Gmail è sicuro e privato?

Gmail è difficile da violare. Google afferma di bloccare più del 99,9% dello spam, dei tentativi di phishing e del malware prima che ti raggiungano, e una chiave di accesso o una chiave di sicurezza rende l’account molto difficile da rubare. Questo rende Gmail sicuro contro molte minacce comuni, ma non necessariamente privato.

Sicurezza e privacy rispondono a domande diverse:

• La sicurezza chiede se un criminale può riuscire a entrare nella posta in arrivo.
• La privacy chiede chi altro può leggere i messaggi, compresa l’azienda che li gestisce.

Gmail non è crittografato end-to-end per impostazione predefinita, il che significa che i messaggi non sono crittografati in modo tale che solo il mittente e il destinatario possano decriptarli. Google detiene le chiavi dei messaggi archiviati, ne elabora i contenuti per il filtraggio dello spam e per funzionalità come Smart Compose, e collega l’account allo stesso profilo Google che alimenta il suo business pubblicitario. In breve: Gmail è relativamente sicuro, ma non è un servizio di posta elettronica privata.

• Gmail è crittografato?
• Gmail è sicuro?
• Gmail è privato?
• Come rendere Gmail più sicuro e privato
• Un’alternativa più sicura a Gmail

Gmail è crittografato?

Sì, ma non end-to-end. Gmail standard utilizza TLS durante il transito e la crittografia a riposo. I clienti aziendali di alcuni piani a pagamento di Google Workspace possono aggiungere opzioni più solide.

Tipo di crittografia	Cosa protegge	Disponibile su	Google può leggere il messaggio?
TLS	Email in transito tra server di posta, quando l’altro server lo supporta	Tutti gli account	Sì
Crittografia a riposo	Email archiviate, contro i drive rubati e alcuni attacchi all’infrastruttura	Tutti gli account	Sì
S/MIME ospitato	Email tra utenti che hanno entrambi certificati S/MIME	Piani Enterprise Plus, Frontline Plus e Education	Sì: certificati e chiavi private vengono caricati su Gmail
Crittografia lato client (CSE)	Email crittografata nel browser con chiavi controllate dall’organizzazione	Enterprise Plus, Frontline Plus, Education Standard e Plus	No, ma l’organizzazione può.

Con Gmail personale, la vera crittografia end-to-end richiede un’estensione PGP di terze parti come Mailvelope, e anche il destinatario deve usare PGP (software conforme a OpenPGP, uno standard aperto per la crittografia end-to-end).

La modalità riservata di Gmail crittografa le email?

No. La modalità riservata consente di impostare una data di scadenza, revocare l’accesso, richiedere un codice di accesso via SMS e impedire ai destinatari di inoltrare, copiare, stampare o scaricare un messaggio. I destinatari possono comunque fare screenshot o foto delle email. La modalità riservata limita ciò che il destinatario può fare, ma non rende il messaggio privato nei confronti di Google.

Gmail è sicuro?

Sì, contro le password rubate, il phishing, lo spam e il malware, Gmail è uno dei servizi email più robusti disponibili, soprattutto quando la password viene sostituita con una chiave di accesso o una chiave di sicurezza. Ecco perché:

Crittografia in transito e a riposo

Gmail crittografa i messaggi con TLS (Transport Layer Security) mentre viaggiano tra server di posta, quindi le email sono protette in transito finché anche il provider di posta dall’altro capo della linea supporta TLS. Se accanto a un messaggio compare un’icona di lucchetto aperto rosso, significa che l’email non è crittografata.

Una volta che l’email arriva sui server di Google, viene crittografata a riposo. Il whitepaper sulla crittografia(nuova finestra) di Google Workspace elenca i messaggi e gli allegati di Gmail come crittografati con AES usando una chiave a 128 bit o più robusta, generata e gestita da Google.

Entrambe le protezioni bloccano gli estranei, come chi intercetta un collegamento di rete o ruba un hard drive da un data center. Tuttavia, poiché Google detiene le chiavi, mantiene un accesso tecnico alle email. È questa la differenza rispetto alla crittografia end-to-end, in cui solo il mittente e il destinatario possono decriptare il messaggio.

Autenticazione a due fattori e chiavi di accesso

Google supporta l’autenticazione a due fattori (2FA). È possibile confermare gli accessi con una richiesta di Google sul telefono, un’app di autenticazione, una chiave di accesso, una chiave di sicurezza fisica o un codice inviato via SMS o chiamata. I codici di verifica inviati via SMS o chiamata sono vulnerabili agli attacchi basati sul numero di telefono, e un portavoce di Gmail ha dichiarato a Forbes nel febbraio 2025(nuova finestra) che Google vuole “allontanarsi dall’invio di messaggi SMS per l’autenticazione”. Le chiavi di accesso, l’opzione di accesso predefinita di Google, sono più solide perché possono resistere ad attacchi online come il phishing.

Per le persone a rischio elevato, Google offre il Programma di protezione avanzata. Richiede una chiave di accesso o una chiave di sicurezza per accedere, consente l’accesso ai dati dell’account solo alle app di Google e alle app di terze parti verificate, ed esegue controlli più severi sui download. Non cambia il modo in cui Gmail crittografa le email, quindi Google può comunque leggere i messaggi.

Protezione da spam, phishing e malware

Gmail filtra automaticamente la posta in arrivo. L’azienda afferma che blocca quasi 10 milioni di email di spam ogni minuto e che un nuovo modello di IA introdotto alla fine del 2024 blocca il 20% di spam in più rispetto a prima. Inoltre, Gmail:

• Rifiuta i tipi di allegato rischiosi, come i file eseguibili, e avvisa prima di scaricare un allegato pericoloso.
• Mostra banner di avviso sui messaggi sospetti, sui contenuti non sicuri e sui link ingannevoli.
• Richiede a chiunque invii messaggi a Gmail di autenticare il dominio usando SPF o DKIM, inviare tramite TLS e mantenere il tasso di spam sotto lo 0,3%. I mittenti che inviano più di 5.000 messaggi al giorno devono usare anche sia SPF sia DKIM, oltre a DMARC e alla funzione di annullamento dell’iscrizione con un clic. Le email che non soddisfano questi requisiti vengono rifiutate o inviate nella cartella spam.
• Visualizza un logo verificato (Brand Indicator for Message Identification, o BIMI), che assomiglia a un segno di spunta blu, accanto ai marchi che hanno verificato il dominio e il logo. Questo rende più difficile l’impersonificazione.

I filtri riducono il rischio, ma non lo rimuovono. Microsoft ha rilevato circa 8,3 miliardi di minacce di phishing basate su email(nuova finestra) nel primo trimestre del 2026, e gli aggressori hanno abusato dei sistemi di Google: nell’aprile 2025, i phisher hanno inviato avvisi falsi(nuova finestra) da no-reply@google.com che hanno superato i controlli di autenticazione di Gmail.

I filtri spam di Gmail prevedono anche delle eccezioni, e Google decide chi le ottiene. Da settembre 2026, il Programma per mittenti verificati di Gmail consente ai comitati politici statunitensi registrati di aggirare il filtro se inviano da domini verificati e mantengono i reclami sotto lo 0,3%. Le email politiche che Gmail avrebbe precedentemente bloccato come spam ora arrivano nella posta in arrivo, e spetta all’utente filtrarle di nuovo.

Funzionalità di sicurezza dell’account

Gli strumenti per l’account di Google intercettano in anticipo molti tentativi di appropriazione dell’account:

Controllo sicurezza offre raccomandazioni personalizzate, come rimuovere i vecchi dispositivi o aggiungere un metodo di recupero.

Avvisi di sicurezza informano via telefono o email se qualcuno accede da un nuovo dispositivo o se l’account invia un numero insolito di email. I truffatori imitano questi avvisi: nel 2024, falsi suggerimenti di recupero abbinati a chiamate vocali con IA(nuova finestra) sono stati usati per appropriarsi di account. Per verificare un avviso, è consigliabile aprire direttamente l’account Google anziché cliccare sui link presenti nell’avviso.

Gestione dei dispositivi consente di vedere ogni dispositivo su cui si è effettuato l’accesso e di uscire da remoto. È consigliabile usarla dopo un allarme malware: nel 2024, ricercatori(nuova finestra) hanno individuato infostealer che hanno mantenuto l’accesso agli account Google anche dopo la reimpostazione della password, riutilizzando token di sessione rubati. Google afferma che uscire dal browser interessato o revocarlo dalla pagina dei dispositivi interrompe questo accesso.

Telefono e email di recupero aiutano a recuperare l’accesso se si è bloccati fuori dall’account.

Navigazione sicura avanzata aggiunge una maggiore protezione contro phishing e malware su Chrome e Gmail.

Incidenti di sicurezza e attacchi a Gmail

Ecco alcuni noti incidenti di sicurezza che hanno coinvolto Gmail. Va notato che questi incidenti sono iniziati dal lato dell’utente, tramite phishing, malware o perdite di password, e non da una violazione dei sistemi di Google.

• Nel gennaio 2026 un ricercatore ha trovato un database esposto con 149 milioni di credenziali rubate(nuova finestra), di cui circa 48 milioni relative a Gmail. Google ha affermato che i login sono stati raccolti da malware sui dispositivi degli utenti, e non sottratti a Google.
• Nell’agosto 2025 hacker noti come ShinyHunters hanno rubato dati da un database Salesforce di Google: dettagli di contatto e note su piccole e medie imprese. Nessun dato di Gmail è stato coinvolto.
• Nel luglio 2025 ricercatori(nuova finestra) hanno dimostrato che del testo nascosto in un’email poteva ingannare la funzione “Riassumi questa email” di Gemini, facendole mostrare un falso avviso di sicurezza.
• Nell’aprile 2025 phisher hanno inviato falsi avvisi(nuova finestra) da no-reply@google.com che hanno superato i controlli di autenticazione di Gmail, rimandando a una falsa pagina di supporto su Google Sites.
• Nell’ottobre 2024 truffatori hanno usato chiamate vocali generate dall’IA fingendosi supporto di Google(nuova finestra), insieme a falsi suggerimenti di recupero dell’account, per impossessarsi di account Gmail.
• Tra ottobre e dicembre 2018 due bug di Google+ hanno esposto i dati del profilo di fino a 500.000 utenti, e poi di 52,5 milioni. Google ha chiuso Google+ e ha inasprito l’accesso delle terze parti a Gmail.

Gmail è privata?

Non davvero. Gmail protegge bene dagli estranei, ma Google stesso può accedere ai messaggi, raccoglie dati su come vengono usati e collega questi dati all’account Google. I provider di email attenti alla privacy che usano la crittografia end-to-end e la crittografia zero-access sono progettati per non poterlo fare.

Gmail non è crittografato end-to-end per impostazione predefinita

Per indicizzare la posta in arrivo e suggerire risposte nelle ricerche, i server di Google lavorano con le email in forma leggibile. Ciò è possibile solo perché a detenere le chiavi crittografiche è Google e non l’utente.

Solo Google Workspace a pagamento, con crittografia lato client, offriva la crittografia end-to-end. Con la crittografia end-to-end, un messaggio viene crittografato sul dispositivo del mittente e decriptato solo su quello del destinatario. Il provider archivia dati crittografati per i quali non ha alcuna chiave.

Quali dati raccoglie Google dagli utenti di Gmail?

L’informativa sulla privacy di Google si applica a Gmail così come a Ricerca, Maps e YouTube, quindi l’attività svolta su tutti questi servizi contribuisce a ciò che Google sa sull’utente. Elenca queste categorie:

Categoria	Esempi tratti dall’informativa sulla privacy di Google
Ciò che crei o fornisci	Nome, password, numero di telefono, informazioni di pagamento e contenuti, comprese le email
App, browser e dispositivi	Identificatori univoci, tipo di browser e di dispositivo, sistema operativo, rapporti crash
Indirizzo IP e posizione	Indirizzo IP(nuova finestra), GPS, dispositivi nelle vicinanze e posizione dedotta dall’attività
Attività nei servizi Google	Ricerche, video guardati, attività di acquisto e comunicazioni, a seconda delle impostazioni

A ottobre 2026, l’etichetta privacy dell’app Gmail nell’App Store di iOS elenca i dati raccolti come “Dati collegati all’utente”, inclusi acquisti, posizione approssimativa, contatti, email e altri contenuti dell’utente, cronologia di ricerca, ID utente e dispositivo e dati pubblicitari.

Modifica le impostazioni privacy di Google per mettere in pausa Attività web e app, disattivare gli annunci personalizzati in Il mio centro annunci, interrompere il monitoraggio della posizione e altro.

Google usa i dati di Gmail per gli annunci?

Google afferma di non usare il contenuto delle email per indirizzare gli annunci. Ha smesso nel 2017, quando ha dichiarato: “I contenuti di Gmail per i consumatori non verranno usati o analizzati per alcuna personalizzazione degli annunci.” La sua informativa sulla privacy ora afferma: “Non ti mostriamo annunci personalizzati in base ai tuoi contenuti di Drive, Gmail o Foto.”

La posta in arrivo continua a far parte del business pubblicitario di Google anche in altri modi. Ad esempio, Gmail mostra annunci basati su “la tua attività online mentre hai effettuato l’accesso a Google”, come le ricerche e la cronologia di YouTube. Nel 2025 l’autorità francese per la protezione dei dati ha multato Google per 325 milioni di €(nuova finestra), in parte per aver inserito annunci tra le email nelle schede Promozioni e Social senza consenso. Google ha presentato ricorso e, a ottobre 2026, non risultano sentenze.

Gmail usa le email per addestrare l’IA?

Google dice di no. Nel novembre 2025, un portavoce ha dichiarato a Tom’s Guide(nuova finestra): “Non usiamo i contenuti di Gmail per addestrare il nostro modello di IA Gemini.”

Tuttavia, se si consente a Gemini di leggere Gmail, il contenuto delle email che recupera in una chat segue le regole di Gemini, in base alle quali Google può usare prompt e risposte per addestrare l’IA mentre l’attività di Gemini viene salvata. Le chat visionate da revisori umani vengono conservate fino a tre anni.

Le impostazioni delle funzionalità Smart di Gmail attivano Smart Compose, il monitoraggio dei pacchi e le schede di riepilogo. Google afferma che, se si attivano, “potremmo anche elaborare i contenuti e le attività di Workspace per migliorare queste funzionalità.” Disattivare Gemini in Gmail, tuttavia, disattiva anche altre utili funzionalità basate sull’IA, come le categorie della posta in arrivo e Smart Reply.

Cause legali e violazioni della privacy di Gmail

Google ha ricevuto multe e cause legali ripetute per il modo in cui gestisce i dati degli utenti di Gmail. Ecco alcuni esempi:

• Nel novembre 2025, Thele contro Google(nuova finestra) sosteneva che Google avesse attivato Gemini per Gmail, Chat e Meet senza consenso. Un giudice ha respinto la causa con facoltà di modifica nel luglio 2026, e un ricorso modificato è ancora pendente.
• Nel settembre 2025, la CNIL ha multato Google per 325 milioni di €(nuova finestra) per aver mostrato annunci tra le email nelle schede Promozioni e Social di Gmail senza consenso, e per cookie impostati alla creazione dell’account. La CNIL afferma che 53 milioni di persone hanno visto gli annunci. Google ha presentato ricorso.
• Nel luglio 2018 il Wall Street Journal ha riportato(nuova finestra) che dipendenti di app email di terze parti avevano letto i messaggi Gmail degli utenti. Google ha risposto che “nessuno in Google legge la tua Gmail” se non con consenso o per motivi di sicurezza, e che gli utenti concedono l’accesso a tali app. Più tardi, a ottobre, ha limitato l’accesso all’API di Gmail alle app “che migliorano direttamente la funzionalità email”.
• Nel 2013 e nel 2014 gli utenti hanno intentato causa per la scansione dei contenuti email di Gmail per indirizzare gli annunci(nuova finestra). L’azione collettiva non ha avuto successo e la maggior parte dei ricorrenti ha trovato un accordo individualmente. Google ha interrotto la scansione per gli annunci nel 2017.

Come rendere Gmail più sicuro e privato

Questi passaggi rendono molto più difficile appropriarsi dell’account e riducono i dati raccolti da Google. Nessuno di essi impedisce a Google di accedere ai messaggi.

1. Usa una chiave di accesso o una chiave di sicurezza. Configurarne una nell’account Google, alla voce Sicurezza. Le chiavi di accesso resistono al phishing in un modo in cui password e codici SMS non riescono.
2. Attiva l’autenticazione a due fattori e privilegia le richieste di Google o un’app di autenticazione rispetto ai messaggi di testo.
3. Usa una password unica generata da un gestore di password, così una perdita da un altro sito web non può sbloccare il tuo account Gmail.
4. Verifica i tuoi dispositivi ed esci da quelli che non riconosci.
5. Rimuovi le app di terze parti che non usi più dall’elenco delle app collegate al tuo account, soprattutto quelle con autorizzazione a leggere la tua email.
6. Esegui il controllo di sicurezza e aggiungi un numero di telefono e un’email di recupero che controlli.
7. Disattiva le funzionalità Smart nelle impostazioni di Gmail se non vuoi che Google elabori la tua email per Smart Compose, le schede di riepilogo e le funzionalità tra i prodotti, e verifica i controlli dell’attività nelle impostazioni Dati e privacy del tuo Account Google.
8. Impara a riconoscere il phishing. Diffida degli avvisi di sicurezza urgenti, anche quelli che sembrano provenire da Google.
9. Non inviare informazioni altamente sensibili. Per questo, usa la posta elettronica privata e sicura.

Un’alternativa più privata e sicura a Gmail

Se vuoi un’alternativa a Gmail più sicura e privata, cerca un servizio con crittografia end-to-end e crittografia zero-access integrata. Proton Mail offre entrambe, insieme alle funzionalità di uso quotidiano che ti aspetti da Gmail, nei piani gratuiti e a pagamento.

Le email che invii ad altri utenti Proton o a destinatari che usano PGP sono crittografate end-to-end, compreso il corpo del messaggio e gli allegati. Negli altri casi, puoi aggiungere una protezione con password. In questo modo, solo tu e la persona a cui scrivi potete leggere quelle email. In caso di improbabile violazione dei server di Proton, il contenuto delle tue email resta protetto. Lo stesso vale se Proton riceve un ordine giudiziario.

Proton è finanziata dagli abbonamenti, non dai dati su di te. Non mostriamo mai pubblicità, non ti tracciamo, non vendiamo i tuoi dati né li usiamo per addestrare l’intelligenza artificiale. Come tutte le app Proton, Proton Mail è protetta dalle leggi sulla privacy svizzere, tra le più severe al mondo.

Puoi passare da Google con Easy Switch. Importa i tuoi messaggi, contatti e calendari di Gmail, inoltra le nuove email a Proton Mail e ti permette di continuare a inviare messaggi dal tuo indirizzo Gmail mentre ti abitui alla nuova posta in arrivo. Quando sei pronto a lasciare Google per sempre, puoi completare il passaggio ed eliminare il tuo account Gmail, un passo importante verso il deGoogling della tua vita.