E-post hamnar i skräpposten: orsakerna

Det viktigaste

Orsaken ligger nästan aldrig i innehållet utan i autentiseringen: den mottagande servern kan inte kontrollera om meddelandet verkligen kommer från er domän.
Tre poster i DNS löser problemet: SPF anger vem som får skicka. DKIM signerar meddelandet. DMARC fastställer vad som händer vid bristande överensstämmelse.
Ordningen är viktig. Att skärpa DMARC innan SPF och DKIM fungerar rent blockerar era egna meddelanden.
Efter uppsättningen behövs två till fyra veckors observation innan man kan tala om «åtgärdat».

Frågan kommer i nästan varje projekt: varför hamnar vår e-post i skräppostmappen? Den vanligaste gissningen – för reklamartad text, för många länkar, ordet «gratis» – stämmer i de allra färraste fall. Moderna skräppostfilter bedömer först något annat: om meddelandet över huvud taget är äkta.

E-postprotokollet härstammar nämligen från en tid då ingen räknade med missbruk. I ursprungsskicket kan vilken dator som helst i världen skicka ett meddelande som bär er domän som avsändare. De tre poster det handlar om här sluter just den luckan.

Lysande former passerar tre genomskinliga kontrolltrösklar, enstaka avleds — Tre kontroller innan ett meddelande hamnar i inkorgen. Faller en av dem, avgör mottagaren efter misstanke.

De tre posterna och vad de gör

SPF, DKIM och DMARC i var sin mening

SPF – vem som får skicka: En post i DNS som listar vilka servrar som får skicka i er domäns namn. Mottagaren slår upp: kom meddelandet från en av de servrarna?
DKIM – har det ändrats på vägen: Den avsändande servern signerar meddelandet kryptografiskt. Den offentliga nyckeln till det ligger i DNS. Mottagaren kontrollerar signaturen.
DMARC – vad som händer vid bristande överensstämmelse: Er anvisning till mottagaren: göra ingenting, flytta till skräpposten eller avvisa. Dessutom skickar mottagaren rapporter om vad den har sett.

Visste du att…?

SPF och DKIM räcker inte ensamma. Båda kontrollerar bara var sin del, och båda kan klaras samtidigt som den avsändaradress mottagaren ser ändå är förfalskad.

Först DMARC knyter ihop kontrollerna med den adress som visas i inkorgen. Därför är det den post som har den egentliga verkan – och därför är det också den man skärper sist.

Rätt ordning

Tre geometriska former vrider sig i linje, en ljusstråle går igenom — Först när alla tre är i linje går kontrollen rent igenom. Dessförinnan blockerar man sig själv.

Observera Det vanligaste felet är att sätta DMARC direkt på avvisning. Om det då finns en tjänst som skickar och ännu inte står i SPF – bokföringsprogrammet, rekryteringsportalen, ärendesystemet – försvinner dess meddelanden spårlöst. Utan felmeddelande till avsändaren.

Inventering. Vilka skickar i ert namn? Oftast fler än man tror: e-postleverantören, nyhetsbrevsverktyget, CRM-systemet, webbservern för formulärbekräftelser, bokföringen. Var och en av dem måste stå i SPF.
Sätt SPF. En enda post per domän som räknar upp alla behöriga avsändare. Flera SPF-poster är ett fel och leder till att kontrollen inte ens genomförs.
Sätt upp DKIM. Aktivera hos respektive utskickstjänst, lägg in den tillhandahållna nyckeln i DNS. Varje tjänst får sin egen.
Starta DMARC observerande. Först med anvisningen «göra ingenting» och en adress för rapporterna. Låt gå i två till fyra veckor.
Utvärdera rapporterna. De visar vilka avsändare som faller igenom. Saknas någon i SPF eller DKIM, komplettera nu.
Skärp först därefter. Från «göra ingenting» till «till skräpposten» och senare till «avvisa». Observera i två veckor mellan varje steg.

Så kontrollerar man nuläget

Före varje ändring bör det stå klart vad som gäller nu. Två vägar, båda utan extra programvara:

Via ett mottaget meddelande. Öppna ett meddelande från er egen domän i valfri inkorg och låt visa de fullständiga rubrikraderna. Där står i en rad som heter Authentication-Results om SPF, DKIM och DMARC klarades. Tre gånger «pass» betyder: tekniken stämmer.

Via en DNS-förfrågan. På varje dator med kommandorad går posterna att fråga direkt. Därmed ser man vad som faktiskt är publicerat – inte vad som borde stå i administrationsgränssnittet.

Kontrollkommandon

# Se SPF
nslookup -type=TXT er-doman.se

# Se DMARC
nslookup -type=TXT _dmarc.er-doman.se

# Se DKIM (väljare per tjänst, här exemplet "standard")
nslookup -type=TXT standard._domainkey.er-doman.se

Om inget kommer tillbaka vid DMARC finns posten inte. Det är det vanligaste fyndet – och samtidigt det som är lättast att åtgärda.

När tekniken stämmer och det ändå kärvar

Är autentiseringen ren och leveransen ändå dålig kommer fyra andra orsaker i fråga.

Ny domän utan utskickshistorik

En domän som aldrig har skickat räknas som okänd. Den som skickar tiotusen meddelanden första dagen blir bromsad – med rätta.

Vad som hjälper: öka mängden över två till fyra veckor, börja med de mest engagerade mottagarna.

Känns igen på: dålig leverans bara vid stora utskick

Gamla, inaktiva adresser i listan

Mottagare som inte har öppnat något på ett år är en negativ signal. Vissa nedlagda adresser återanvänds till och med som fällor av leverantörerna.

Vad som hjälper: den som inte har öppnat något på tolv månader får ett sista meddelande – och tas därefter bort.

Känns igen på: sjunkande öppningsfrekvens över månader

Utskick via en delad adress

Hos billiga utskickstjänster delar många kunder samma utskicksservrar. Ryktet för de servrarna hänger då också på de andras beteende.

Vad som hjälper: från några tiotusen meddelanden i månaden en egen utskicksadress – därunder sällan lönsamt.

Känns igen på: plötsliga ras utan egen ändring

Saknad avregistrering i rubrikraderna

Stora leverantörer förväntar sig vid massutskick en avregistrering som fungerar med ett klick och är tekniskt inlagd i rubrikraderna – inte bara som länk i sidfoten.

Vad som hjälper: aktivera i utskicksverktyget; de flesta stöder det, men inte alla som standard.

Känns igen på: problem särskilt hos stora gratismejlleverantörer

Från praktiken

Vid uppsättningen av våra egna utskick höll vi ordningen och gjorde ändå ett fel: servern kunde till en början inte skriva sin utskicksloggning eftersom filbehörigheterna inte tillät det. Vi skickade alltså framgångsrikt – bara utan bevis.

Det uppmärksammades först när vi ville kontrollera vilken adress ett testmeddelande faktiskt hade gått till. Lärdomen: loggen är inget bihang. Utan den går det i tveksamma fall inte att belägga vad som hänt – och det är precis det som räknas när en kund säger att hen inte har fått något.

Tips Sätt upp en egen underdomän för utskicken, till exempel mail.er-doman.se. Då hålls marknadsutskickens rykte åtskilt från ryktet för er vanliga affärskorrespondens. Går något snett vid ett utskick är inte hela företagskommunikationen berörd direkt.

Slutsats

Leveransbarhet är inget textproblem utan ett bevisproblem. Den som sätter de tre posterna i rätt ordning löser därmed den övervägande majoriteten av fallen – och det varaktigt, eftersom det rör sig om en engångsuppsättning.

Insatsen ligger på några få timmar, fördelade över fyra till sex veckor, eftersom observationsfaserna hör till. Den som hoppar över dem och skärper direkt sparar veckorna och riskerar i utbyte att viktiga meddelanden tyst försvinner.

Vanliga frågor

Varför hamnar min e-post i skräppostmappen?

I den övervägande delen av fallen för att den mottagande servern inte kan kontrollera om meddelandet verkligen kommer från er domän. För det krävs tre DNS-poster: SPF, DKIM och DMARC. På innehållet beror det klart mer sällan än man antar.

Vad är SPF, DKIM och DMARC?

SPF listar vilka servrar som får skicka i ert namn. DKIM signerar varje meddelande kryptografiskt så att ändringar upptäcks. DMARC knyter båda kontrollerna till den synliga avsändaradressen och fastställer vad mottagaren ska göra vid bristande överensstämmelse.

I vilken ordning sätter man upp dem?

Först SPF, sedan DKIM, sedan DMARC i observerande läge. Efter två till fyra veckor utvärderas rapporterna, saknade avsändare kompletteras och först därefter skärps DMARC stegvis. Den som skärper DMARC först blockerar sina egna meddelanden.

Hur kontrollerar jag att posterna är korrekta?

Snabbast via de fullständiga rubrikraderna i ett mottaget meddelande: i raden Authentication-Results måste det stå «pass» vid SPF, DKIM och DMARC. Kompletterande går posterna att se direkt via en DNS-förfrågan.

Hur lång tid tar det innan en ändring verkar?

DNS-ändringar syns beroende på inställning efter minuter till 24 timmar. En domäns rykte förbättras långsammare – räkna med två till fyra veckor innan leveransandelen rör sig mätbart.

Behöver man en egen underdomän för utskicken?

Inte nödvändigtvis, men det är förnuftigt. Den skiljer marknadsutskickens rykte från ryktet för er vanliga affärskorrespondens. Går något snett vid ett utskick är inte hela företagskommunikationen berörd.