su ogni piano, misurati sul messaggio generato: l'HTML, la parte testuale e ogni allegato dopo la codifica base64. Mantieni gli allegati grezzi a 15 MB o meno per lasciare margine. Anche i destinatari impongono i propri limiti, quindi un messaggio vicino al tetto massimo può essere accettato da noi e comunque rimbalzare dall'altra parte. Conserviamo i dati dei messaggi per 30 giorni: scarica tutto ciò che ti serve più a lungo nel tuo archivio tramite l'API analytics o i webhook.
Cosa ferma un agente fuori controllo?
Chiavi con scope limitato, scritture verificate e soppressioni consapevoli della categoria: un invio marketing non può raggiungere un destinatario soppresso. Anche i flood in entrata sono contenuti, poiché la mail bloccata non attiva alcun webhook.
Posso inviare sia email transazionali che di marketing?
Sì, entrambe passano attraverso la stessa API di invio. L'unica differenza è il campo category, che determina come si applicano le soppressioni e le disiscrizioni. Scelga transactional per reset password e ricevute, e marketing per le campagne.
Cosa succede se una richiesta va in timeout e la reinvio?
Invii un header Idempotency-Key con ogni invio logico. Se la prima richiesta è andata a buon fine ma non ha ricevuto la risposta, reinviandola con la stessa chiave otterrà il risultato originale con un header Idempotency-Replay, anziché inviare l'email due volte.
Posso programmare un invio per un momento successivo?
Imposti scheduled_at su un orario compreso tra 30 secondi e 30 giorni nel futuro. L'invio viene restituito come accettato immediatamente e resta programmato fino alla partenza, quindi può annullarlo in qualsiasi momento prima dell'invio.
Posso allegare file?
Sì, come base64 nell'array attachments. Per mostrare un'immagine inline, le assegni un content_id e la referenzi dall'HTML con cid:. Mantenga i file grezzi a 15 MB o meno affinché il messaggio rientri nel limite di 20 MB una volta codificato, e tenga presente che i content type eseguibili e di script vengono rifiutati prima dell'invio.
Devo per forza usare un editor visuale?
No. Si può lavorare interamente tramite l'API: invii il Suo HTML con i placeholder scritti inline e lo pubblichi, poi referenzi il template per id o slug al momento dell'invio. Rileviamo automaticamente i placeholder, quindi non c'è un elenco separato da dichiarare. Funziona anche React Email: esegua il render dei componenti in HTML e salvi il risultato come body, lasciando ogni placeholder come testo letterale nel JSX affinché sopravviva al render e venga compilato al momento dell'invio. Al momento non sono disponibili generazione tramite AI né builder drag-and-drop.
In cosa si distingue un template salvato dall'invio di HTML a ogni chiamata?
Lo si referenzia per id o slug, quindi si inviano solo i valori per destinatario anziché l'intero body ogni volta, e il layout risiede in un unico punto anziché essere ricostruito nel codice a ogni chiamata. I template sono versionati e la personalizzazione viene elaborata lato nostro: condizionali, iterazioni su array e valori predefiniti per campo vengono risolti per destinatario, così un blocco di membership può essere mostrato solo ai membri. L'invio utilizza la normale chiamata di invio, con template impostato sull'id o slug e i valori in template.parameters.
Posso ripristinare un template che ho danneggiato?
Sì. La pubblicazione congela una versione immutabile e numerata, e le modifiche avvengono sempre sulla bozza, quindi nulla cambia in produzione finché non pubblichi. Ripristina qualsiasi versione pubblicata in precedenza per renderla quella utilizzata per gli invii, senza creare una nuova versione. Il ripristino reimposta anche la bozza al contenuto di quella versione, così le modifiche successive partono da lì.
I contatti sono per audience o globali?
Globali. Un contatto è unico per email e le audience vi fanno semplicemente riferimento, quindi spostare un contatto tra audience porta con sé automaticamente i suoi attributi, perché risiedono sul contatto, non sulla lista. I campi personalizzati risiedono nel registro delle proprietà, uno schema chiuso e tipizzato che definisci in anticipo: dichiara il tipo di ogni campo (stringa, numero, booleano o datetime) con un valore di fallback opzionale, e rifiutiamo chiavi sconosciute o valori con tipo errato quando vengono scritti, così i tuoi dati restano puliti.
Come faccio a inserire i contatti in un'audience a cui inviare?
Trascina un file CSV o Excel nella dashboard e Bird capisce automaticamente quale colonna corrisponde a cosa, fino a 50.000 contatti alla volta. Oppure esegui un batch-upsert fino a 1.000 contatti in una sola chiamata e aggiungili a un'audience nella stessa richiesta, senza passaggi aggiuntivi. In entrambi i casi l'upsert è idempotente sugli identificatori di ciascun elemento, quindi rieseguire un'importazione aggiorna anziché duplicare. Un broadcast punta a una singola audience: creala e gestiscila qui, poi fai riferimento al suo ID quando invii.
Come faccio a targetizzare un broadcast?
Puntalo su una singola audience. L'audience è l'unico concetto di targeting, quindi non devi sovrapporre liste e segmenti.
Posso pianificare o annullare un broadcast?
Sì, entrambe le cose. Invia subito oppure pianificalo con un timestamp esplicito da 30 secondi a 30 giorni in avanti. Una volta pianificato, o già in fase di invio, puoi annullarlo: un broadcast può passare allo stato "annullato" da qualsiasi stato non terminale.
È una piattaforma marketing separata o la stessa Email API?
La stessa. Email marketing e transazionale condividono un'unica API, un unico set di chiavi e un'unica superficie di analytics. I broadcast aggiungono il ciclo di vita delle campagne sopra l'infrastruttura di invio che già utilizzi. Decidi tu come separare le rispettive reputazioni di invio.
Come proteggete la deliverability e come gestite le disiscrizioni e il consenso?
Ogni invio è autenticato con DKIM, SPF e DMARC, i tuoi IP vengono riscaldati automaticamente e i bounce e i reclami vengono soppressi automaticamente affinché un indirizzo errato non danneggi la tua reputazione due volte. Il monitoraggio delle blocklist segnala un problema finché puoi ancora intervenire. Anche le disiscrizioni e i reclami sopprimono il destinatario in modo automatico e reversibile, il List-Unsubscribe con un clic è integrato e un broadcast applica le soppressioni marketing prima dell'invio.
Cosa posso misurare?
Consegna, aperture, clic, bounce e reclami suddivisi per campagna, tag e provider di posta, con le aperture da prefetch filtrate. Tutto ciò che è nella dashboard è disponibile anche tramite l'API stats.
Quali record devo configurare per verificare un dominio e quanto tempo ci vuole?
Generiamo i record per te: un record TXT DKIM per firmare la tua posta, un CNAME return-path che allinea SPF (nessun record SPF apex richiesto) e un record TXT DMARC. Un CNAME di tracking per link di apertura e clic brandizzati è opzionale. Aggiungi il dominio, incolla i record presso il tuo provider DNS e premi Verifica: la maggior parte delle verifiche si risolve in pochi minuti dalla propagazione DNS, anche se occasionalmente può richiedere più tempo.
Cosa fa effettivamente il record DMARC?
DMARC indica ai server riceventi cosa fare con le email che non superano l'allineamento DKIM o SPF e dove inviare i report aggregati che mostrano chi sta inviando per conto del tuo dominio. Richiediamo un record DMARC prima che un dominio possa inviare e raccomandiamo di iniziare con p=none, che monitora senza influire sulla consegna. Una volta confermato che ogni fonte legittima è allineata, rafforza la policy a p=quarantine o p=reject. Se pubblichi già DMARC sul tuo dominio o su un dominio padre, lo utilizziamo così com'è. I principali provider di posta ora si aspettano che i mittenti ad alto volume pubblichino una policy, quindi averne una è sempre più importante per raggiungere la casella di posta su larga scala.
Posso inviare da un sottodominio o usare più di un dominio?
Sì, entrambe le cose, e raccomandiamo un sottodominio dedicato, poiché isola la reputazione email dalla posta aziendale. Puoi anche utilizzare domini separati per email transazionali e marketing, o uno per brand, ciascuno con la propria autenticazione e reputazione.
Quando dovrei passare a un IP dedicato e devo farne il warm-up da solo?
Quando invii volumi costantemente elevati, indicativamente 100.000 email al mese o più. Al di sotto, un pool condiviso offre una migliore deliverability perché la reputazione è condivisa, e un IP dedicato è utile solo se invii abbastanza da mantenerlo caldo. Non devi fare il warm-up da solo: riscaldiamo automaticamente un nuovo IP dedicato nell'arco di circa 30 giorni, aumentando il volume gradualmente affinché i provider di posta costruiscano fiducia progressivamente, con l'overflow sul pool condiviso così da non ridurre mai i volumi.
Posso separare il traffico transazionale da quello marketing?
Sì. Raggruppa gli IP in pool e instrada ogni tipo di traffico verso il proprio pool, così un invio marketing non può compromettere la reputazione che garantisce la consegna delle tue email di reset password.
Cos'è la deliverability email?
La deliverability indica se la tua email raggiunge effettivamente la casella di posta del destinatario anziché la cartella spam o un rifiuto definitivo. Dipende da autenticazione, reputazione del mittente, igiene della lista e engagement, e noi gestiamo o monitoriamo ciascuno di questi aspetti per te.
Come faccio a sapere se la mia deliverability sta peggiorando?
Monitoriamo per te le principali blocklist. L'API stats e la dashboard mostrano anche codici di bounce, tipi di reclamo e suddivisioni per provider di posta, così puoi individuare un trend negativo in anticipo.
Cosa succede a un indirizzo che genera un bounce o segnala spam?
Un hard bounce, un reclamo spam o una disiscrizione inserisce l'indirizzo nella tua lista di soppressione, e nessun invio successivo lo raggiungerà. Questo impedisce che un singolo indirizzo problematico comprometta la tua reputazione a ogni invio successivo. La soppressione non è permanente: puoi rimuovere un indirizzo dalla lista quando sai che è stato ripristinato.
Cosa viene soppresso automaticamente e si applica anche alle email transazionali?
Hard bounce, segnalazioni di spam e disiscrizioni vengono soppressi automaticamente: una volta che un destinatario ne attiva uno, lo aggiungiamo alla Sua lista di soppressione e lo escludiamo dagli invii futuri. Gli hard bounce e gli indirizzi soppressi manualmente bloccano ogni invio, ma le segnalazioni di spam e le disiscrizioni si applicano solo alle email di marketing, quindi un messaggio transazionale come un reset password raggiunge comunque chi ha rinunciato alle Sue campagne.
Posso aggiungere, rimuovere o testare le soppressioni personalmente?
Sì, tutte e tre le opzioni. La soppressione è reversibile: se un indirizzo torna attivo, lo rimuova dalla lista tramite la dashboard o l'API e riprenda a inviargli email. Può anche aggiungere indirizzi manualmente, ad esempio una lista di indirizzi non validi che sta importando: verranno saltati esattamente come una voce automatica. Per testare il comportamento senza utilizzare un indirizzo reale, invii a suppressed@messagebird.dev: si comporta esattamente come se il destinatario fosse soppresso, rifiutato con recipient_suppressed, ma nulla viene scritto nella Sua lista, quindi può riutilizzarlo tutte le volte che vuole.
Quali metriche email vengono tracciate e come sono suddivise?
Tracciamo consegne, aperture, clic, bounce, reclami e disiscrizioni, riassunti come KPI e suddivisi per dominio, ISP, IP, dominio di invio, dominio destinatario, tag e broadcast, con dettagli sui codici di bounce e i tipi di reclamo. Le suddivisioni per provider di posta e client mostrano anche come Gmail, Yahoo, Outlook, Apple Mail e altri consegnano, aprono e fanno rimbalzare i tuoi messaggi.
Posso ottenere questi dati tramite API e quanto sono aggiornati?
Sì. Tutto ciò che la dashboard visualizza è disponibile tramite l'API stats, con granularità giornaliera o oraria, così puoi recuperare report storici o trasmettere le metriche nei tuoi strumenti. Gli eventi di engagement e consegna arrivano anche in tempo quasi reale tramite webhook e vengono aggregati negli endpoint stats, quindi dashboard e query riflettono ciò che è appena successo, non il giorno prima.
Cos'è una mailbox per agenti e in cosa differisce dal parsing delle email in entrata?
Una casella di posta reale e indirizzabile di proprietà del tuo codice. Le email inviate ad essa finiscono in thread che il tuo agente può leggere, filtrare, a cui può rispondere e da cui può inviare tramite API, senza eseguire un server IMAP o analizzare MIME grezzo. Il semplice parsing inbound ti consegna solo messaggi grezzi. Una mailbox aggiunge il livello conversazionale: un indirizzo riservato, thread con etichette, testo senza citazioni e risposte che si reintegrano nel thread.
Posso usare il mio dominio? E come si differenziano gli handle personalizzati da quelli generati?
Sì. Una mailbox può risiedere sul dominio condiviso inbox.ai o sul tuo dominio, una volta configurato l'inoltro in entrata. Qualsiasi local part non in quarantena post-cancellazione di 30 giorni è disponibile. Un handle generato è composto da 20 caratteri casuali, sempre disponibile e gratuito. Un handle personalizzato è uno scelto da te (goldcrest@inbox.ai), assegnato in ordine di arrivo tra tutte le organizzazioni, e viene scalato dall'allowance del tuo piano.
Quando la mailbox non è lo strumento giusto e come inizio?
Se hai solo bisogno di analizzare la mail in un webhook, il semplice inbound email è sufficiente. Una mailbox si ripaga quando l'agente deve gestire una conversazione. Per iniziare, crea una chiave API nella dashboard, rivendica un indirizzo e rispondi al tuo primo thread — tutto in pochi minuti. La documentazione copre l'intero flusso, e il server MCP hosted offre all'agente gli stessi strumenti senza alcun codice HTTP.
Qual è la differenza tra Momentum MTA e PowerMTA?
Entrambi sono MTA on-premise che gestisci autonomamente invece di inviare tramite la nostra API gestita. Momentum MTA è progettato attorno a workflow personalizzabili e routing per invii ad alto volume. PowerMTA è progettato per funzionare sui tuoi server o su qualsiasi cloud pubblico, come AWS o Azure.
A chi è destinato e devo gestire un MTA per usare Inbox Tracker o Competitive Tracker?
Team con requisiti infrastrutturali o di conformità che richiedono la gestione di un proprio MTA, e team che desiderano visibilità indipendente sul posizionamento in inbox e benchmarking competitivo anziché affidarsi unicamente alle proprie metriche di invio. Il primo gruppo utilizza Momentum MTA o PowerMTA. Il secondo gruppo usa Inbox Tracker, che misura il posizionamento in inbox e la reputazione a partire da dati reali delle caselle di posta, o Competitive Tracker, che confronta il tuo programma con altri brand, e nessuno dei due richiede di ospitare nulla autonomamente.
Cos'è successo a SparkPost e devo migrare?
SparkPost è ora Bird Email. Abbiamo acquisito SparkPost nel 2021 per aggiungere il motore di deliverability dietro circa il 40% delle email commerciali mondiali a un'unica piattaforma per email, SMS, WhatsApp e voce. I clienti SparkPost esistenti mantengono il proprio servizio e non sono obbligati a migrare. I nuovi progetti si basano sulla Bird Email API, che utilizza lo stesso motore di deliverability e aggiunge SMS, WhatsApp e voce con un unico set di chiavi.
L'API è la stessa di SparkPost?
Il motore di deliverability è lo stesso di SparkPost, ma l'interfaccia è un'API email moderna con SDK in ogni runtime principale. La documentazione copre invio, template, domini di invio e webhook.
Cos'è Momentum MTA?
Momentum è la nostra piattaforma di infrastruttura email on-premises per invii ad alto volume, con workflow personalizzabili, routing e parametri di consegna impostabili tramite il suo Policy Manager. È progettata per scalare con il tuo volume di invio mantenendo prestazioni stabili e supporta Unicode completo (SMTPUTF8) per inviare a set di caratteri internazionali.
Cos'è Adaptive Delivery e come posso monitorarlo?
Adaptive Delivery è il traffic shaping automatico di Momentum. Osserva come ogni provider di posta risponde alla tua mail e si regola in tempo reale: rallentando, differendo o mettendo brevemente in pausa un flusso per proteggere la tua reputazione, per poi riprendere una volta risolto il problema. Raggiungi la inbox senza dover gestire manualmente i tassi di invio per ogni provider. L'Intelligence Router ti mostra tutto questo attraverso tutte le tue fonti dati, con avvisi in tempo reale ogni volta che viene effettuata una regolazione.
Posso eseguire Momentum nel cloud? È ancora in fase di sviluppo?
Sì a entrambe. Momentum funziona sui tuoi server, su qualsiasi cloud principale o in configurazione ibrida, così puoi adattarlo alla tua infrastruttura, ai costi e alle esigenze di conformità, e modificare quel mix nel tempo. Inoltre continua a evolversi: le release recenti lo mantengono aggiornato con i sistemi operativi moderni, TLS 1.3 e gli standard di sicurezza e SMTP più recenti, ed espongono gli eventi dei messaggi tramite API in tempo reale che puoi integrare nei tuoi sistemi di reportistica e automazione.
Posso usare PowerMTA e la piattaforma hosted insieme? Chi controlla gli IP di invio?
Sì. PowerMTA può inoltrare parte del traffico alla Bird Email API hosted continuando a consegnare il resto direttamente dai tuoi server — il modo più semplice per provare la piattaforma hosted o migrare gradualmente senza spostare tutto in una volta. PowerMTA stesso gira su infrastruttura di tua proprietà, quindi quegli IP restano sotto la tua gestione. Il traffico che inoltri alla piattaforma hosted può utilizzare i nostri IP oppure i tuoi IP dedicati, mentre tutto il resto rimane interamente sotto il tuo controllo.
Cosa sono gli MTA virtuali?
Gli MTA virtuali ti permettono di gestire diversi flussi di invio indipendenti all'interno di una singola istanza PowerMTA, ciascuno con i propri IP, reputazione e limiti. Usali per tenere nettamente separati mail transazionale e marketing, o clienti diversi, in modo che i problemi di un flusso non impattino mai su un altro.
Cos'è la deliverability delle email e come la misura Inbox Tracker?
La deliverability indica se la tua email raggiunge la casella di posta anziché la cartella spam o un rifiuto. Inbox Tracker la misura per provider di posta, in tempo reale, e ti fornisce un riepilogo giornaliero di dove è effettivamente finita la tua mail: inbox, spam o bloccata.
Come faccio a scoprire che le mie email finiscono nello spam prima che mi costi caro?
Inbox Tracker segnala il calo del posizionamento presso un provider mentre sta accadendo, così lo vedi in un riepilogo giornaliero anziché in un calo delle risposte settimane dopo. Segnala anche gli hit sulle spam trap, che di solito indicano un problema di lista da risolvere prima che danneggi la tua reputazione, e ti avvisa quando l'autenticazione DMARC inizia a fallire.
Da dove provengono i dati di Inbox Tracker e perché servono più fonti?
Tre fonti: dati di caselle di posta in licenza che mostrano dove finisce la tua mail per destinatari reali, account seed che testano il posizionamento in scenari specifici e una connessione diretta a Google Postmaster per la visione che Gmail ha della tua reputazione. Rispondono a domande diverse: i dati reali delle caselle ti dicono il risultato, Postmaster ti dice il ragionamento di Gmail e i seed ti permettono di testare uno scenario intenzionalmente. Una sola fonte lascia punti ciechi e genera falsi allarmi.
Quanti dati copre Competitive Tracker e quanto sono aggiornati?
Tracciamo milioni di email al giorno su più di 250.000 brand in oltre 100 settori. I dati vengono aggiornati continuamente, quindi gli insight che vedi riflettono campagne e trend attuali, non un'istantanea storica.
Cosa posso confrontare rispetto ai competitor?
Puoi confrontare dimensione dell'audience, frequenza delle campagne, strategie di messaggistica, metriche di performance e tassi di engagement rispetto ad altri brand nel tuo settore, fino ai singoli percorsi email dei competitor. La stessa vista funziona per la pianificazione stagionale: osserva come i competitor modificano le loro campagne in vista di una stagione e scopri quali strategie funzionano prima di definire le tue.
Posso scoprire quale piattaforma email usa un competitor?
Spesso sì. Competitive Tracker può identificare la piattaforma o il servizio di invio dietro le email di un competitor, utile per la ricerca competitiva e per i team commerciali che vogliono capire come i rivali di un prospect gestiscono i loro programmi.
Perché non basta interrogare il provider della casella di posta per verificare un indirizzo?
I provider trattano questa pratica come raccolta di indirizzi e applicano limiti di frequenza o vi inseriscono in blocklist. Inoltre i risultati sono inaffidabili: un server può accettare un indirizzo durante l'handshake senza poi recapitare il messaggio, e il greylisting fa apparire non validi indirizzi reali. Verificare in base allo storico delle consegne evita sia il rischio sia le risposte errate.
Cosa devo fare con un risultato Neutral o Typo?
Per Neutral, la decisione spetta a Lei: l'indirizzo è ben formato, ha un mail server reale e non ha mai generato un hard bounce, ma non abbiamo ancora registrato un evento di consegna o interazione, quindi il rischio è basso, non sospetto. Invii pure se il Suo obiettivo è la crescita, oppure attenda un'interazione se preferisce andare sul sicuro. Per Typo, mostri la correzione suggerita nel modulo di iscrizione in modo che l'utente possa correggerla prima di inviare: così recupera un lead che altrimenti genererebbe un bounce. In una lista batch, separi i refusi e li confermi o li elimini, ma non invii all'indirizzo errato.
La mia posta è crittografata e dove vengono archiviati i miei dati?
Sì. L'API è solo HTTPS. Se si invia tramite SMTP, la porta 465 è crittografata dal primo byte, mentre le porte 587 e 2525 effettuano l'upgrade con STARTTLS: rifiutiamo AUTH su queste porte fino al completamento dell'upgrade, così le credenziali non viaggiano mai in chiaro. La porta 25 non è offerta per l'invio. I dati rimangono nella regione in cui è ospitata la Sua organizzazione, us1 o eu1, e il prefisso della Sua API key (bk_us1_…, bk_eu1_…) codifica tale regione affinché gli SDK e la CLI selezionino automaticamente l'endpoint corretto. Solo l'autenticazione e l'amministrazione dell'account operano su un host indipendente dalla regione.
Cosa può fare una API key e posso limitarne i permessi?
Solo ciò che Lei le consente. Una chiave contiene un elenco di scope come emails, email_marketing o domains, ciascuno in lettura o scrittura, quindi una chiave che invia email non può gestire i domini di invio. Le azioni del control plane (membri, impostazioni del workspace, emissione di chiavi, pool di IP) sono disponibili solo dalla dashboard e nessuna chiave può accedervi. Ogni chiave accetta inoltre un allowlist di intervalli CIDR: le richieste provenienti da qualsiasi altro indirizzo vengono rifiutate.
Come posso ruotare una chiave senza downtime?
La rotazione emette la nuova chiave e lascia funzionante quella precedente per un periodo di grazia, 24 ore per impostazione predefinita, in modo da poterla distribuire nei propri deploy. Impostando zero, la vecchia chiave viene revocata immediatamente. La rotazione non estende mai la durata di una chiave: una chiave con scadenza anteriore al periodo di grazia mantiene la scadenza originale.
Il mio team può accedere tramite il proprio identity provider?
Sì, tramite SAML 2.0 o OIDC, quindi Okta, Microsoft Entra ID e Google Workspace funzionano tutti. La configurazione avviene per organizzazione: il Suo account team la attiva per Lei. I membri che accedono con password possono attivare autonomamente l'MFA.
Esiste un audit trail di chi ha modificato cosa?
Sì. L'audit log è un registro di sola lettura, a livello di organizzazione, di ogni azione di gestione, con l'autore, il workspace, l'orario e l'esito, ed è esportabile in OCSF per il proprio SIEM. Copre le modifiche alla configurazione, non i messaggi inviati. Questi ultimi si trovano nel log delle email.
Dove trovo la documentazione su sicurezza e protezione dei dati?
Certificazioni e documentazione sulla sicurezza sono disponibili nel Trust Center su trust.bird.com. L'accordo sul trattamento dei dati, l'informativa sulla privacy e la policy di utilizzo accettabile sono pubblicati su bird.com/legal, con le versioni correnti e un archivio di quelle precedenti. Per i questionari fornitori, se ne occupa il Suo account team.