De ce ajung mailurile mele în spam: SPF, DKIM, DMARC

Înainte să începi

• Datele de acces la Enhance (https://server.nbt-host.com).
• Să știi unde e DNS-ul domeniului: la noi (nameserverele ns1 / ns2.nbt-host.ro) sau la alt furnizor. Dacă nu ești sigur, vezi Cum îți îndrepți domeniul spre NBT Host.
• Lista serviciilor care trimit emailuri în numele domeniului tău: programul de facturare, platforma de newsletter, magazinul online, formularele de pe site.
• O adresă Gmail a ta, pentru test.
• Denumirile din Enhance le scriem în engleză, exact cum apar pe ecran. Dacă panoul îți apare în română, îl treci pe engleză din meniul contului tău: „My account” » „Language”.

Cele trei „acte de identitate” ale unui email

Oricine poate scrie într-un email „De la: office@firmata.ro”. Ca să se apere de falsuri, serverele care primesc mesaje verifică trei lucruri, publicate în DNS-ul domeniului:

• SPF — lista serverelor care au voie să trimită emailuri în numele domeniului tău. Un mesaj trimis de pe un server care nu e pe listă e suspect.
• DKIM — o semnătură digitală pusă de serverul nostru pe fiecare mesaj. Destinatarul o verifică cu o cheie publică din DNS și află că mesajul vine chiar de la domeniul tău și n-a fost modificat pe drum.
• DMARC — regula ta pentru destinatari: ce să facă dacă un mesaj pretinde că e de la tine, dar nu trece de SPF sau DKIM. p=none înseamnă „doar observă”, p=quarantine — „pune-l în spam”, iar p=reject — „respinge-l”.

Mai contează reverse DNS-ul (PTR): adresa IP a serverului trebuie să aibă un nume. Serverul NBT Host îl are: server.nbt-host.com.

Google cere tuturor celor care trimit către Gmail cel puțin SPF sau DKIM, iar celor care trimit peste 5.000 de mesaje pe zi, SPF, DKIM și DMARC împreună.

Ce facem automat pentru tine

Dacă domeniul folosește nameserverele noastre (ns1.nbt-host.ro și ns2.nbt-host.ro), zona DNS a domeniului are din prima:

DKIM se pornește separat, pe fiecare domeniu. Pe domeniul principal al contului îl pornim noi la activare, iar pe domeniul principal al unui site adăugat mai târziu, în cel mult o oră. Pe aliasurile și subdomeniile adăugate pe un site îl pornești tu, din Enhance (pasul 1).

Dacă DNS-ul domeniului e la alt furnizor (Cloudflare, firma de la care ai cumpărat domeniul etc.), aceste înregistrări nu apar singure acolo: le adaugi tu (pașii de mai jos; vezi și Cum îți îndrepți domeniul spre NBT Host) sau ne scrii și îți spunem exact ce trebuie pus.

Pașii

1. Verifică domeniul în Enhance

1. În Enhance, apasă „Emails”. Lângă fiecare adresă vezi două etichete, DKIM și SPF, cu starea lor: „Valid” — totul e în regulă; „Invalid” — autentificarea e pornită, dar înregistrarea din DNS lipsește sau e greșită; „Disabled” — nu e configurată.
2. Ca să vezi sau să pornești DKIM, mergi la „Websites” » site-ul tău » „Domains” și apasă „Manage” lângă domeniu.
3. În meniul paginii, alege „Email authentication” și pornește comutatorul DKIM, dacă e oprit.
4. Dacă domeniul folosește nameserverele noastre, înregistrarea se pune singură în zona DNS. După puțin timp, starea trebuie să treacă din „Not validated” în „Validated”.
5. Dacă DNS-ul e la alt furnizor, pagina îți spune „Your domain's DNS is hosted externally.” și îți arată „Record name:” și „Record value:”. Adaugă la furnizorul DNS o înregistrare TXT exact cu numele și valoarea de acolo. Enhance spune că propagarea poate dura până la 48 de ore; după aceea, DKIM apare ca validat.

6. Tot la DNS extern, adaugă și SPF și DMARC, la furnizorul DNS:

   • SPF, TXT pe domeniu: v=spf1 a mx ip4:185.230.138.193 ~all. Adresa IP din el ține SPF-ul valid chiar dacă site-ul trece prin proxy-ul Cloudflare;
   • DMARC, TXT pe _dmarc: v=DMARC1; p=none;.

   Ține cont că:

   • un domeniu are voie la o singură înregistrare SPF — dacă există deja una, o modifici, nu mai adaugi încă una;
   • la Cloudflare, valoarea TXT se lipește fără ghilimele, iar înregistrarea mail trebuie să fie DNS only (norișor gri), nu prin proxy.

2. Verifică un mesaj adevărat

1. De pe adresa ta, trimite un mesaj către o adresă Gmail a ta.
2. În Gmail, pe calculator, deschide mesajul. Lângă Răspunde, dă clic pe Mai multe » Afișează originalul.
3. În partea de sus caută rândurile SPF, DKIM și DMARC. Toate trei trebuie să arate PASS.

3. Adaugă serviciile care trimit în numele tău

Programul de facturare, platforma de newsletter, magazinul online sau CRM-ul pot trimite emailuri „de la” adresa ta, dar de pe serverele lor. Ca să nu pice SPF:

1. Caută în documentația serviciului ce trebuie adăugat în SPF (de obicei o bucată de forma include:...) și dacă îți dă și o înregistrare DKIM.
2. În Enhance, mergi la „Websites” » site-ul tău » „Domains” » „Manage” lângă domeniu » „DNS records” (detalii în Editorul de zonă DNS: A, CNAME, MX și TXT).
3. Găsește înregistrarea TXT care începe cu v=spf1, apasă „Edit” și adaugă la „Value” bucata serviciului, înainte de ~all. De exemplu: v=spf1 a mx include:exemplu-serviciu.ro ~all. Apasă „Save”.
4. Pentru DKIM-ul serviciului, apasă „Add record”, alege la „Type” tipul cerut de serviciu (de obicei TXT sau CNAME) și completează „Hostname” și valoarea exact cum ți le dă serviciul: la TXT câmpul se numește „Value”, la CNAME „Is an alias of” (cu punct la final). La „Hostname” scrii doar partea din fața domeniului — Enhance adaugă singur domeniul. Apasă „Create”.

Dacă DNS-ul e la alt furnizor, faci aceeași modificare acolo. Dacă nu ești sigur, scrie-ne înainte: o greșeală în SPF poate trimite în spam toate mesajele domeniului.

4. Nu doar DNS-ul contează

• Formularele de pe site. Dacă formularul trimite mesajul „de la” adresa vizitatorului (de exemplu client@gmail.com), mesajul pică verificările, pentru că serverul nostru nu are voie să trimită în numele Gmail. În setările formularului pune ca expeditor o adresă de pe domeniul tău, iar adresa vizitatorului la „Răspunde la” (Reply-To).
• Conținutul. Subiectele scrise cu majuscule, „GRATUIT!!!”, un mesaj care e doar o imagine, linkurile scurtate sau atașamentele .zip și .exe ridică scorul de spam. Textul trebuie să aibă legătură cu subiectul. Serverul nostru verifică și mesajele trimise: unul care arată a spam e refuzat la trimitere, iar tu primești o eroare.
• Trimiterile în masă. Pentru newslettere folosește o platformă dedicată, configurată cu SPF și DKIM. Limita de trimitere e de 200 de emailuri pe oră pentru fiecare adresă și de 200 pe oră pentru ce trimite un site prin funcția de email a PHP-ului. Gmail cere ca mesajele raportate ca spam să rămână sub 0,3%, iar celor care trimit mult le cere și dezabonare cu un singur clic la mesajele de marketing.
• Domeniile noi. Un domeniu abia înregistrat nu are încă reputație. În primele săptămâni, roagă-i pe destinatarii importanți să te adauge în contacte sau să-ți scoată mesajul din spam, dacă îl găsesc acolo.
• Redirecționările. Mesajele redirecționate automat către Gmail pot ajunge în spam (vezi Redirecționări și răspuns automat pentru email).

Dacă ceva nu merge

• La „Emails”, DKIM sau SPF apare „Invalid”. De obicei, DNS-ul e la alt furnizor și înregistrările n-au fost copiate acolo, sau a rămas SPF-ul vechiului hosting. Pune înregistrările de la pasul 1 la furnizorul DNS.
• DKIM apare „Disabled”. Nu e pornit pe domeniul acela. Pornește-l din „Domains” » „Manage” » „Email authentication”.
• În Gmail apare SPF: FAIL sau SOFTFAIL. Mesajul a plecat de pe un server care nu e în SPF — un serviciu extern sau o redirecționare. Adaugă serviciul în SPF (pasul 3). Dacă DNS-ul e la Cloudflare, verifică și să ai adresa IP în SPF (pasul 1).
• În Gmail apare DKIM: FAIL sau lipsește. Cheia DKIM lipsește din DNS sau a fost copiată greșit (un caracter lipsă, ghilimele în plus). Copiaz-o din nou din „Email authentication”.
• Un mesaj e refuzat la trimitere. Dacă eroarea vorbește despre spam, filtrul serverului a considerat mesajul spam: schimbă subiectul și textul, scoate linkurile scurtate și atașamentele arhivate. Dacă ai trimis mult într-un timp scurt, ai atins limita de 200 pe oră: așteaptă o oră.
• Nu știi dacă mesajul a plecat. Scrie-ne cu data, ora și adresa destinatarului: căutăm mesajul în jurnalul serverului și îți spunem dacă a fost livrat, amânat sau respins și ce a răspuns serverul destinatarului.
• Mesajele ajung în spam doar la un anumit furnizor, deși SPF, DKIM și DMARC trec. De cele mai multe ori ține de conținut sau de reputația domeniului. Scrie-ne cu un exemplu (data, ora, adresa destinatarului) și verificăm și reputația serverului.