Delegare una cassetta di posta Microsoft 365 a un assistente: accesso, lettura e invio

In quasi ogni PMI italiana c’è una segretaria o un assistente di direzione che gestisce la posta di un responsabile: smista le richieste, risponde al posto suo, organizza l’agenda. Su Microsoft 365 questo si fa delegando la cassetta, ma è proprio qui che nascono i pasticci: esistono quattro meccanismi diversi — Delega di Outlook, Invia per conto, Invia come, Accesso completo — che vengono spesso confusi tra loro, con il risultato che “l’assistente vede la posta ma non riesce a inviare”, oppure “invia ma il cliente vede il nome sbagliato”.

In questa guida li distinguiamo uno per uno, ti diciamo quale scegliere per lo scenario assistente, e mostriamo come impostarli sia da interfaccia (nuovo Outlook e interfaccia di amministrazione Exchange) sia via PowerShell per chi gestisce più caselle.

I quattro meccanismi (e cosa fa davvero ognuno)

Il punto chiave che genera più ticket: Accesso completo e permessi di invio sono cose separate. Dare l’Accesso completo fa leggere tutto, ma per inviare devi aggiungere Invia come o Invia per conto.

Quale scegliere per l’assistente

• L’assistente gestisce anche l’agenda e va bene la dicitura “per conto di” → Delega di Outlook. È lo scenario classico segreteria-direzione, e può impostarla il responsabile stesso senza coinvolgere l’IT.
• L’assistente deve apparire come il responsabile (invio trasparente, il cliente non deve sapere che ha scritto la segreteria) → Accesso completo + Invia come, da impostare lato IT.
• Più persone gestiscono una casella comune (info@, ordini@) → non è una delega, è una cassetta di posta condivisa.

Metodo 1 — Delega di Outlook (lato utente, scenario assistente classico)

È la via più rapida quando il responsabile vuole abilitare la propria assistente in autonomia. Include posta e calendario, ed è pensata proprio per la relazione direttore-segreteria.

Nuovo Outlook e Outlook sul web (OWA)

1. Il responsabile apre Impostazioni (l’ingranaggio in alto a destra) → Account → Delega.
2. Clicca Aggiungi un delegato e cerca l’assistente.
3. Imposta i livelli di autorizzazione per Posta in arrivo e Calendario (es. Può modificare).
4. Scegli come gestire le convocazioni di riunione (di solito “Invia al delegato e a me”).
5. Salva. Da quel momento l’assistente può aprire la casella e inviare per conto del responsabile.

Outlook classico (desktop)

1. File → Impostazioni account → Accesso delega (Delega).
2. Aggiungi → seleziona l’assistente.
3. Imposta i permessi per cartella (es. Posta in arrivo: Editor, Calendario: Editor).
4. Spunta, se serve, “Il delegato può visualizzare i miei elementi privati” e conferma con OK.

L’assistente vedrà la casella del responsabile nel proprio Outlook e, in fase di invio, potrà selezionare l’indirizzo del responsabile nel campo Da (vedi più sotto). Se serve delegare anche le agende a più persone, vale la pena leggere la guida ai calendari condivisi e gruppi in Microsoft 365.

Metodo 2 — Lato IT, dall’interfaccia di amministrazione Exchange

Quando serve l’Accesso completo o l’Invia come (che l’utente non può concedersi da solo), si passa dall’interfaccia di amministrazione Exchange (EAC).

1. Vai su admin.exchange.microsoft.com con un account amministratore.
2. Destinatari → Cassette postali → seleziona la casella del responsabile.
3. Apri la scheda Delega. Trovi tre sezioni:
   • Leggi e gestisci (Accesso completo) → Modifica → aggiungi l’assistente.
   • Invia come → aggiungi l’assistente (per l’invio trasparente).
   • Invia per conto → aggiungi l’assistente (per l’invio tracciabile).
4. Salva. La modifica si propaga in genere in pochi minuti, fino a circa 60.

Per lo scenario “l’assistente è il braccio operativo del responsabile e firma a suo nome”, la combinazione tipica è Leggi e gestisci + Invia come.

Metodo 3 — PowerShell (Exchange Online), per scalare

Se gestisci più caselle o vuoi standardizzare la procedura, PowerShell è più veloce e ripetibile. Connessione:

Connect-ExchangeOnline -UserPrincipalName admin@dominio.it

Accesso completo (con la casella che compare in automatico in Outlook dell’assistente):

Add-MailboxPermission -Identity "responsabile@dominio.it" `
  -User "assistente@dominio.it" -AccessRights FullAccess `
  -InheritanceType All -AutoMapping $true

Invia come (invio trasparente):

Add-RecipientPermission -Identity "responsabile@dominio.it" `
  -Trustee "assistente@dominio.it" -AccessRights SendAs -Confirm:$false

Invia per conto (invio tracciabile):

Set-Mailbox -Identity "responsabile@dominio.it" `
  -GrantSendOnBehalfTo @{Add="assistente@dominio.it"}

Solo una cartella (es. la Posta in arrivo, senza dare accesso al resto della casella):

Add-MailboxFolderPermission -Identity "responsabile@dominio.it:\Posta in arrivo" `
  -User "assistente@dominio.it" -AccessRights Editor

Nota: su tenant in inglese la cartella è :\Inbox. Per verificare i permessi assegnati usa Get-MailboxPermission e Get-RecipientPermission.

Script pronto all’uso — per non riscrivere i comandi a mano, puoi scaricare il nostro script PowerShell per la delega cassetta Microsoft 365: assegna, verifica e revoca la delega in un colpo solo, con preset Assistente, supporto -WhatIf e flag -Remove per l’offboarding.

Come l’assistente invia poi la posta

Assegnati i permessi, l’invio funziona così:

1. In un nuovo messaggio, abilita il campo Da (in Outlook classico: Opzioni → Mostra Da; nel nuovo Outlook compare selezionando l’identità).
2. Nel campo Da scegli l’indirizzo del responsabile.
3. Con Invia come il destinatario vede solo il responsabile; con Invia per conto vede “Assistente per conto di Responsabile”.

Se hai dato l’Accesso completo con AutoMapping, la casella del responsabile compare già nel riquadro cartelle dell’assistente (dopo il riavvio di Outlook). Il nome che i destinatari leggono dipende dalla configurazione della casella: se va corretto, vedi come modificare il nome visualizzato del mittente.

AutoMapping: il dettaglio che genera ticket

Con Accesso completo e AutoMapping $true la casella delegata si aggiunge da sola all’Outlook dell’assistente. Comodo per una o due caselle, ma se l’assistente ne gestisce molte Outlook rallenta. In quel caso:

Add-MailboxPermission -Identity "responsabile@dominio.it" `
  -User "assistente@dominio.it" -AccessRights FullAccess -AutoMapping $false

e poi la casella si aggiunge a mano (account → impostazioni avanzate → “Apri queste cassette postali aggiuntive”). Attenzione: per cambiare l’AutoMapping su un permesso già esistente bisogna rimuoverlo e riassegnarlo.

Sicurezza, audit e offboarding (la parte che spesso si dimentica)

La delega è anche una questione di governance, non solo di comodità:

• Minimo privilegio: assegna solo ciò che serve. Invia per conto è più trasparente di Invia come perché lascia traccia di chi ha scritto — utile per responsabilità interna e GDPR.
• Audit: gli accessi delegati e gli invii sono registrati nel log di controllo di Microsoft 365; in caso di contestazioni si ricostruisce chi ha fatto cosa.
• Offboarding: quando l’assistente cambia ruolo o lascia l’azienda, revoca le deleghe (Remove-MailboxPermission, Remove-RecipientPermission). È uno dei punti più dimenticati e una delle falle più comuni negli audit di sicurezza.

Checklist rapida

• Scelto il meccanismo in base alla trasparenza voluta (per conto vs come).
• Permesso assegnato (Delega di Outlook, EAC o PowerShell).
• Per l’invio: verificato che ci sia Invia come o Invia per conto (l’Accesso completo da solo non basta).
• Deciso l’AutoMapping in base a quante caselle gestisce l’assistente.
• L’assistente ha abilitato il campo Da e testato un invio reale.
• Delega documentata e inserita nella procedura di offboarding.

Domande frequenti

Qual è la differenza tra Invia come e Invia per conto? Con Invia come (Send As) il destinatario vede solo l’indirizzo del responsabile, come se avesse scritto lui. Con Invia per conto (Send on Behalf) il destinatario vede la dicitura “Assistente per conto di Responsabile”, quindi resta tracciabile chi ha materialmente inviato. Per la trasparenza interna e l’audit, Invia per conto è spesso preferibile.

L’assistente può leggere la posta senza poter inviare? Sì. Con il solo Accesso completo (Full Access) l’assistente apre la casella, legge e organizza i messaggi ma non può inviare a nome del responsabile. Per inviare serve abbinare il permesso Invia come oppure Invia per conto: sono permessi distinti.

Quanto tempo serve perché la delega diventi attiva? In genere pochi minuti, ma la propagazione può richiedere fino a circa 60 minuti. Se hai assegnato l’Accesso completo con AutoMapping, la casella compare nel riquadro cartelle dell’assistente solo dopo il riavvio di Outlook.

Serve una licenza in più per delegare la casella all’assistente? No: l’assistente accede alla casella del responsabile usando la propria licenza, non ne serve una aggiuntiva per la delega. Diverso il caso della cassetta condivisa, che è gratuita fino a 50 GB e richiede una licenza solo oltre quella soglia o per funzioni avanzate.

Quando ha senso un servizio gestito

Per una singola delega bastano i passaggi qui sopra. In un’azienda con decine di caselle, deleghe incrociate, ricambio di personale e requisiti di audit, gestire i permessi a mano diventa fonte di errori e di rischi di sicurezza (accessi mai revocati, invii “come” non tracciati). Avere chi presidia il tenant Exchange Online — con procedure standard via PowerShell e revoca sistematica all’offboarding — evita sorprese.

Se preferisci delegare queste attività a chi le fa ogni giorno, dai un’occhiata al nostro servizio di Assistenza Microsoft 365 gestita, oppure parla con un nostro consulente: configuriamo deleghe, caselle condivise e policy di accesso in modo ordinato e sicuro. Per il quadro completo della suite, vedi anche la pagina Microsoft 365 e la categoria Outlook ed Exchange.