Entregabilidade de email: SPF, DKIM, DMARC e aquecimento

Entregabilidade de email é saber se a sua mensagem chega à caixa de entrada — e não se o servidor de destino a aceitou. Essa segunda coisa chama-se entrega, e quase todas as ferramentas de envio a reportam como ‘entregue’. Uma mensagem despejada diretamente na pasta de spam conta como entregue. É nessa distância que os remetentes perdem meses.

Os fornecedores de caixa de correio decidem a colocação mensagem a mensagem, a partir de sinais de três grupos. Identidade: conseguem provar quem enviou isto? Reputação: como reagiram os destinatários ao correio deste domínio e deste IP no passado? Conteúdo: a mensagem parece-se com correio de que as pessoas se queixaram? A identidade resolve-se com SPF, DKIM e DMARC e está inteiramente sob o seu controlo. A reputação ganha-se devagar e perde-se depressa. O conteúdo é o que menos pesa — e é por isso que reescrever linhas de assunto raramente resolve um problema de colocação.

A consequência prática: trate primeiro da autenticação, porque é uma tarde de trabalho com retorno permanente, e depois trate tudo o resto como gestão de reputação. Não existe cabeçalho, registo ou definição que faça correio dirigido a uma lista má cair na caixa de entrada.

O SPF é um registo TXT no seu domínio que lista os servidores autorizados a enviar correio com ele. Um registo mínimo tem este aspeto: v=spf1 include:_spf.your-provider.example ~all. O servidor de destino pega no remetente do envelope — o Return-Path, e não o endereço De visível —, lê o registo SPF desse domínio e verifica se o IP que estabelece a ligação está autorizado.

Três pormenores explicam a maior parte das falhas de SPF:

• O limite de dez consultas. Cada include, a, mx e redirect custa uma consulta de DNS, e os includes aninhados também contam. Passe dos dez e o registo devolve um erro permanente, que os destinatários podem tratar como falha. Volte a verificar sempre que acrescentar uma ferramenta.
• Um registo apenas. Dois registos TXT de SPF no mesmo domínio são um erro, não uma fusão. Junte-os num só.
• ~all contra -all. O softfail marca o correio não autorizado; o hardfail pede aos destinatários que o rejeitem. Só passe a -all quando tiver a certeza de que todos os remetentes legítimos estão listados.

O SPF quebra no reencaminhamento, porque o IP do servidor que reencaminha não está no seu registo. Não é uma falha que possa corrigir, e é precisamente por isso que o DKIM existe e que o DMARC aceita um resultado positivo de qualquer um dos dois mecanismos.

O DKIM acrescenta uma assinatura criptográfica aos cabeçalhos da mensagem. Publica uma chave pública como registo TXT em selector._domainkey.yourdomain.com; a sua plataforma de envio guarda a chave privada e assina cada mensagem. O destinatário vai buscar a chave pública, verifica a assinatura e fica a saber que a mensagem foi autorizada pelo domínio indicado na etiqueta d= e não foi alterada em trânsito.

Pontos práticos:

• Use uma chave de 2048 bits sempre que o seu fornecedor de DNS o permita. A de 1024 bits continua a verificar, mas é a opção mais fraca.
• Dê a cada plataforma de envio o seu próprio seletor, para poder rodar ou remover um sem mexer nos outros.
• O domínio de assinatura em d= deve coincidir com o domínio do seu De, ou o alinhamento DMARC falha mesmo com o DKIM a validar.
• Rode as chaves periodicamente e apague os seletores de ferramentas que deixou de usar — uma chave sem uso é um convite permanente.

Como a assinatura viaja com a mensagem, o DKIM sobrevive a reencaminhamentos simples onde o SPF não sobrevive. Se só fosse configurar um dos dois, o DKIM seria o mais valioso. Configure os dois de qualquer forma: os destinatários pesam-nos de maneira diferente, e o DMARC é muito mais robusto quando qualquer um deles pode sustentar o alinhamento.

O DMARC liga o SPF e o DKIM ao endereço que o leitor vê de facto. Uma mensagem passa no DMARC quando o SPF ou o DKIM passa e o domínio que autenticou coincide com o domínio do De. A essa coincidência chama-se alinhamento, e é a parte que escapa às pessoas: uma mensagem pode passar perfeitamente no SPF sobre o domínio de um fornecedor e ainda assim falhar o DMARC porque o cabeçalho De diz outra coisa.

O registo é uma entrada TXT em _dmarc.yourdomain.com, por exemplo v=DMARC1; p=none; rua=mailto:[email protected]. A etiqueta de política diz aos destinatários o que fazer com as falhas:

• p=none — apenas monitorizar. Comece por aqui, para ver quem envia em seu nome.
• p=quarantine — as falhas vão para o spam. Passe a esta fase quando os relatórios estiverem limpos.
• p=reject — as falhas são recusadas em definitivo. É o estado a que quer chegar, e o que impede outros de falsificar o seu domínio.

Os relatórios agregados que chegam ao endereço indicado em rua são XML e desagradáveis de ler em bruto; qualquer analisador de relatórios DMARC serve. Leia-os durante algumas semanas antes de apertar a política. Os requisitos publicados pela Google e pelo Yahoo para remetentes de volume já esperam um registo DMARC, autenticação alinhada, cancelamento de subscrição num clique e taxas de queixa baixas — por isso nada disto é arrumação opcional a partir do momento em que envia em volume.

Um domínio novo não tem reputação, e os fornecedores de caixa de correio tratam a ausência de reputação com desconfiança. O aquecimento constrói um histórico de envio: comece com um punhado de mensagens por caixa e por dia, aumente gradualmente ao longo de duas a quatro semanas e garanta que uma parte significativa desse correio inicial é aberta e respondida.

O que o aquecimento faz é estabelecer que este domínio envia correio com que as pessoas interagem. O que não consegue fazer é reparar uma lista má, absorver uma taxa de bounce alta ou compensar queixas de spam. Aqueça um domínio com todo o cuidado e depois envie-lhe uma lista comprada e velha, e terá apenas aquecido caminho para arder mais depressa.

Regras práticas:

• Autentique antes de aquecer, não depois. Correio não autenticado durante o aquecimento ensina a lição errada aos destinatários.
• Não multiplique o volume no dia em que o aquecimento acaba. Suba semana a semana.
• Distribua o volume real de campanha por várias caixas de correio em vez de forçar uma só.
• Vigie a colocação na caixa de entrada durante a subida e suspenda-a quando piorar, em vez de insistir.

O módulo de outreach e marketing automation da Growmindr trata do aquecimento, da limitação por domínio e das janelas de envio a par das próprias sequências, o que ajuda sobretudo por evitar que a subida de volume e o calendário das campanhas entrem em conflito.

Um hard bounce é uma rejeição permanente: a caixa de correio não existe, ou o domínio não aceita correio de todo. Um soft bounce é temporário — caixa cheia, servidor ocupado, greylisting — e merece algumas tentativas antes de desistir dele.

Os hard bounces são os que doem. Dizem ao fornecedor de destino que não sabe quem está na sua lista, que é a característica que define um spammer. Qualquer endereço que dê hard bounce deve ser suprimido de forma permanente e imediata, em todo o lado, e nunca mais tentado.

Mantenha a taxa de hard bounce, na pior das hipóteses, na casa das unidades, e trate qualquer valor acima disso como sinal de parar e corrigir, e não como métrica para observar. A correção quase nunca está na configuração de envio; está na lista. Verifique todos os endereços antes de entrarem numa sequência, volte a verificar listas com mais de alguns meses e mantenha endereços de função como info@, sales@ e support@ fora das campanhas frias, já que dão mais bounces e, quando não dão, queixam-se mais.

Leia o padrão e não apenas a taxa. Bounces concentrados num único domínio de destino significam normalmente que esse domínio o bloqueia, e não que aqueles endereços sejam inválidos — um problema diferente, com uma correção diferente.

Uma queixa de spam é o sinal negativo mais forte que um destinatário pode enviar, os fornecedores dão-lhe muito peso e agem depressa. As taxas de queixa medem-se em frações de um por cento, por isso a tolerância é muito mais apertada do que a maioria dos remetentes imagina — os requisitos publicados pela Google e pelo Yahoo para remetentes de volume fixam ambos a taxa aceitável bem abaixo de um por cento e esperam que os remetentes fiquem confortavelmente abaixo do limite, e não colados a ele.

Não consegue ver as queixas em todos os fornecedores, mas consegue ver algumas. Inscreva-se nos feedback loops onde existirem, use o Google Postmaster Tools para acompanhar a reputação do domínio e a taxa de spam no tráfego para o Gmail, e trate qualquer subida como urgente e não como curiosidade.

A interação positiva também conta, e é por isso que a relevância vence o volume. As respostas são o sinal positivo mais forte, seguidas das mensagens retiradas do spam, marcadas com estrela ou arquivadas. Apagar sem abrir é ligeiramente negativo. Um longo período sem qualquer interação de um destinatário é razão para deixar de lhe escrever, não para tentar uma quinta vez.

Portanto, limpe os inativos com regularidade. Uma lista que guarda apenas quem interagiu nos últimos meses supera uma lista com o triplo do tamanho, tanto na colocação como nas respostas.

A entregabilidade degrada-se em silêncio. Alguma coisa muda — uma ferramenta nova começa a enviar em seu nome, uma alteração de DNS deixa cair um registo, uma campanha atrai queixas — e nada o anuncia. Meia hora por mês apanha quase tudo.

• Autenticação — o SPF resolve dentro das dez consultas e existe uma única vez; o DKIM valida em todas as plataformas de envio ativas; o registo DMARC está presente com a política que pretendia.
• Relatórios DMARC — alguma fonte nova envia em nome do seu domínio? Alguma fonte legítima falha o alinhamento?
• DNS inverso — o registo PTR do IP de envio resolve para um nome que resolve de volta para ele.
• Listas de bloqueio — verifique os seus domínios e IPs de envio nas principais listas públicas.
• Tendência de bounces e queixas — a direção importa mais do que o número de um mês isolado.
• Teste com contas-sonda — envie uma mensagem real de campanha para as suas próprias contas nos principais fornecedores e registe onde aterra.
• Cancelamento de subscrição — o cabeçalho de um clique está presente no correio de volume e as recusas são mesmo suprimidas em todas as campanhas.

Escreva o resultado todos os meses. Um mês de números não lhe diz quase nada; seis meses dos mesmos números dizem-lhe exatamente quando o problema começou, o que costuma ser a maior parte do diagnóstico.