Maile z firmowej domeny trafiają do spamu: przyczyny i naprawa

Najpierw ustal, czy to problem domeny

Wyślij wiadomość ze swojej skrzynki na konto Gmail. W Gmailu otwórz ją, wybierz "Pokaż oryginał" i spójrz na trzy wiersze: SPF, DKIM i DMARC. Każdy powinien mieć wynik PASS. Jeśli któryś ma FAIL, NONE albo w ogóle go nie ma, przyczyna leży w DNS domeny i poprawki poniżej ją usuną.

Jeśli wszystkie trzy mają PASS, a wiadomości dalej trafiają do spamu, problemem jest raczej reputacja serwera albo treść. O tym niżej.

Najczęstsze przyczyny techniczne

• Brak rekordu SPF albo dwa rekordy SPF naraz. Przy dwóch rekordach odbiorca zgłasza błąd trwały (permerror) i SPF nie przechodzi.
• SPF bez jednego z nadawców. Poczta idzie od dostawcy skrzynek, ale faktury z programu księgowego, newsletter albo formularz ze strony wychodzą z innych serwerów, których w SPF nie ma.
• Za dużo odwołań w SPF. Specyfikacja pozwala na 10 mechanizmów wymagających zapytania DNS (include, a, mx, ptr, exists, redirect), liczonych razem z tymi, które kryją się w rekordach dostawców. Po dopisaniu trzech-czterech usług limit łatwo przekroczyć, a wtedy SPF przestaje działać.
• Wyłączony DKIM. Większość dostawców poczty ma podpis DKIM, ale trzeba go włączyć w panelu i opublikować klucz w DNS.
• Brak DMARC. Gmail od 1 lutego 2024 r. wymaga od nadawców wysyłających ponad 5000 wiadomości dziennie do kont Gmail SPF, DKIM i DMARC (wystarczy polityka p=none). Od wszystkich pozostałych wymaga co najmniej SPF albo DKIM. Podobne zasady ma Yahoo. Mała firma rzadko przekracza ten próg, ale z rozwojem łatwo go przekroczyć, a DMARC i tak chroni przed podszywaniem.
• Własny serwer pocztowy bez rekordu PTR (odwrotny DNS) albo z adresem IP na liście blokad. Dotyczy firm, które wysyłają pocztę z własnego serwera lub ze strony WWW na hostingu współdzielonym.

Naprawa krok po kroku

1. Zrób darmowy audyt domeny (formularz niżej). Zobaczysz stan SPF, DKIM, DMARC i szyfrowania serwera pocztowego.
2. Spisz wszystkie usługi, które wysyłają pocztę z adresem w Twojej domenie: skrzynki, program do faktur, sklep, CRM, newsletter, formularz kontaktowy.
3. Zbuduj jeden rekord SPF, który obejmuje je wszystkie, i zakończ go "-all" albo na czas przeglądu "~all". Sprawdź go narzędziem SPF.
4. Włącz DKIM u każdego dostawcy, który na to pozwala, i dodaj jego rekordy w DNS.
5. Dodaj DMARC z polityką p=none i adresem do raportów (rua). Po kilku tygodniach raportów, gdy wiesz, że cała prawdziwa poczta przechodzi, zaostrz politykę. Szczegóły: poradnik DMARC.
6. Jeśli wysyłasz dużo wiadomości do skrzynek Gmail, załóż konto w Google Postmaster Tools. Pokazuje odsetek wiadomości oznaczanych przez użytkowników Gmaila jako spam i zgodność z wymaganiami Gmaila. Dane pojawiają się dopiero przy większym ruchu.

Kiedy DNS nie wystarczy

Poprawne SPF, DKIM i DMARC nie gwarantują skrzynki odbiorczej. Filtry oceniają też historię nadawcy i zachowanie odbiorców. Wiadomości do kupionej bazy adresów, brak łatwego wypisu przy newsletterze albo nagły skok liczby wysyłek z nowej domeny psują reputację niezależnie od ustawień. Masową wysyłkę warto prowadzić z osobnej subdomeny (np. news.twojafirma.pl), żeby jej problemy nie dotykały zwykłej korespondencji.