Dostarczalność e-maili: podstawy SPF, DKIM, DMARC i rozgrzewania

Dostarczalność to pytanie, czy wiadomość trafia do skrzynki odbiorczej — a nie czy serwer odbiorcy ją przyjął. To drugie nazywa się dostarczeniem i niemal każde narzędzie wysyłkowe raportuje je jako „dostarczono”. Wiadomość posortowana prosto do spamu też liczy się jako dostarczona. W tej szczelinie nadawcy tracą całe miesiące.

Dostawcy skrzynek decydują o miejscu docelowym każdej wiadomości na podstawie sygnałów z trzech grup. Tożsamość: czy da się udowodnić, kto to wysłał? Reputacja: jak odbiorcy reagowali wcześniej na pocztę z tej domeny i tego adresu IP? Treść: czy wiadomość wygląda jak poczta, na którą ludzie się skarżyli? Tożsamość załatwiają SPF, DKIM i DMARC i leży ona całkowicie w naszych rękach. Reputację zdobywa się wolno, a traci szybko. Treść waży najmniej — dlatego przepisywanie tematów rzadko naprawia problem z folderem docelowym.

Praktyczny wniosek: najpierw naprawiamy uwierzytelnienie, bo to popołudnie pracy z trwałym efektem, a potem wszystko traktujemy jako zarządzanie reputacją. Nie ma nagłówka, rekordu ani ustawienia, które sprawi, że poczta do złej listy trafi do skrzynki odbiorczej.

SPF to rekord TXT w domenie wymieniający serwery uprawnione do wysyłania poczty z jej użyciem. Minimalny rekord wygląda tak: v=spf1 include:_spf.your-provider.example ~all. Serwer odbiorcy bierze nadawcę koperty — Return-Path, a nie widoczny adres From — czyta rekord SPF tej domeny i sprawdza, czy łączący się adres IP jest autoryzowany.

Za większość porażek SPF odpowiadają trzy szczegóły:

• Limit dziesięciu odpytań. Każde include, a, mx i redirect kosztuje jedno odpytanie DNS, a zagnieżdżone include też się liczą. Powyżej dziesięciu rekord zwraca trwały błąd, który odbiorcy mogą potraktować jak niepowodzenie. Warto sprawdzać go przy każdym dokładanym narzędziu.
• Tylko jeden rekord. Dwa rekordy TXT SPF na tej samej domenie to błąd, a nie scalenie. Trzeba połączyć je w jeden.
• ~all kontra -all. Softfail oznacza pocztę nieautoryzowaną; hardfail prosi odbiorców o jej odrzucenie. Na -all przechodzimy dopiero wtedy, gdy mamy pewność, że każdy legalny nadawca jest wypisany.

SPF psuje się przy przekierowaniach poczty, bo adres IP serwera przekazującego nie figuruje w naszym rekordzie. Tego się nie da naprawić — i właśnie dlatego istnieje DKIM oraz dlatego DMARC akceptuje pozytywny wynik któregokolwiek z mechanizmów.

DKIM dokłada do nagłówków wiadomości podpis kryptograficzny. Klucz publiczny publikujemy jako rekord TXT pod selector._domainkey.twojadomena.pl; platforma wysyłkowa trzyma klucz prywatny i podpisuje każdą wiadomość. Odbiorca pobiera klucz publiczny, weryfikuje podpis i wie już, że wiadomość została autoryzowana przez domenę z tagu d= i nie została zmieniona po drodze.

Kwestie praktyczne:

• Warto użyć klucza 2048-bitowego wszędzie tam, gdzie hosting DNS to obsługuje. Klucz 1024-bitowy nadal się weryfikuje, ale jest opcją słabszą.
• Każdej platformie wysyłkowej dajemy własny selektor, żeby dało się jeden zrotować albo usunąć bez ruszania pozostałych.
• Domena podpisująca w d= powinna zgadzać się z domeną w polu From, bo inaczej DMARC nie zaliczy dopasowania, mimo że sam DKIM przeszedł pozytywnie.
• Klucze warto okresowo rotować, a selektory narzędzi, z których przestaliśmy korzystać, kasować — nieużywany klucz to stałe zaproszenie.

Ponieważ podpis podróżuje razem z wiadomością, DKIM przeżywa proste przekierowania, których SPF nie przeżywa. Gdyby trzeba było skonfigurować tylko jeden z dwóch, cenniejszy byłby DKIM. Mimo to konfigurujemy oba: odbiorcy ważą je różnie, a DMARC jest znacznie odporniejszy, gdy dopasowanie może unieść którykolwiek z nich.

DMARC wiąże SPF i DKIM z adresem, który faktycznie widzi czytelnik. Wiadomość przechodzi DMARC, gdy SPF albo DKIM wypada pozytywnie i domena, która się uwierzytelniła, zgadza się z domeną w polu From. To dopasowanie nazywa się alignment i właśnie o nim ludzie zapominają: wiadomość może wzorowo przejść SPF na domenie dostawcy i mimo to polec na DMARC, bo w nagłówku From stoi co innego.

Rekord to wpis TXT pod _dmarc.twojadomena.pl, na przykład v=DMARC1; p=none; rua=mailto:[email protected]. Tag polityki mówi odbiorcom, co robić z niepowodzeniami:

• p=none — wyłącznie monitorowanie. Tu zaczynamy, żeby zobaczyć, kto wysyła w naszym imieniu.
• p=quarantine — niepowodzenia idą do spamu. Przechodzimy tu, gdy raporty są czyste.
• p=reject — niepowodzenia są odrzucane wprost. Stan docelowy i ten, który uniemożliwia podszywanie się pod naszą domenę.

Raporty zbiorcze przychodzące na adres z rua mają format XML i czyta się je surowo bardzo nieprzyjemnie; wystarczy dowolny parser raportów DMARC. Warto czytać je przez kilka tygodni, zanim zaostrzymy politykę. Opublikowane wymagania Google i Yahoo wobec nadawców masowych oczekują dziś rekordu DMARC, dopasowanego uwierzytelnienia, wypisu jednym kliknięciem i niskiego odsetka skarg — więc przy większym wolumenie nic z tego nie jest opcjonalne.

Nowa domena nie ma reputacji, a brak reputacji dostawcy skrzynek traktują podejrzliwie. Rozgrzewanie buduje historię wysyłki: zaczynamy od kilku wiadomości na skrzynkę dziennie, zwiększamy stopniowo przez dwa do czterech tygodni i dbamy, żeby istotna część tej wczesnej poczty była otwierana i odpowiadana.

Rozgrzewanie ustala, że ta domena wysyła pocztę, z którą ludzie wchodzą w interakcję. Nie naprawi natomiast złej listy, nie wchłonie wysokiego odsetka odbić ani nie zrekompensuje skarg o spam. Kto ostrożnie rozgrzeje domenę, a potem puści z niej starą kupioną listę, ten po prostu rozgrzał się do szybszego spalenia.

Zasady praktyczne:

• Uwierzytelnienie robimy przed rozgrzewaniem, nie po. Nieuwierzytelniona poczta w trakcie rozgrzewania uczy odbiorców złej lekcji.
• Nie zwielokrotniamy wolumenu w dniu, w którym kończy się rozgrzewanie. Podnosimy go z tygodnia na tydzień.
• Realny wolumen kampanii rozkładamy na kilka skrzynek, zamiast dociskać jedną.
• W trakcie rozpędzania obserwujemy folder docelowy i wstrzymujemy wzrost, gdy zaczyna się psuć, zamiast przepychać go siłą.

Moduł outreachu i marketing automation w Growmindr obsługuje rozgrzewanie, limity na domenę i okna wysyłki razem z samymi sekwencjami, co pomaga głównie tym, że harmonogram kampanii i krzywa rozgrzewania przestają ze sobą walczyć.

Twarde odbicie to trwała odmowa: skrzynka nie istnieje albo domena w ogóle nie przyjmuje poczty. Miękkie odbicie jest tymczasowe — pełna skrzynka, zajęty serwer, greylisting — i warto kilka razy ponowić próbę, zanim się z niego zrezygnuje.

Bolą te twarde. Mówią dostawcy odbiorcy, że nie wiemy, kto jest na naszej liście, a to definicyjna cecha spamera. Każdy adres, który twardo odbija, trzeba natychmiast i trwale zablokować, wszędzie, i nigdy nie ponawiać.

Odsetek twardych odbić trzymamy w najgorszym razie na poziomie kilku procent, a wszystko powyżej traktujemy jako sygnał „stop i naprawiaj”, a nie jako metrykę do obserwowania. Lekarstwo prawie nigdy nie leży w konfiguracji wysyłki, tylko w liście. Każdy adres weryfikujemy przed wejściem do sekwencji, listy starsze niż kilka miesięcy weryfikujemy ponownie, a adresy funkcyjne w rodzaju info@, sales@ czy support@ trzymamy z dala od zimnych kampanii, bo częściej odbijają, a gdy nie odbijają, częściej się skarżą.

Warto czytać nie tylko wskaźnik, ale i wzorzec. Odbicia skupione na jednej domenie odbiorcy zwykle oznaczają, że ta domena nas blokuje, a nie że adresy są nieprawidłowe — to inny problem z innym rozwiązaniem.

Skarga o spam to najsilniejszy negatywny sygnał, jaki może wysłać odbiorca; dostawcy ważą go bardzo mocno i reagują szybko. Odsetki skarg mierzy się w ułamkach procenta, więc tolerancja jest znacznie węższa, niż zakłada większość nadawców — opublikowane wymagania Google i Yahoo wobec nadawców masowych ustawiają dopuszczalny poziom wyraźnie poniżej jednego procenta i oczekują, że nadawcy będą się trzymać z komfortowym zapasem, a nie tuż przy granicy.

Skarg nie widać u każdego dostawcy, ale u części tak. Warto zapisać się do feedback loopów tam, gdzie są oferowane, korzystać z Google Postmaster Tools do śledzenia reputacji domeny i odsetka spamu w ruchu do Gmaila, a każdy ruch w górę traktować jako pilny, a nie ciekawy.

Liczy się też pozytywne zaangażowanie i dlatego trafność bije wolumen. Najsilniejszym sygnałem dodatnim są odpowiedzi, dalej wiadomości wyjęte ze spamu, oznaczone gwiazdką albo przeniesione do folderu. Usunięcie bez otwarcia jest lekko negatywne. Długi okres bez żadnej reakcji odbiorcy to powód, żeby przestać do niego pisać, a nie żeby spróbować po raz piąty.

Dlatego regularnie przycinamy niereagujących. Lista, na której zostają tylko osoby z interakcją w ostatnich miesiącach, pobije listę trzy razy większą — i pod względem folderu docelowego, i pod względem odpowiedzi.

Dostarczalność psuje się po cichu. Coś się zmienia — nowe narzędzie zaczyna wysyłać w naszym imieniu, edycja DNS gubi rekord, jedna kampania ściąga skargi — i nic tego nie ogłasza. Pół godziny miesięcznie wyłapuje niemal wszystko.

• Uwierzytelnienie — SPF mieści się w dziesięciu odpytaniach i istnieje tylko raz; DKIM weryfikuje się dla każdej aktywnej platformy wysyłkowej; rekord DMARC jest na miejscu i z zamierzoną polityką.
• Raporty DMARC — czy pojawiło się nowe źródło wysyłające z naszej domeny? Czy jakieś legalne źródło nie przechodzi dopasowania?
• Odwrotny DNS — rekord PTR adresu IP rozwiązuje się do nazwy hosta, która rozwiązuje się z powrotem do niego.
• Listy blokad — sprawdzamy domeny wysyłkowe i adresy IP na głównych publicznych listach.
• Trend odbić i skarg — kierunek znaczy więcej niż liczba z pojedynczego miesiąca.
• Test na kontach kontrolnych — wysyłamy prawdziwą wiadomość kampanijną na własne konta u głównych dostawców i notujemy, gdzie ląduje.
• Wypis — nagłówek wypisu jednym kliknięciem jest obecny w poczcie masowej, a rezygnacje są naprawdę blokowane we wszystkich kampaniach.

Wynik zapisujemy co miesiąc. Jeden miesiąc liczb nie mówi prawie nic; sześć miesięcy tych samych liczb mówi dokładnie, kiedy zaczął się problem — a to zwykle większość diagnozy.