E-maile trafiają do spamu: przyczyny i jak je usunąć

Najważniejsze w skrócie

Przyczyna prawie nigdy nie leży w treści, lecz w uwierzytelnieniu: serwer odbierający nie może sprawdzić, czy wiadomość naprawdę pochodzi z waszej domeny.
Problem rozwiązują trzy wpisy w DNS: SPF mówi, kto może wysyłać. DKIM podpisuje wiadomość. DMARC określa, co się dzieje przy niezgodności.
Kolejność jest ważna. Ustawienie DMARC na ostro, zanim SPF i DKIM działają czysto, blokuje własne wiadomości.
Po konfiguracji potrzeba dwóch do czterech tygodni obserwacji, zanim można mówić o „naprawione”.

Pytanie pada w niemal każdym projekcie: dlaczego nasze e-maile trafiają do folderu ze spamem? Najczęstsze przypuszczenie – zbyt reklamowy tekst, za dużo odnośników, słowo „darmowe” – sprawdza się w najrzadszych przypadkach. Nowoczesne filtry antyspamowe oceniają najpierw coś innego: czy wiadomość w ogóle jest prawdziwa.

Protokół pocztowy pochodzi bowiem z czasów, gdy nikt nie liczył się z nadużyciami. W stanie pierwotnym dowolny komputer na świecie może wysłać wiadomość, która jako nadawcę nosi waszą domenę. Trzy wpisy, o które tu chodzi, zamykają dokładnie tę lukę.

Świecące formy przechodzą przez trzy przezroczyste progi kontrolne, pojedyncze zostają odchylone — Trzy kontrole, zanim wiadomość trafi do skrzynki. Jeśli jedna wypadnie negatywnie, odbiorca decyduje na podstawie podejrzenia.

Trzy wpisy i to, co robią

SPF, DKIM i DMARC – każdy w jednym zdaniu

SPF – kto może wysyłać: Wpis w DNS wymieniający serwery, które mogą wysyłać w imieniu waszej domeny. Odbiorca sprawdza: czy wiadomość przyszła z jednego z tych serwerów?
DKIM – czy została po drodze zmieniona: Serwer wysyłający podpisuje wiadomość kryptograficznie. Klucz publiczny do tego leży w DNS. Odbiorca sprawdza podpis.
DMARC – co się dzieje przy niezgodności: Wasze polecenie dla odbiorcy: nic nie robić, przenieść do spamu albo odrzucić. Dodatkowo odbiorca przysyła raporty o tym, co zobaczył.

Czy wiesz, że…?

Same SPF i DKIM nie wystarczą. Każde z nich sprawdza tylko część, i oba mogą zostać zaliczone, podczas gdy widoczny dla odbiorcy adres nadawcy jest mimo to podrobiony.

Dopiero DMARC wiąże kontrole z adresem wyświetlanym w skrzynce. Dlatego jest tym wpisem, który daje właściwy efekt – i dlatego jest też tym, który ustawia się na ostro na końcu.

Właściwa kolejność

Trzy formy geometryczne obracają się w jedną linię, przechodzi przez nie promień światła — Dopiero gdy wszystkie trzy są ustawione w linii, kontrola przechodzi czysto. Wcześniej blokuje się samego siebie.

Uwaga Najczęstszym błędem jest ustawienie DMARC od razu na odrzucanie. Gdy wtedy wysyła usługa, której nie ma jeszcze w SPF – program księgowy, portal rekrutacyjny, system zgłoszeń – jej wiadomości znikają bez śladu. Bez komunikatu o błędzie u nadawcy.

Inwentaryzacja. Kto wysyła w waszym imieniu? Zwykle więcej podmiotów, niż się sądzi: dostawca poczty, narzędzie do newslettera, CRM, serwer strony wysyłający potwierdzenia z formularzy, księgowość. Każdy z nich musi znaleźć się w SPF.
Ustawić SPF. Jeden jedyny wpis na domenę, wymieniający wszystkich uprawnionych nadawców. Kilka wpisów SPF to błąd i prowadzi do tego, że kontrola w ogóle się nie wykonuje.
Skonfigurować DKIM. Aktywować w danej usłudze wysyłkowej, udostępniony klucz wpisać do DNS. Każda usługa dostaje własny.
Uruchomić DMARC w trybie obserwacji. Najpierw z poleceniem „nic nie rób” i adresem na raporty. Zostawić na dwa do czterech tygodni.
Ocenić raporty. Pokazują, którzy nadawcy nie przechodzą kontroli. Jeśli któregoś brakuje w SPF lub DKIM, teraz go dopisać.
Dopiero potem zaostrzyć. Z „nic nie rób” na „do spamu”, a później na „odrzucaj”. Między krokami po dwa tygodnie obserwacji.

Jak sprawdzić stan faktyczny

Przed każdą zmianą powinno być jasne, co obowiązuje obecnie. Dwie drogi, obie bez dodatkowego oprogramowania:

Przez otrzymaną wiadomość. Otwórzcie wiadomość z własnej domeny w dowolnej skrzynce i wyświetlcie pełne nagłówki. W wierszu o nazwie Authentication-Results stoi tam, czy SPF, DKIM i DMARC zostały zaliczone. Trzy razy „pass” znaczy: technika się zgadza.

Przez zapytanie DNS. Na każdym komputerze z wierszem poleceń da się odpytać wpisy bezpośrednio. Widać wtedy, co jest faktycznie opublikowane – a nie to, co powinno stać w panelu administracyjnym.

Polecenia kontrolne

# obejrzeć SPF
nslookup -type=TXT wasza-domena.pl

# obejrzeć DMARC
nslookup -type=TXT _dmarc.wasza-domena.pl

# obejrzeć DKIM (wybór zależny od usługi, tu przykład "standard")
nslookup -type=TXT standard._domainkey.wasza-domena.pl

Jeśli przy DMARC nic nie wraca, wpis nie istnieje. To najczęstszy wynik – a zarazem najłatwiejszy do naprawienia.

Gdy technika się zgadza, a mimo to nie idzie

Jeśli uwierzytelnienie jest czyste, a dostarczalność mimo to słaba, w grę wchodzą cztery inne przyczyny.

Nowa domena bez historii wysyłki

Domena, która jeszcze nigdy nic nie wysłała, uchodzi za nieznaną. Kto pierwszego dnia wyśle dziesięć tysięcy wiadomości, zostanie wyhamowany – i słusznie.

Co pomaga: zwiększać wolumen przez dwa do czterech tygodni, zaczynając od najbardziej zaangażowanych odbiorców.

Rozpoznasz po: słabej dostarczalności tylko przy dużych wysyłkach

Stare, nieaktywne adresy na liście

Odbiorcy, którzy od roku niczego nie otworzyli, to negatywny sygnał. Niektóre wygaszone adresy bywają przez dostawców wykorzystywane ponownie jako pułapki.

Co pomaga: kto przez dwanaście miesięcy niczego nie otworzył, dostaje ostatnią wiadomość – i potem zostaje usunięty.

Rozpoznasz po: spadającym wskaźniku otwarć w skali miesięcy

Wysyłka z adresu współdzielonego

W tanich usługach wysyłkowych wielu klientów dzieli te same serwery nadawcze. Reputacja tych serwerów zależy wtedy także od zachowania pozostałych.

Co pomaga: od kilkudziesięciu tysięcy wiadomości miesięcznie własny adres nadawczy – poniżej rzadko się to opłaca.

Rozpoznasz po: nagłych załamaniach bez własnych zmian

Brak możliwości wypisu w nagłówku

Wielcy dostawcy oczekują przy wysyłce masowej wypisu działającego jednym kliknięciem i zapisanego technicznie w nagłówkach – nie tylko jako odnośnik w stopce.

Co pomaga: aktywować w narzędziu wysyłkowym; większość to wspiera, ale nie wszystkie domyślnie.

Rozpoznasz po: problemach szczególnie u dużych dostawców darmowej poczty

Z praktyki

Przy konfiguracji własnej wysyłki dotrzymaliśmy kolejności, a mimo to popełniliśmy błąd: serwer początkowo nie mógł zapisywać dziennika wysyłki, bo nie pozwalały na to uprawnienia do plików. Wysyłaliśmy więc skutecznie – tylko bez dowodu.

Zauważyliśmy to dopiero, gdy chcieliśmy sprawdzić, na jaki adres rzeczywiście poszła wiadomość testowa. Wniosek: dziennik nie jest dodatkiem. Bez niego w razie wątpliwości nie da się wykazać, co się stało – a właśnie o to chodzi, gdy klient mówi, że nic nie dostał.

Wskazówka Załóżcie do wysyłki własną poddomenę, na przykład mail.wasza-domena.pl. Wtedy reputacja wysyłki marketingowej pozostaje oddzielona od reputacji zwykłej korespondencji firmowej. Jeśli przy jakiejś wysyłce coś pójdzie nie tak, nie ucierpi od razu cała komunikacja firmy.

Podsumowanie

Dostarczalność nie jest problemem tekstu, lecz problemem dowodu. Kto ustawi trzy wpisy we właściwej kolejności, rozwiązuje tym przeważającą większość przypadków – i to trwale, bo chodzi o jednorazową konfigurację.

Nakład to kilka godzin rozłożonych na cztery do sześciu tygodni, bo fazy obserwacji są częścią rzeczy. Kto je pominie i ustawi od razu na ostro, oszczędzi tygodnie, a w zamian zaryzykuje, że ważne wiadomości po cichu znikną.

Częste pytania

Dlaczego moje e-maile trafiają do folderu ze spamem?

W przeważającej liczbie przypadków dlatego, że serwer odbierający nie może sprawdzić, czy wiadomość naprawdę pochodzi z waszej domeny. Potrzebne są do tego trzy wpisy DNS: SPF, DKIM i DMARC. Treść odpowiada za to wyraźnie rzadziej, niż się sądzi.

Czym są SPF, DKIM i DMARC?

SPF wymienia serwery, które mogą wysyłać w waszym imieniu. DKIM podpisuje każdą wiadomość kryptograficznie, żeby zmiany rzucały się w oczy. DMARC wiąże obie kontrole z widocznym adresem nadawcy i określa, co odbiorca ma zrobić przy niezgodności.

W jakiej kolejności się je zakłada?

Najpierw SPF, potem DKIM, potem DMARC w trybie obserwacji. Po dwóch do czterech tygodniach ocenić raporty, dopisać brakujących nadawców i dopiero wtedy stopniowo zaostrzać DMARC. Kto ustawi DMARC na ostro jako pierwszy, zablokuje własne wiadomości.

Jak sprawdzę, czy wpisy są poprawne?

Najszybciej przez pełne nagłówki otrzymanej wiadomości: w wierszu Authentication-Results przy SPF, DKIM i DMARC musi stać „pass”. Uzupełniająco wpisy da się obejrzeć bezpośrednio zapytaniem DNS.

Jak długo trwa, zanim zmiana zadziała?

Zmiany DNS są widoczne, zależnie od ustawień, po minutach do 24 godzin. Reputacja domeny poprawia się wolniej – liczcie się z dwoma do czterech tygodni, zanim wskaźnik dostarczeń ruszy się w sposób mierzalny.

Czy do wysyłki potrzebna jest własna poddomena?

Nie jest konieczna, ale ma sens. Oddziela reputację wysyłki marketingowej od reputacji zwykłej korespondencji firmowej. Jeśli przy jakiejś wysyłce coś pójdzie nie tak, nie ucierpi cała komunikacja firmy.