De ce ajunge e-mailul în spam

Modulul 4: Livrabilitate: SPF, DKIM și DMARC în practică · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea să numiți cele patru straturi pe care un destinatar evaluează un mesaj primit, să explicați de ce „la mine ajunge” nu dovedește nimic și să stabiliți, cu ajutorul unui test, în care strat se află o problemă.

Concepte cheie: livrabilitate (deliverability), livrare vs. ajungere în inbox, curățenie tehnică, autentificare (SPF, DKIM, DMARC), aliniere, reputație IP, reputație de domeniu, conținut, comportamentul destinatarilor (plângeri, deschideri, ștergeri), filtre specifice fiecărui destinatar, Authentication-Results, mesaj de test, instrumente de măsurare

Livrat nu este același lucru cu ajuns

Dacă serverul dumneavoastră a predat un mesaj serverului destinatarului, iar acesta a răspuns cu 250 OK, atunci mesajul a fost livrat. Cu aceasta încă nu știți dacă el se află în Inbox. Serverul destinatar îl poate pune ulterior în folderul de spam, într-un tab „Reclame”, în carantină sau îl poate arunca în mod silențios.

Livrabilitatea (în engleză deliverability) se referă la acest al doilea pas: ajunge mesajul dumneavoastră unde trebuie? Iar această decizie o ia fiecare destinatar în parte. Gmail cântărește altfel decât Microsoft, iar o companie cu propriul filtru de spam cântărește din nou altfel. Nu există o listă centrală de reguli. Totuși, straturile pe baza cărora evaluează sunt peste tot aproximativ aceleași.

Stratul 1: curățenia tehnică

Înainte ca un filtru să se uite la conținut, se uită la conexiune:

• Are adresa IP a serverului expeditor un reverse DNS (PTR) corect, care indică înapoi către aceeași adresă? (Lecția 5.1.)
• Se prezintă serverul corect, cu un nume real în EHLO?
• Este conexiunea criptată cu TLS?
• Respectă serverul regulile SMTP și încearcă din nou după o refuzare temporară?

La o căsuță poștală a unei companii de găzduire sau a unui serviciu mare de e-mail, aceasta este aproape întotdeauna în regulă. Devine o problemă dacă administrați dumneavoastră înșivă un server, cum ar fi un VPS care trimite direct e-mail, sau o imprimantă sau o cameră care trimite ea însăși e-mail.

Stratul 2: autentificarea

Acesta este stratul în care, ca administrator de domeniu, puteți interveni cel mai mult și despre care tratează acest modul:

• SPF (lecția 4.2): are acest server permisiunea de a trimite e-mail în numele domeniului?
• DKIM (lecția 4.3): este mesajul semnat și este semnătura corectă?
• DMARC (lecția 4.4): corespunde verificarea reușită cu domeniul din adresa De la (aliniere) și ce trebuie să facă destinatarul dacă nu este cazul?

Baza acestor trei înregistrări se află în cursul DNS, modulul 4. Aici este vorba despre practică: identificarea tuturor serviciilor care trimit e-mail în numele dumneavoastră și înăsprirea treptată a politicii.

Dacă lipsește autentificarea, evaluarea scade. Din 2024 și 2025, la marii destinatari aceasta este și o cerință fermă: Gmail, Yahoo și Microsoft cer cel puțin SPF sau DKIM de la toată lumea, iar de la expeditorii de mesaje în masă cer SPF, DKIM și DMARC cu aliniere. Acest subiect este tratat pe larg în lecția 5.3.

Stratul 3: reputația

Un destinatar își amintește ce a primit anterior de la un expeditor. În acest sens se uită la:

• Reputația IP: ce a venit anterior de la această adresă IP? La găzduirea partajată și la serviciile mari de e-mail, mulți expeditori împart o adresă IP; un singur expeditor rău poate afecta astfel pe toată lumea. O adresă IP nouă, fără istoric, este tratată cu prudență.
• Reputația de domeniu: ce a venit anterior de la acest domeniu (domeniul din adresa De la și domeniul DKIM)? Aceasta cântărește din ce în ce mai mult, tocmai pentru că DKIM și DMARC fac un domeniu recunoscut în mod fiabil. O reputație bună de domeniu o păstrați atunci când schimbați serverul.
• Liste de blocare (blocklists): liste publice cu adrese IP sau domenii care au trimis spam (lecția 5.2).

Reputația se construiește încet și se pierde rapid.

Stratul 4: conținutul și comportamentul

Abia la final un filtru se uită la mesajul în sine și la ce fac destinatarii cu el:

• Conținutul: linkuri către domenii cu reputație proastă, linkuri scurtate, doar o imagine mare fără text, atașamente cu macrocomenzi, un subiect care nu are nicio legătură cu conținutul, formatare defectă.
• Comportamentul destinatarilor: acesta cântărește cel mai mult la serviciile mari de e-mail. Dacă mulți destinatari dau clic pe „Acesta este spam”, reputația dumneavoastră scade. Dacă mesajele dumneavoastră sunt deschise, primesc răspuns sau sunt scoase din folderul de spam, reputația crește. Gmail dorește ca mai puțin de 0,3% dintre destinatari să marcheze mesajul dumneavoastră drept spam, și preferabil mai puțin de 0,1%.

Ideea că anumite „cuvinte de spam” izolate precum gratis sau ofertă vă blochează mesajul este, în mare parte, un mit. Filtrele moderne evaluează ansamblul. Un newsletter cu cuvântul gratis, trimis de un expeditor cu autentificare bună și reputație bună, ajunge fără probleme; un text corect, trimis de pe un server necunoscut fără SPF, nu.

De ce „la mine ajunge” nu dovedește nimic

Trimiteți un mesaj de test către propria dumneavoastră adresă Gmail și acesta ajunge în Inbox. Deci totul este în regulă? Nu neapărat:

• Probabil ați schimbat deja mesaje cu acea adresă. Un filtru are mai multă încredere într-un expeditor cu care aveți deja contact.
• Un destinatar nu este la fel ca altul. Microsoft poate refuza un mesaj pe care Gmail îl acceptă.
• Un mesaj nu este la fel ca o mie. Un newsletter trimis la o mie de adrese este evaluat diferit față de un mesaj izolat.

Un mesaj de test este totuși util, dar pentru a citi antetele (lecția 1.5). Acolo scrie exact ce a constatat destinatarul:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Aici toate trei reușesc. Dacă apare spf=softfail, dkim=none sau dmarc=fail, atunci știți în care strat trebuie să căutați. Astfel stabiliți problema în loc să ghiciți.

O abordare în trei pași

1. Verificați-vă DNS-ul cu un instrument care examinează MX, SPF, DKIM, DMARC și listele de blocare. Exemple: E-mailcheck și Domain health de la WebOké, internet.nl, MXToolbox. Acestea arată ce se află în DNS, dar nu modul în care este evaluat un mesaj real.
2. Trimiteți un mesaj de test real către o adresă la Gmail și la Outlook.com, sau către un serviciu de testare precum mail-tester, și citiți antetele sau raportul. Astfel vedeți dacă mesajul trece în practică de SPF, DKIM și DMARC.
3. Priviți reputația și comportamentul dacă tehnica este corectă: se află adresa dumneavoastră IP pe o listă de blocare? Trimiteți newslettere către persoane care au solicitat acest lucru? Ca expeditor mare, puteți urmări situația în Google Postmaster Tools și Microsoft SNDS.

În practică: așa arată într-un panou

Pe site-ul WebOké se află E-mailcheck gratuit (www.weboke.ro/emailcheck): introduceți un domeniu și vedeți un scor cu MX, SPF, DMARC și verificarea listei de blocare a primului server de e-mail, însoțite de recomandări. În Contul meu WebOké, Domain health verifică același lucru pentru propriile dumneavoastră domenii, cu butoane de reparare. Acestea sunt doar două instrumente dintre multe; internet.nl și MXToolbox fac verificări similare, iar fiecare furnizor are propria sa versiune. Folosiți mai multe în paralel: niciun instrument nu vede totul.

Rezumat

• Livrat înseamnă doar că serverul destinatar a acceptat mesajul; dacă ajunge în inbox decide destinatarul.
• Destinatarii evaluează în patru straturi: tehnică, autentificare, reputație și conținut/comportament.
• Autentificarea (SPF, DKIM, DMARC) este în mâinile dumneavoastră și reprezintă o cerință fermă la marii destinatari.
• Plângerile destinatarilor cântăresc mai mult decât cuvinte izolate din textul dumneavoastră.
• Citiți antetul Authentication-Results al unui mesaj de test pentru a vedea unde apare problema.

Quiz

Exercițiu

Exercițiul Z4.1: Verificarea domeniului dumneavoastră prin testul de e-mail. Introduceți propriul dumneavoastră domeniu (sau, dacă nu aveți unul, internet.nl). Programul verifică MX, SPF, selectoarele DKIM pe care le poate găsi, DMARC și verificarea listei de blocare a primului server de e-mail. Completați apoi singuri: ce final SPF are domeniul, ce politică DMARC are, și dacă primul server de e-mail se află pe o listă de blocare. Programul pune răspunsurile dumneavoastră alături de rezultatul live. Explicați într-o singură propoziție în care dintre cele patru straturi domeniul dumneavoastră are cel mai mult de câștigat.

Lectură suplimentară

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori funcționează similar.

• Manual WebOké 7.4: E-mailul nu ajunge la destinație: verificați singur
• E-mailul dumneavoastră nu ajunge sau ajunge în spam: iată cum identificați problema
• Manual DirectAdmin 9.4: Mesajele mele ajung la spam la destinatar
• Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
• E-mailcheck: https://www.weboke.ro/verificare-email
• Google, Email sender guidelines: https://support.google.com/a/answer/81126