Deliverability email: SPF, DKIM, DMARC e riscaldamento

La deliverability è il fatto che il suo messaggio raggiunga la posta in arrivo — non che il server destinatario lo abbia accettato. La seconda cosa è la consegna, e quasi tutti gli strumenti di invio la riportano come ‘consegnato’. Un messaggio smistato dritto nella cartella spam risulta consegnato. È in quella distanza che i mittenti perdono mesi.

I provider di posta decidono il posizionamento messaggio per messaggio usando segnali di tre tipi. Identità: possono dimostrare chi ha inviato? Reputazione: come hanno reagito i destinatari alla posta di questo dominio e di questo IP in passato? Contenuto: il messaggio assomiglia a posta di cui la gente si è lamentata? L'identità si risolve con SPF, DKIM e DMARC ed è interamente sotto il suo controllo. La reputazione si guadagna lentamente e si perde in fretta. Il contenuto conta meno di tutto, ed è per questo che riscrivere gli oggetti raramente risolve un problema di posizionamento.

La conseguenza pratica: sistemi prima l'autenticazione, perché è un pomeriggio di lavoro con un beneficio permanente, poi tratti tutto il resto come gestione della reputazione. Non esiste un header, un record o un'impostazione che faccia atterrare nella posta in arrivo un messaggio inviato a una lista cattiva.

SPF è un record TXT sul suo dominio che elenca i server autorizzati a inviare posta usandolo. Un record minimo ha questa forma: v=spf1 include:_spf.your-provider.example ~all. Il server ricevente prende il mittente di busta — il Return-Path, non l'indirizzo From visibile — legge il record SPF di quel dominio e verifica se l'IP che si connette è autorizzato.

Tre dettagli causano quasi tutti i fallimenti SPF:

• Il limite di dieci lookup. Ogni include, a, mx e redirect costa un lookup DNS, e contano anche gli include annidati. Superati i dieci, il record restituisce un errore permanente, che i riceventi possono trattare come un fallimento. Lo ricontrolli ogni volta che aggiunge uno strumento.
• Un solo record. Due record TXT SPF sullo stesso dominio sono un errore, non una somma. Li unisca in uno solo.
• ~all contro -all. Il softfail segnala la posta non autorizzata; l'hardfail chiede ai riceventi di rifiutarla. Passi a -all solo quando è certa che ogni mittente legittimo sia nell'elenco.

SPF si rompe con l'inoltro, perché l'IP del server che inoltra non è nel suo record. Non è un difetto che possa correggere, ed è esattamente il motivo per cui esiste DKIM e per cui DMARC accetta un esito positivo da uno qualsiasi dei due meccanismi.

DKIM aggiunge una firma crittografica agli header del messaggio. Lei pubblica una chiave pubblica come record TXT su selector._domainkey.yourdomain.com; la sua piattaforma di invio conserva la chiave privata e firma ogni messaggio. Il ricevente recupera la chiave pubblica, verifica la firma e a quel punto sa che il messaggio è stato autorizzato dal dominio indicato nel tag d= e non è stato alterato durante il tragitto.

Punti pratici:

• Usi una chiave a 2048 bit dove il suo host DNS lo permette. Quella a 1024 bit si verifica ancora, ma è l'opzione più debole.
• Dia a ogni piattaforma di invio un selector suo, così può ruotarne o rimuoverne uno senza toccare gli altri.
• Il dominio di firma indicato in d= dovrebbe coincidere con il dominio del From, altrimenti l'allineamento DMARC fallisce anche se DKIM in sé ha dato esito positivo.
• Ruoti le chiavi con regolarità ed elimini i selector degli strumenti che ha smesso di usare: una chiave inutilizzata è un invito aperto.

Poiché la firma viaggia con il messaggio, DKIM sopravvive agli inoltri semplici dove SPF non ce la fa. Se dovesse configurarne uno solo dei due, DKIM sarebbe il più prezioso. Li configuri comunque entrambi: i riceventi li pesano in modo diverso, e DMARC è molto più solido quando l'allineamento può appoggiarsi all'uno o all'altro.

DMARC lega SPF e DKIM all'indirizzo che il lettore vede davvero. Un messaggio supera DMARC quando SPF o DKIM dà esito positivo e il dominio che si è autenticato coincide con il dominio del From. Quella corrispondenza si chiama allineamento, ed è la parte che sfugge a quasi tutti: un messaggio può superare perfettamente SPF sul dominio di un provider e fallire comunque DMARC perché l'header From dice un'altra cosa.

Il record è una voce TXT su _dmarc.yourdomain.com, per esempio v=DMARC1; p=none; rua=mailto:[email protected]. Il tag della policy dice ai riceventi che cosa fare con i fallimenti:

• p=none — solo monitoraggio. Cominci da qui, per vedere chi invia a suo nome.
• p=quarantine — i fallimenti finiscono nello spam. Ci passi quando i report sono puliti.
• p=reject — i fallimenti vengono rifiutati del tutto. È lo stato obiettivo, quello che impedisce agli altri di spacciarsi per il suo dominio.

I report aggregati che arrivano all'indirizzo rua sono in XML e sgradevoli da leggere così come sono; va bene un qualsiasi parser di report DMARC. Li legga per qualche settimana prima di irrigidire la policy. I requisiti pubblicati da Google e Yahoo per i mittenti massivi prevedono ormai un record DMARC, autenticazione allineata, disiscrizione con un clic e tassi di reclamo bassi: quando si invia a volume, niente di tutto questo è manutenzione opzionale.

Un dominio nuovo non ha reputazione, e i provider di posta guardano con sospetto l'assenza di reputazione. Il riscaldamento costruisce uno storico di invio: parta da una manciata di messaggi per casella al giorno, aumenti gradualmente nell'arco di due-quattro settimane e faccia in modo che una quota significativa di quella prima posta venga aperta e riceva risposta.

Quello che il riscaldamento fa è dimostrare che questo dominio invia posta con cui le persone interagiscono. Quello che non può fare è riparare una lista cattiva, assorbire un tasso di bounce alto o compensare le segnalazioni di spam. Riscaldi un dominio con cura, poi ci mandi una vecchia lista comprata, e avrà semplicemente riscaldato la strada verso un incendio più rapido.

Regole pratiche:

• Autentichi prima di riscaldare, non dopo. La posta non autenticata durante il riscaldamento insegna ai riceventi la lezione sbagliata.
• Non moltiplichi i volumi il giorno in cui finisce il riscaldamento. Li alzi settimana dopo settimana.
• Distribuisca il volume reale delle campagne su più caselle invece di spremerne una sola.
• Tenga d'occhio il posizionamento in posta in arrivo durante la salita e metta in pausa l'aumento quando scivola, invece di forzare.

Il modulo di outreach e marketing automation di Growmindr gestisce riscaldamento, limiti per dominio e finestre di invio insieme alle sequenze stesse, il che aiuta soprattutto a evitare che la crescita dei volumi e il calendario delle campagne si facciano la guerra.

Un hard bounce è un rifiuto permanente: la casella non esiste, oppure il dominio non accetta affatto posta. Un soft bounce è temporaneo — casella piena, server occupato, greylisting — e merita qualche nuovo tentativo prima di rinunciare.

Sono gli hard bounce a fare male. Dicono al provider ricevente che lei non sa chi c'è nella sua lista, che è la caratteristica distintiva di uno spammer. Qualsiasi indirizzo che dà hard bounce va soppresso in modo permanente e immediato, ovunque, e mai più riprovato.

Tenga il tasso di hard bounce entro pochi punti percentuali nel caso peggiore, e tratti qualsiasi valore superiore come un segnale di fermarsi e correggere, non come una metrica da osservare. La soluzione non sta quasi mai nella configurazione di invio: sta nella lista. Verifichi ogni indirizzo prima che entri in una sequenza, riverifichi le liste più vecchie di qualche mese e tenga fuori dalle campagne a freddo gli indirizzi di ruolo come info@, sales@ e support@, che danno bounce più spesso e, quando non lo fanno, si lamentano di più.

Legga l'andamento oltre al tasso. Bounce concentrati su un solo dominio destinatario di solito significano che quel dominio la sta bloccando, non che quegli indirizzi non siano validi — un problema diverso, con una soluzione diversa.

Una segnalazione di spam è il segnale negativo più forte che un destinatario possa inviare, i provider le danno molto peso e agiscono in fretta. I tassi di reclamo si misurano in frazioni di punto percentuale, quindi la tolleranza è molto più stretta di quanto quasi tutti i mittenti immaginino — i requisiti pubblicati da Google e Yahoo per i mittenti massivi fissano entrambi la soglia accettabile ben al di sotto dell'uno per cento e si aspettano che i mittenti restino comodamente sotto il limite, non appena sotto.

Non può vedere i reclami presso ogni provider, ma qualcuno sì. Si iscriva ai feedback loop dove vengono offerti, usi Google Postmaster Tools per tenere d'occhio la reputazione del dominio e il tasso di spam sul traffico Gmail, e tratti qualsiasi movimento verso l'alto come urgente e non come interessante.

Conta anche l'interazione positiva, ed è per questo che la pertinenza batte il volume. Le risposte sono il segnale positivo più forte, seguite dai messaggi spostati fuori dallo spam, contrassegnati con una stella o archiviati. L'eliminazione senza apertura è leggermente negativa. Un lungo periodo senza alcuna interazione da parte di un destinatario è un motivo per smettere di scrivergli, non per provarci una quinta volta.

Quindi elimini i contatti che non interagiscono con regolarità. Una lista che tiene solo le persone che hanno interagito negli ultimi mesi batterà una lista tre volte più grande, sia sul posizionamento sia sulle risposte.

La deliverability si degrada in silenzio. Cambia qualcosa — un nuovo strumento inizia a inviare a suo nome, una modifica al DNS fa sparire un record, una campagna attira reclami — e nulla lo annuncia. Mezz'ora al mese intercetta quasi tutto.

• Autenticazione — SPF si risolve entro dieci lookup ed esiste una sola volta; DKIM si verifica per ogni piattaforma di invio attiva; il record DMARC è presente con la policy che intendeva.
• Report DMARC — c'è qualche nuova fonte che invia a nome del suo dominio? Qualche fonte legittima che fallisce l'allineamento?
• DNS inverso — il record PTR dell'IP di invio si risolve in un hostname che a sua volta rimanda a quell'IP.
• Blocklist — controlli i suoi domini e IP di invio sulle principali liste pubbliche.
• Andamento di bounce e reclami — la direzione conta più del numero di un singolo mese.
• Test seed — invii un vero messaggio di campagna ai suoi account presso i principali provider e annoti dove atterra.
• Disiscrizione — l'header per la disiscrizione con un clic è presente sulla posta massiva, e gli opt-out sono davvero soppressi su tutte le campagne.

Metta per iscritto il risultato ogni mese. Un mese di numeri non le dice quasi nulla; sei mesi degli stessi numeri le dicono esattamente quando è cominciato il problema, che di solito è gran parte della diagnosi.