メール到達率の基礎：SPF・DKIM・DMARCとウォームアップ

メール到達率とは、メッセージが受信トレイに届いたかどうかであって、受信サーバーが受け取ったかどうかではありません。後者は「配信」であり、ほぼすべての送信ツールがそれを「配信済み」として報告します。迷惑メールフォルダへ直行したメッセージも配信済みに数えられます。この差のところで、送信者は何か月も失います。

メールボックス事業者は、3つのグループのシグナルを使ってメッセージごとに配置を決めます。身元：誰が送ったのかを証明できるか。レピュテーション：このドメインとこのIPからのメールに、これまで受信者はどう反応してきたか。内容：苦情が来たメールに似ていないか。身元はSPF、DKIM、DMARCで決まり、完全に自分の管理下にあります。レピュテーションはゆっくり積み上がり、あっという間に失われます。内容の重みはもっとも小さく、だからこそ件名を書き直しても配置の問題はめったに解決しません。

実務上の結論はこうです。まず認証を直すこと。半日の作業で恒久的な見返りがあります。そのあとはすべてレピュテーション管理として扱うこと。悪いリストへのメールを受信トレイに届かせるヘッダーもレコードも設定も、存在しません。

SPFは、そのドメインを使って送信を許可されたサーバーを列挙する、ドメイン上のTXTレコードです。最小構成はv=spf1 include:_spf.your-provider.example ~allのような形になります。受信サーバーはエンベロープの送信者、つまり表示上のFromではなくReturn-Pathを取り、そのドメインのSPFレコードを読み、接続してきたIPが許可されているかを確認します。

SPFの失敗のほとんどは、次の3点から生まれます。

• 10回のDNSルックアップ制限。include、a、mx、redirectはいずれもDNSルックアップを1回消費し、入れ子のincludeも数に入ります。10を超えるとレコードは恒久エラーを返し、受信側はそれを失敗として扱うことがあります。ツールを追加するたびに再確認してください。
• レコードは1つだけ。同じドメインに2つのSPF TXTレコードがあるのはエラーであって、統合ではありません。1つにまとめてください。
• ~allと-allの違い。ソフトフェイルは未許可のメールに印を付け、ハードフェイルは受信側に拒否を求めます。正当な送信元をすべて列挙できたと確信できてから-allへ移ってください。

SPFは転送で壊れます。転送サーバーのIPは自社のレコードに載っていないからです。これは直せる不具合ではなく、まさにそのためにDKIMが存在し、DMARCがどちらか一方のパスを受け入れるようになっています。

DKIMはメッセージのヘッダーに暗号署名を付けます。公開鍵をselector._domainkey.yourdomain.comのTXTレコードとして公開し、送信プラットフォームが秘密鍵を保持して各メッセージに署名します。受信側は公開鍵を取得して署名を検証し、そのメッセージがd=タグのドメインによって承認され、転送中に改変されていないことを確認します。

実務上のポイントは次のとおりです。

• DNSホストが対応しているなら2048ビットの鍵を使ってください。1024ビットでも検証は通りますが、弱い選択肢です。
• 送信プラットフォームごとに固有のセレクタを割り当てると、ほかに触れずに1つだけ入れ替えたり削除したりできます。
• d=の署名ドメインはFromのドメインと一致させてください。一致しないと、DKIM自体は通っていてもDMARCのアライメントが失敗します。
• 鍵は定期的に入れ替え、使わなくなったツールのセレクタは削除してください。使われていない鍵は、招待状を出し続けているようなものです。

署名はメッセージと一緒に運ばれるため、SPFが壊れる単純な転送でもDKIMは生き残ります。どちらか一方しか設定しないなら、DKIMのほうが価値があります。とはいえ両方設定してください。受信側は両者を異なる重みで評価しますし、どちらでもアライメントを担えるほうがDMARCははるかに堅牢になります。

DMARCは、SPFとDKIMを、読み手が実際に目にするアドレスに結び付けます。メッセージがDMARCを通るのは、SPFまたはDKIMが通り、かつ認証したドメインがFromのドメインと一致するときです。この一致をアライメントと呼び、ここが見落とされがちです。プロバイダーのドメインでSPFが完璧に通っていても、Fromヘッダーが別のものを示していればDMARCは失敗します。

レコードは_dmarc.yourdomain.comのTXTエントリで、たとえばv=DMARC1; p=none; rua=mailto:[email protected]のようになります。ポリシータグは、失敗したメールをどう扱うかを受信側に伝えます。

• p=none — 監視のみ。誰が自社を名乗って送信しているかを把握するため、ここから始めます。
• p=quarantine — 失敗したメールは迷惑メールへ。レポートがきれいになったら移行します。
• p=reject — 失敗したメールは受け取り拒否。目指すべき状態であり、他者による自社ドメインのなりすましを止められます。

ruaアドレスに届く集約レポートはXMLで、そのまま読むのは苦痛です。DMARCレポートのパーサーを何か使ってください。ポリシーを厳しくする前に、数週間はレポートを読みましょう。GoogleとYahooが公開している大量送信者向けの要件は、DMARCレコード、アライメントの取れた認証、ワンクリックの配信停止、そして低い苦情率を求めています。量を送る段階になれば、これらはもう任意の整理整頓ではありません。

新しいドメインにはレピュテーションがなく、メールボックス事業者は「レピュテーションがない」状態を疑いの目で見ます。ウォームアップは送信履歴を作る作業です。1メールボックスあたり1日数通から始め、2〜4週間かけて徐々に増やし、その初期のメールのうち相応の割合が開封され、返信されるようにします。

ウォームアップができるのは、このドメインが「人が反応するメール」を送っていると示すことです。できないのは、悪いリストを修復すること、高いバウンス率を吸収すること、迷惑メール報告を相殺することです。丁寧にドメインを温めたうえで、古い購入リストに送れば、単に燃え尽きるまでの道を温めただけになります。

実務上のルールはこうです。

• ウォームアップの前に認証を済ませること。ウォームアップ中の未認証メールは、受信側に間違ったことを学習させます。
• ウォームアップが終わった日に量を一気に増やさないこと。週ごとに段階的に上げます。
• 実際のキャンペーンの量は、1つに無理をさせず複数のメールボックスに分散させること。
• 増量期間中は受信箱への配置を見張り、悪化したら押し切らずに増量を止めること。

Growmindrのアウトリーチとマーケティングオートメーションのモジュールは、ウォームアップ、ドメイン別スロットリング、送信時間帯をシーケンス本体と一緒に扱います。主な効用は、量の増加ペースとキャンペーンの予定がぶつからないようにすることです。

ハードバウンスは恒久的な拒否です。メールボックスが存在しないか、そのドメインがメールを一切受け付けていません。ソフトバウンスは一時的なもので、メールボックスが満杯、サーバーが混雑、グレイリスティングなど。あきらめる前に数回の再送を試す価値があります。

痛いのはハードバウンスのほうです。それは受信側の事業者に対して、あなたが自分のリストに誰が載っているのか把握していないと伝えます。それはスパム送信者を定義づける特徴そのものです。ハードバウンスしたアドレスは、直ちに恒久的に、すべての場所で除外し、二度と再送しないでください。

ハードバウンス率は、最悪でも数パーセント台前半に抑えてください。それを超えたら、観察する指標ではなく「止めて直す」シグナルとして扱います。原因が送信設定にあることはほとんどなく、リストにあります。シーケンスに入れる前にすべてのアドレスを検証し、数か月以上経ったリストは再検証し、info@、sales@、support@のような役職アドレスはコールドキャンペーンから外してください。バウンスしやすく、バウンスしない場合は苦情が多くなります。

率だけでなくパターンも読んでください。バウンスが1つの受信ドメインに集中しているなら、たいていはそのアドレスが無効なのではなく、そのドメインがあなたをブロックしています。別の問題であり、対処法も別です。

迷惑メール報告は、受信者が送れるもっとも強い否定シグナルです。事業者はこれを重く評価し、しかも素早く反応します。苦情率はパーセントの何分の一という単位で測られるため、許容範囲は多くの送信者が思うよりはるかに狭いのです。GoogleとYahooが公開している大量送信者向けの要件はいずれも、許容される率を1%よりかなり低く設定し、上限ぎりぎりではなく余裕を持って下回ることを求めています。

すべての事業者で苦情を見られるわけではありませんが、一部は見られます。提供されているところではフィードバックループに登録し、Gmail宛てのトラフィックについてはGoogle Postmaster Toolsでドメインレピュテーションと迷惑メール率を監視し、上昇の兆しは「興味深い」ではなく「緊急」として扱ってください。

肯定的なエンゲージメントも評価に効きます。だからこそ、量より関連性が勝ちます。もっとも強い肯定シグナルは返信で、次いで迷惑メールから移動された、スターを付けられた、フォルダに整理されたといった行動です。開かずに削除されるのは、軽い否定です。ある受信者から長期間まったく反応がないなら、それは5回目を試す理由ではなく、送信をやめる理由です。

ですから、反応のない相手は定期的に整理してください。直近数か月に反応した人だけを残したリストは、3倍の規模のリストを、受信箱配置でも返信数でも上回ります。

到達率は静かに劣化します。何かが変わり — 新しいツールが自社を名乗って送り始める、DNSの編集でレコードが消える、あるキャンペーンが苦情を集める — それを誰も知らせてくれません。月に30分あれば、そのほとんどを捕まえられます。

• 認証 — SPFが10ルックアップ以内で解決し、1つだけ存在すること。稼働中のすべての送信プラットフォームでDKIMが検証されること。DMARCレコードが意図したポリシーで存在すること。
• DMARCレポート — 自社ドメインを名乗る新しい送信元はないか。正当な送信元でアライメントに失敗しているものはないか。
• 逆引きDNS — 送信IPのPTRレコードがホスト名に解決し、そのホスト名が同じIPに戻ること。
• ブロックリスト — 主要な公開リストに対して、自社の送信ドメインとIPを確認します。
• バウンスと苦情の推移 — 単月の数値より、方向のほうが重要です。
• シードテスト — 実際のキャンペーンのメッセージを主要事業者の自分のアカウント宛てに送り、どこに着地するか記録します。
• 配信停止 — 大量送信にワンクリックのヘッダーが付いていること、そしてオプトアウトがすべてのキャンペーンで実際に除外されていること。

結果は毎月書き留めてください。1か月分の数字はほとんど何も語りませんが、同じ数字が6か月分あれば、問題がいつ始まったのかを正確に教えてくれます。そしてそれが、診断のほとんどです。