De ce ajung emailurile firmei în spam și ce au de-a face trei înregistrări DNS

Trimiteți o ofertă unui client pe care chiar îl vreți și nu vine niciun răspuns. Peste o săptămână vă spune, aproape în treacăt, că mesajul stătea în spam. Sau formularul de pe site „nu merge”, deși merge: mesajele pleacă, doar că nu ajung în niciun inbox.

De obicei ambele probleme au aceeași cauză. Domeniul vostru nu le-a spus niciodată serverelor de email cine are voie să trimită în numele lui.

Marii furnizori nu mai acordă nimănui prezumția de nevinovăție. Din 2024, Google și Yahoo cer expeditorilor să își autentifice domeniul, iar cine trimite volume mari are nevoie de toate cele trei înregistrări de mai jos.

Trei rânduri în DNS

Sunt câteva rânduri scurte de text în setările DNS ale domeniului, acolo unde e setată și adresa site-ului. Serverul care vă primește mesajul le verifică pe fiecare.

SPF: cine are voie să trimită?

SPF este lista serverelor care pot trimite email pentru domeniul vostru. Adică furnizorul căsuței de email, dar și serviciul de newsletter și CRM-ul care trimite facturi. Un mesaj venit de pe un server care nu e pe listă arată a fals. Un domeniu poate avea o singură înregistrare SPF. Dacă publicați două, verificarea pică pentru toate mesajele.

DKIM: a fost modificat mesajul pe drum?

DKIM semnează fiecare mesaj. Partea publică a cheii stă în DNS, iar serverul care primește mesajul o folosește ca să confirme că vine de la voi și că nu a fost schimbat. Fiecare serviciu care trimite în numele domeniului are cheia lui, așa că DKIM se pornește separat în fiecare.

DMARC: ce se întâmplă cu mesajul care nu trece?

DMARC leagă cele două verificări de adresa pe care o vede clientul în câmpul „De la”. Mesajul trece dacă SPF sau DKIM trece pentru exact acel domeniu. Tot DMARC îi spune serverului ce să facă cu mesajele picate (să le lase, să le pună în spam sau să le respingă) și unde să vă trimită rapoartele.

Ce găsim mereu la firmele din Moldova

• Formularul de pe site trimite prin serverul comun al firmei de hosting. În „De la” apare adresa firmei voastre, dar mesajul nu are semnătură DKIM, iar serverul nu e în SPF. Pentru DMARC, exact așa arată un fals.
• SPF a fost configurat o dată, acum câțiva ani. Între timp s-a adăugat un CRM, un serviciu de newsletter sau un program de facturare, și nimeni nu le-a trecut pe listă.
• Două înregistrări SPF: una rămasă de la vechiul hosting, alta pusă pentru noul serviciu de email. Împreună sunt invalide.
• DKIM e pornit doar pentru căsuța de email și pentru nimic altceva.
• Lipsește DMARC cu totul. Pe lângă problemele de livrare, asta înseamnă că oricine poate trimite emailuri care par să vină de la voi. De exemplu, o factură falsă către unul dintre clienții voștri.

Ni s-a întâmplat și nouă

La un moment dat, formularul de contact de pe unul dintre site-urile noastre trimitea direct în spam. Cauza era prima de pe listă: hostingul rescria expeditorul, SPF nu se potrivea cu domeniul și nimic nu semna mesajul. Am mutat formularul pe o căsuță reală a domeniului, cu autentificare prin SMTP, și am verificat din nou. Acum trec toate trei: SPF, DKIM și DMARC.

Partea enervantă e că nimic nu părea în neregulă. Formularul afișa „Mesaj trimis” de fiecare dată.

Verificarea durează zece minute

1. Trimiteți un email de pe adresa firmei către o căsuță Gmail personală.
2. Deschideți-l în Gmail și, din meniul cu trei puncte, alegeți opțiunea care arată mesajul original.
3. Căutați rândurile SPF, DKIM și DMARC. Pe toate trei trebuie să scrie PASS.
4. Repetați pentru tot ce mai trimite emailuri în numele vostru: formularul de pe site, CRM-ul, programul de facturare, newsletterul.
5. Treceți domeniul printr-un verificator gratuit, de exemplu MXToolbox. Vă arată imediat un SPF dublat sau un DMARC lipsă.

Un singur FAIL sau un rând lipsă și ați găsit problema.

Reparația, în ordinea corectă

1. Faceți lista tuturor sistemelor care trimit emailuri în numele domeniului. Fără ea, următoarea modificare în SPF o să strice pe tăcute unul dintre ele.
2. Scrieți o singură înregistrare SPF care le cuprinde pe toate.
3. Porniți DKIM în fiecare serviciu și publicați cheia în DNS.
4. Publicați DMARC cu p=none și o adresă pentru rapoarte. Încă nu se blochează nimic, dar primiți zilnic rapoarte despre cine trimite în numele vostru.
5. După două-patru săptămâni de rapoarte curate, treceți la p=quarantine, apoi la p=reject. De atunci, emailurile false semnate cu numele firmei nu mai ajung la clienți.

Modificările DNS se fac în contul unde e înregistrat domeniul, iar o greșeală de tastare poate opri tot emailul firmei. Dacă nu știți sigur cine are acces sau ce trimite emailuri în numele vostru, faceți întâi pasul 1 și nu atingeți DNS-ul până nu e gata.

Pe scurt

SPF spune cine are voie să trimită. DKIM dovedește că mesajul e al vostru. DMARC le leagă pe amândouă de adresa pe care o vede clientul și decide ce se întâmplă cu falsurile. Configurarea durează de obicei câteva ore, ceea ce e un schimb bun pentru luni de oferte pe care nu le-a văzut nimeni.

Configurarea emailului pe domeniu face parte din serviciul de mentenanță și suport. Dacă vreți să ne uităm la setările voastre, scrieți-ne.