E-mail deliverability: SPF, DKIM, DMARC en opwarming

E-mail deliverability is de vraag of uw bericht de inbox bereikt — niet of de ontvangende server het heeft geaccepteerd. Dat tweede heet aflevering, en vrijwel elke verzendtool rapporteert dat als ‘afgeleverd’. Een bericht dat regelrecht in de spammap wordt gesorteerd, telt dus mee als afgeleverd. In dat gat verliezen afzenders maanden.

Mailboxproviders bepalen per bericht waar het landt, aan de hand van signalen in drie groepen. Identiteit: kunnen zij vaststellen wie dit heeft verstuurd? Reputatie: hoe hebben ontvangers eerder gereageerd op post van dit domein en dit IP-adres? Inhoud: lijkt het bericht op post waarover mensen hebben geklaagd? Identiteit regelt u met SPF, DKIM en DMARC en ligt volledig in uw eigen hand. Reputatie bouwt u langzaam op en bent u snel kwijt. Inhoud weegt het minst — daarom lost het herschrijven van onderwerpregels zelden een plaatsingsprobleem op.

De praktische conclusie: regel eerst de authenticatie, want dat is één middag werk met een blijvend resultaat. Alles daarna is reputatiebeheer. Er bestaat geen header, record of instelling die post naar een slechte lijst alsnog in de inbox krijgt.

SPF is een TXT-record op uw domein met daarin de servers die namens dat domein post mogen versturen. Een minimaal record ziet er zo uit: v=spf1 include:_spf.your-provider.example ~all. De ontvangende server neemt de envelopafzender — het Return-Path, niet het zichtbare From-adres — leest het SPF-record van dat domein en controleert of het verbindende IP-adres is toegestaan.

Drie details veroorzaken de meeste SPF-fouten:

• De limiet van tien lookups. Elke include, a, mx en redirect kost een DNS-lookup, en geneste includes tellen ook mee. Boven de tien geeft het record een permanente fout, die ontvangers als een mislukking mogen behandelen. Controleer het opnieuw zodra u een tool toevoegt.
• Slechts één record. Twee SPF-TXT-records op hetzelfde domein is een fout, geen samenvoeging. Combineer ze tot één record.
• ~all versus -all. Softfail markeert ongeautoriseerde post; hardfail vraagt ontvangers die te weigeren. Stap pas over op -all wanneer u zeker weet dat elke legitieme afzender in het record staat.

SPF sneuvelt bij doorsturen, omdat het IP-adres van de doorstuurserver niet in uw record staat. Dat is geen fout die u kunt herstellen, en precies daarom bestaat DKIM en accepteert DMARC een pass van elk van beide mechanismen.

DKIM voegt een cryptografische handtekening toe aan de berichtheaders. U publiceert een publieke sleutel als TXT-record op selector._domainkey.yourdomain.com; uw verzendplatform bewaart de private sleutel en ondertekent elk bericht. De ontvanger haalt de publieke sleutel op, verifieert de handtekening en weet daarmee dat het bericht is geautoriseerd door het domein in de d=-tag en onderweg niet is gewijzigd.

Praktische punten:

• Gebruik een 2048-bits sleutel wanneer uw DNS-provider dat ondersteunt. 1024 bits verifieert nog steeds, maar is de zwakkere keuze.
• Geef elk verzendplatform een eigen selector, zodat u er één kunt roteren of verwijderen zonder de andere aan te raken.
• Het ondertekenende domein in d= hoort overeen te komen met uw From-domein, anders mislukt de DMARC-uitlijning terwijl DKIM zelf wél slaagde.
• Roteer sleutels periodiek en verwijder selectors van tools die u niet meer gebruikt — een ongebruikte sleutel is een open uitnodiging.

Omdat de handtekening met het bericht meereist, overleeft DKIM eenvoudig doorsturen waar SPF dat niet doet. Zou u er maar één van de twee inrichten, dan was DKIM de waardevolste. Richt ze toch allebei in: ontvangers wegen ze verschillend, en DMARC is veel robuuster wanneer beide de uitlijning kunnen dragen.

DMARC koppelt SPF en DKIM aan het adres dat de lezer daadwerkelijk ziet. Een bericht slaagt voor DMARC wanneer SPF of DKIM slaagt én het domein dat zich heeft geauthenticeerd overeenkomt met het From-domein. Die overeenkomst heet uitlijning, en dat is precies het deel dat mensen over het hoofd zien: een bericht kan foutloos slagen voor SPF op het domein van een provider en tóch zakken voor DMARC, omdat de From-header iets anders vermeldt.

Het record is een TXT-vermelding op _dmarc.yourdomain.com, bijvoorbeeld v=DMARC1; p=none; rua=mailto:[email protected]. De beleidstag vertelt ontvangers wat zij met fouten moeten doen:

• p=none — alleen monitoren. Begin hier, zodat u ziet wie er namens u verstuurt.
• p=quarantine — fouten gaan naar spam. Stap hierop over zodra de rapporten schoon zijn.
• p=reject — fouten worden regelrecht geweigerd. De eindsituatie, en de enige die anderen belet uw domein te vervalsen.

De geaggregeerde rapporten die op uw rua-adres binnenkomen zijn XML en onprettig om ongefilterd te lezen; elke DMARC-rapportparser volstaat. Lees ze een paar weken voordat u het beleid aanscherpt. De gepubliceerde eisen van Google en Yahoo voor bulkverzenders gaan inmiddels uit van een DMARC-record, uitgelijnde authenticatie, afmelden met één klik en lage klachtpercentages — zodra u op volume verstuurt, is dit dus geen optioneel huishoudelijk werk meer.

Een nieuw domein heeft geen reputatie, en mailboxproviders bekijken het ontbreken van reputatie met argwaan. Opwarming bouwt een verzendhistorie op: begin met een handvol berichten per mailbox per dag, verhoog dat geleidelijk over twee tot vier weken, en zorg dat een betekenisvol deel van die eerste post wordt geopend en beantwoord.

Wat opwarming doet, is aantonen dat dit domein post verstuurt waarmee mensen iets doen. Wat het niet kan, is een slechte lijst repareren, een hoog bouncepercentage opvangen of spamklachten compenseren. Warmt u een domein zorgvuldig op en stuurt u er vervolgens een verouderde gekochte lijst mee, dan hebt u zich alleen maar sneller opgebrand.

Praktische regels:

• Authenticeer vóór de opwarming, niet erna. Niet-geauthenticeerde post tijdens de opwarming leert ontvangers precies het verkeerde.
• Verveelvoudig het volume niet op de dag dat de opwarming eindigt. Bouw het week na week op.
• Verdeel het echte campagnevolume over meerdere mailboxen in plaats van er één zwaar te belasten.
• Houd de inboxplaatsing in de gaten tijdens het opschalen en pauzeer zodra die terugloopt, in plaats van door te drukken.

De module voor outreach en marketing automation van Growmindr regelt opwarming, throttling per domein en verzendvensters naast de reeksen zelf. Dat helpt vooral doordat de volumeopbouw en de campagneplanning elkaar niet langer in de weg zitten.

Een hard bounce is een permanente weigering: de mailbox bestaat niet, of het domein accepteert helemaal geen post. Een soft bounce is tijdelijk — volle mailbox, drukke server, greylisting — en een paar nieuwe pogingen waard voordat u het opgeeft.

De harde bounces zijn de pijnlijke. Ze vertellen de ontvangende provider dat u niet weet wie er op uw lijst staat, en dat is het kenmerk bij uitstek van een spammer. Elk adres dat hard bouncet, hoort onmiddellijk en permanent te worden onderdrukt, overal, en nooit opnieuw te worden geprobeerd.

Houd het percentage harde bounces hooguit in de lage enkele procenten en behandel alles daarboven als een signaal om te stoppen en te repareren, niet als een cijfer om te observeren. De oplossing ligt vrijwel nooit in de verzendinstellingen, maar in de lijst. Verifieer elk adres voordat het in een reeks terechtkomt, verifieer lijsten die ouder zijn dan een paar maanden opnieuw, en houd rolgebonden adressen als info@, sales@ en support@ buiten cold campagnes: die bouncen vaker en klagen vaker wanneer ze dat niet doen.

Lees het patroon net zo goed als het percentage. Bounces die zich concentreren op één ontvangend domein betekenen meestal dat dat domein u blokkeert, niet dat die adressen ongeldig zijn — een ander probleem met een andere oplossing.

Een spamklacht is het sterkste negatieve signaal dat een ontvanger kan afgeven, providers wegen die zwaar en zij grijpen snel in. Klachtpercentages worden in fracties van een procent gemeten, dus de tolerantie is veel krapper dan de meeste afzenders aannemen — de gepubliceerde eisen van Google en Yahoo voor bulkverzenders leggen het aanvaardbare percentage allebei ruim onder één procent en verwachten dat afzenders er comfortabel onder blijven in plaats van er tegenaan te zitten.

U kunt klachten niet bij elke provider zien, maar wel bij een aantal. Meld u aan voor feedbackloops waar die worden aangeboden, gebruik Google Postmaster Tools om domeinreputatie en spampercentage voor Gmail-verkeer te volgen, en behandel elke stijging als urgent in plaats van als interessant.

Positieve interactie telt eveneens mee, en daarom wint relevantie het van volume. Antwoorden zijn het sterkste positieve signaal, gevolgd door berichten die uit spam worden gehaald, van een ster worden voorzien of worden opgeborgen. Verwijderen zonder openen is licht negatief. Een lange periode zonder enige interactie van een ontvanger is een reden om te stoppen met mailen, niet om het een vijfde keer te proberen.

Schoon uw lijst dus volgens een vast schema op. Een lijst die alleen mensen bevat die de afgelopen maanden hebben gereageerd, presteert beter dan een lijst die drie keer zo groot is — zowel op plaatsing als op antwoorden.

Deliverability verslechtert geruisloos. Er verandert iets — een nieuwe tool gaat namens u verzenden, een DNS-wijziging laat een record vallen, één campagne trekt klachten aan — en niets kondigt dat aan. Met een half uur per maand vangt u vrijwel alles op.

• Authenticatie — SPF blijft binnen tien lookups en bestaat precies één keer; DKIM verifieert voor elk actief verzendplatform; het DMARC-record staat er, met het beleid dat u bedoeld hebt.
• DMARC-rapporten — is er een nieuwe bron die namens uw domein verstuurt? Zakt een legitieme bron op de uitlijning?
• Reverse DNS — het PTR-record van het verzendende IP-adres verwijst naar een hostnaam die daar weer naar terugverwijst.
• Blokkeerlijsten — controleer uw verzenddomeinen en IP-adressen tegen de grote openbare lijsten.
• Trend in bounces en klachten — de richting zegt meer dan het cijfer van één losse maand.
• Seed-test — stuur een echt campagnebericht naar uw eigen accounts bij de grote providers en noteer waar het landt.
• Afmelden — de one-click-header staat op bulkpost, en afmeldingen worden in elke campagne daadwerkelijk onderdrukt.

Noteer de uitkomst elke maand. Eén maand cijfers zegt vrijwel niets; zes maanden dezelfde cijfers vertellen u precies wanneer het probleem begon, en dat is doorgaans het grootste deel van de diagnose.