SPF, DKIM și DMARC: de ce nu ajung emailurile tale

O firmă B2B mi-a povestit într-un apel cum a trimis 185 de emailuri pe 5 domenii diferite. Zero răspunsuri. Concluzia lor era că textul nu e bun, așa că se pregăteau să îl rescrie.

Trackingul nu fusese pornit niciodată, iar livrarea nu fusese verificată. Cele 185 de mesaje fără răspuns nu spuneau singure unde era problema. Înainte să schimbe textul, aveau de verificat traseul mesajelor: sunt acceptate de serverul destinatarului, ajung în spam sau în inbox?

SPF, DKIM și DMARC sunt o parte din verificare. Ajută serverul destinatarului să verifice domeniile implicate în trimitere. Se configurează în DNS și se revizuiesc când schimbi platformele din care trimiți. Autentificarea corectă este o bază necesară, însă nu garantează că mesajul ajunge în inbox sau că este citit.

Ce se întâmplă cu un email între trimis și citit?

Între butonul „trimite" și inboxul omului, emailul trece printr-un server care decide dacă îl livrează, îl pune în spam sau îl respinge de tot. Contează autentificarea, reputația domeniului și a serverului, reclamațiile, volumul și conținutul. Furnizorii aplică propriile reguli de filtrare.

Partea de „cine pare să fie expeditorul" e problema pe care o rezolvi tehnic. Oricine poate scrie în câmpul expeditor adresa ta. Așa funcționează protocolul de email de la început, iar de acolo vine toată industria de phishing. Serverul care primește mesajul are nevoie de o dovadă că mesajul chiar vine de unde scrie.

Cele 3 metode ajută la verificarea domeniului folosit la trimitere și la protejarea lui împotriva folosirii neautorizate.

Când autentificarea lipsește sau este greșită, crește riscul de respingere ori clasificare ca spam. Și un mesaj autentificat poate ajunge în spam. Categoria „Promoții” din Gmail este o clasificare separată, nu dovada că autentificarea a eșuat. Mesajele de eroare și evenimentele din platforma de trimitere trebuie verificate separat.

De ce nu vezi problema din contul tău?

Un test trimis în interiorul aceleiași organizații nu reproduce întotdeauna verificările aplicate de un furnizor extern. Faptul că îl primești în contul tău nu confirmă livrarea către restul listei.

Același mesaj, trimis către o adresă de la altă companie, trece prin alt set de reguli. De aceea verificarea reală se face către adrese din afara firmei tale, pe mai mulți furnizori diferiți.

Ce fac SPF, DKIM și DMARC?

Sunt 3 înregistrări pe care le pui în zona DNS a domeniului tău, adică în locul în care se configurează unde duce domeniul. Fiecare răspunde la altă întrebare.

Ce este SPF?

SPF verifică dacă serverul expeditor este autorizat pentru domeniul din adresa tehnică de retur, numită SMTP MAIL FROM. Acesta poate fi diferit de domeniul din adresa From pe care o vede destinatarul.

Pentru domeniul sau subdomeniul folosit la trimitere, urmezi instrucțiunile furnizorului de email, CRM-ului ori platformei de newsletter. Serverul destinatar verifică adresa IP a expeditorului față de politica SPF a acelui domeniu.

Greșeala frecventă: firma adaugă o aplicație nouă, care începe să trimită emailuri, iar SPF-ul rămâne cu lista veche. De atunci, o parte din emailuri pică verificarea. Nimeni nu leagă cele 2 lucruri, fiindcă între ele au trecut săptămâni.

O a doua greșeală: 2 înregistrări SPF la același nume DNS. Rezultatul verificării este o eroare permanentă, numită permerror. Sursele autorizate se reunesc într-o singură politică SPF, conform instrucțiunilor furnizorilor.

Ce este DKIM?

DKIM folosește o semnătură criptografică aplicată mesajelor trimise de un domeniu.

Furnizorul de email folosește o cheie privată pentru semnare, iar cheia publică este disponibilă în DNS. Destinatarul verifică domeniul semnatarului și integritatea părților acoperite de semnătură. Un rezultat DKIM PASS nu dovedește identitatea persoanei afișate în mesaj.

SPF verifică autorizarea serverului pentru domeniul tehnic de retur. DKIM verifică semnătura unui domeniu aplicată mesajului. Le configurezi împreună, iar DMARC verifică legătura cu domeniul afișat în From.

Ce este DMARC?

DMARC leagă autentificarea de domeniul din adresa From vizibilă. Trece dacă cel puțin una dintre metode, SPF sau DKIM, trece și domeniul autentificat este aliniat cu domeniul din From, conform regulilor configurate. Un eșec SPF separat nu înseamnă automat eșec DMARC dacă DKIM trece cu aliniere.

Prin politica DMARC alegi ce tratament soliciți pentru mesajele care nu trec DMARC: none nu cere o măsură de aplicare, quarantine cere tratarea lor ca suspecte, iar reject cere respingerea. Furnizorul destinatarului decide tratamentul efectiv.

Poți configura o adresă pentru rapoarte DMARC agregate. Furnizorii care trimit aceste rapoarte oferă date despre sursele de trimitere și rezultatele autentificării. Rapoartele ajută la identificarea expeditorilor legitimi și a utilizărilor suspecte ale domeniului; nu confirmă citirea mesajelor.

Începi cu monitorizarea și identifici toate sursele legitime de trimitere. Repari autentificarea și alinierea înainte să aplici o politică mai strictă. Perioada de observație depinde de fluxurile și volumul firmei. O politică strictă aplicată înainte de verificare poate afecta și mesajele legitime.

Cum verifici că sunt puse corect?

Poți începe cu un mesaj de test și verificarea antetelor. Este o verificare punctuală, nu un audit complet al livrării.

Trimite un email din platforma pe care o folosești către un cont Gmail extern la care ai acces. În Gmail pe computer, deschide mesajul, intră în meniul cu 3 puncte al mesajului și alege „Afișează originalul” sau „Show original”. Citește rezultatele SPF, DKIM și DMARC, împreună cu domeniile evaluate.

Un FAIL sau o eroare trebuie investigată. Verifică și alinierea: SPF ori DKIM poate trece pentru un alt domeniu, în timp ce DMARC eșuează. Rezultatele acestui mesaj nu descriu automat toate platformele și toți destinatarii.

Repetă testul din fiecare loc din care pleacă emailuri către clienți. De obicei sunt mai multe decât crezi: platforma de newsletter, CRM-ul, programul de facturare, formularul de pe site, adresa personală din Outlook. Verifică fiecare sursă separat, inclusiv livrarea către alți furnizori, nu numai către Gmail.

Alte 2 verificări care merită făcute în aceeași ședință:

• Folosești un domeniu pe care îl poți autentifica în platforma de trimitere. O adresă gratuită Gmail sau Yahoo nu îți permite să configurezi DNS-ul domeniului furnizorului.
• Verifici destinațiile linkurilor și folosești domenii de încredere. Linkurile înșelătoare sau serviciile de scurtare cu reputație slabă pot contribui la filtrarea mesajelor.

Ce verifici înainte să schimbi textul?

Cazul de la început e tipar, nu excepție. Când nu vine niciun răspuns, primul reflex e să rescrii mesajul, fiindcă acolo te simți stăpân pe situație. Rescrierea e și cea mai scumpă variantă, fiindcă durează și nu îți spune nimic sigur.

Ordinea pe care o recomand, de la ieftin la scump:

1. Autentificarea domeniului. Verifici rezultatele SPF, DKIM și DMARC și domeniile la care se referă.
2. Dovezile de livrare și reacțiile. Verifici respingerile, erorile și evenimentele din platformă, apoi clickurile și răspunsurile în context. Rata de deschidere oferă indicii limitate: imaginile de tracking pot fi blocate sau încărcate automat. Apple Mail Privacy Protection poate împiedica expeditorul să afle dacă mesajul a fost deschis.
3. Adresele. O listă cumpărată sau strânsă de un program de căutare poate conține adrese invalide. O rată mare de respingeri poate afecta reputația expeditorului.
4. Limba și potrivirea. Firma din exemplu folosise înainte o unealtă care trimitea în engleză către destinatari români. Mesajul putea fi perfect scris și tot nu avea cum să funcționeze.
5. Volumul și ritmul. Un domeniu nou care începe brusc cu sute de mesaje pe zi arată exact ca unul de spam. Se crește treptat.
6. Textul. Abia aici.

Ordinea te ajută să verifici ipotezele pe rând. Un text rescris nu repară o eroare de autentificare, iar setările corecte nu compensează o ofertă nepotrivită.

De unde începi

Începe cu un mesaj de test către o adresă din afara firmei și verifică autentificarea. Corelează rezultatele cu erorile, reputația, testele de livrare și reacțiile destinatarilor înainte să stabilești cauza.

Când pune cineva bazele unui cont de email pentru o firmă, autentificarea domeniului intră în prima zi de lucru, înaintea oricărui mesaj trimis. E ordinea pe care o folosesc la fiecare instalare: întâi domeniul autentificat, apoi intrarea leadului, apoi restul.

Domeniul și baza de contacte sunt active ale afacerii tale. O reputație afectată cere investigație și corectarea practicilor de trimitere, nu doar schimbarea cuvintelor din mesaj.

Fă prima verificare. Dacă găsești o eroare, ai un punct concret de investigat. Dacă autentificarea este corectă, continui cu celelalte cauze posibile înainte să tragi concluzii despre text.