Miks Gmail ütleb, et su e-kirjad tunduvad kahtlased, ja kuidas see korda teha

Oled Shopify poe üles seadnud, meiliplatvormi ühendanud ja hakanud saatma tellimuse kinnitusi ning kampaaniaid. Siis saad kliendilt ekraanipildi:

"See kiri tundub ohtlik. Me ei saa kontrollida, et see kiri tuli väidetud saatjalt, seega ei pruugi sellele vastamine olla turvaline."

Suur kollane hoiatus. Sinu täiesti õigel e-kirjal. Sellel samal kirjal, mis kinnitab tellimust, mille klient just pangakaardiga tegi.

Vähesed asjad tapavad usaldust kiiremini. Ja peaaegu alati on põhjus kolmes valesti seadistatud DNS-kirjes.

Miks Gmail sinu kirju märgib

Gmail ei vaata ainult seda, mida kiri ütleb. Ta kontrollib ka, kes seda tegelikult saadab. Iga e-kirja taga on kaks aadressi:

• "From" aadress, mida klient näeb: hello [at] yourstore.com
• "Return-Path" aadress, mida meiliteenus taustal kasutab: bounces [at] mail.yourstore.com

Kui need kaks ei klapi korrektselt kokku, ei saa Gmail kindlalt öelda, et kiri tuli päriselt sinult. Seepärast näitab ta hoiatust ka siis, kui kiri on täiesti legitiimne.

Lahendus taandub kolmele DNS-kirjele: SPF, DKIM ja DMARC. Kui kasvõi üks neist puudub või on valesti seadistatud, tekib probleem.

Kolm kirjet, mis peavad korras olema

SPF: kes tohib sinu nimel saata

SPF ehk Sender Policy Framework on DNS-kirje, mis ütleb e-posti teenusepakkujatele, millised serverid tohivad sinu domeeni nimel kirju saata. Mõtle sellest kui külaliste nimekirjast: kui serverit nimekirjas pole, ei tohiks ta sinu eest kirju saata.

Levinud vead:

• Meiliteenus puudub SPF-kirjest. Kui saadad Segmentflow kaudu, mis kasutab Amazon SES-i, aga SPF sisaldab ainult Google Workspace'i, kukuvad kampaaniad autentimisel läbi.
• Kasutad -all asemel liiga vara. -all ütleb teenusepakkujatele, et kõik, mis nimekirjas pole, tuleb kõvasti tagasi lükata. See kõlab turvaliselt, aga on karm. Kui miski on veidi valesti, lükatakse kiri täielikult tagasi, mitte ainult ei märgita kahtlaseks. Enamasti kasuta ~all ehk pehmet ebaõnnestumist.
• Unustad kirje pärast teenuse vahetust uuendada. Liikusid Mailchimpist Segmentflowsse? SPF-is võib endiselt olla include:servers.mcsv.net. Vana kirje ei pruugi haiget teha, aga uue puudumine teeb.

Korrektne SPF võib välja näha nii:

Google Workspace + Segmentflow:

v=spf1 include:_spf.google.com include:amazonses.com ~all

Microsoft 365 + Segmentflow:

v=spf1 include:spf.protection.outlook.com include:amazonses.com ~all

Ainult Segmentflow:

v=spf1 include:amazonses.com ~all

SPF-kirje käib sinu juurdomeenile TXT-kirjena. Ühel domeenil tohib olla ainult üks SPF-kirje. Kui vajad mitut include: väärtust, peavad need kõik olema samas kirjes.

DKIM: tõend, et kirja pole teel muudetud

DKIM ehk DomainKeys Identified Mail lisab igale saadetud kirjale krüptograafilise allkirja. Vastuvõttev server kontrollib seda allkirja DNS-is oleva avaliku võtme vastu ja saab kinnituse, et kiri tuli sinu domeenilt ning seda ei muudetud teel.

Levinud vead:

• DKIM jäetakse üldse seadistamata. Mõni meiliteenus saadab vaikimisi ilma DKIM-ita. Kirjad võivad kohale jõuda, aga üks oluline usaldussignaal on puudu.
• Vanade teenusepakkujate võtmed jäävad DNS-i. Kui kolisid SendGridist Segmentflowsse ja SendGridi DKIM-kirjed on endiselt alles, ei pruugi see midagi lõhkuda, aga teeb veaotsingu segasemaks.
• DKIM on alamdomeenil, aga mitte juurdomeeniga joondatud. Kui DMARC kontrollib ranget joondust, peab DKIM-i domeen täpselt sobima From-aadressiga.

Kuidas seadistada:

Kui ühendad domeeni Segmentflows, saad DKIM-kirjed, mis tuleb DNS-i lisada. Need näevad umbes sellised välja:

Type: CNAME
Name: segmentflow._domainkey.yourstore.com
Value: (provided during domain setup)

Lisa meiliteenuse antud kirjed DNS-i, kinnita need teenusepakkuja vaates ja sellega on korras. See on tavaliselt ühekordne seadistus.

DMARC: poliitika, mis seob kõik kokku

DMARC ehk Domain-based Message Authentication, Reporting and Conformance ütleb e-posti teenusepakkujatele, mida teha siis, kui SPF või DKIM kontroll läbi kukub. Samuti lisab see joondamise mõiste: kas autentimises kasutatud domeenid sobivad sinu From-aadressiga.

Just siin elab enamik "kahtlase e-kirja" probleeme.

Kriitiline valik: range või leebe joondus

DMARC joondusel on kaks režiimi:

• Range (s) - domeen peab täpselt kattuma. Kui From-aadress on hello [at] yourstore.com, aga Return-Path on bounces [at] mail.yourstore.com, siis range joondus ebaõnnestub. Alamdomeen mail.yourstore.com ei ole täpselt yourstore.com.
• Leebe (r) - alamdomeenid on lubatud. mail.yourstore.com sobib yourstore.com domeeniga. Peaaegu alati tahad just seda.

Kõige tavalisem Gmaili hoiatuse põhjus: DMARC-kirjes on adkim=s ehk range DKIM joondus või aspf=s ehk range SPF joondus, kuigi vaja oleks adkim=r ja aspf=r.

Korrektne DMARC-kirje võib alustada jälgimisrežiimist:

v=DMARC1; p=none; rua=mailto:dmarc-reports [at] yourstore.com; adkim=r; aspf=r

Kui oled kinnitanud, et kirjad läbivad autentimise, saad poliitikat karmimaks muuta:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports [at] yourstore.com; adkim=r; aspf=r; pct=100

Olulised parameetrid:

| Parameeter | Mida see teeb | Soovituslik väärtus | | ---------- | ------------------------------------- | ------------------------------------------ | | p | Poliitika ebaõnnestunud kontrollidele | none testimiseks, quarantine tootmises | | adkim | DKIM joondusrežiim | r ehk leebe | | aspf | SPF joondusrežiim | r ehk leebe | | rua | Kuhu raportid saata | DMARC-raportite e-posti aadress | | pct | Kui suurele osale kirjadest rakendada | 100 |

DMARC-kirje käib _dmarc.yourstore.com peale TXT-kirjena. Ühel domeenil tohib olla ainult üks DMARC-kirje. Kui neid on kaks, võidakse mõlemat ignoreerida.

Kuidas viie minutiga kontrollida, kas probleem puudutab sind

Sa ei pea ootama kliendi kaebust. Tee kiire kontroll.

1. Saada endale testkiri

Saada testkampaania või tehinguline kiri oma isiklikule Gmaili aadressile läbi päris meiliplatvormi. Ära kasuta Gmaili "send as" funktsiooni. Kiri peab läbima sinu tegeliku saatmistaristu.

2. Vaata kirja päiseid

Gmailis ava kiri, klõpsa paremal üleval kolme punkti ja vali "Show original". Näed lehte kolme olulise tulemusega:

SPF:    PASS
DKIM:   PASS
DMARC:  PASS

Kui mõni neist on FAIL või SOFTFAIL, on probleem käes. Allpool olevad päised näitavad, millist domeeni kontrolliti ja miks see läbi kukkus.

3. Kontrolli DNS-kirjed üle

Kasuta näiteks MXToolboxi:

• SPF kontroll: sisesta domeen ja vaata, kas sinu meiliteenus on kirjes olemas
• DKIM kontroll: otsi DKIM selectorit, näiteks segmentflow._domainkey.yourstore.com
• DMARC kontroll: veendu, et sul on täpselt üks DMARC-kirje ja see kasutab leebet joondust

4. Vaata DMARC-raporteid

Kui DMARC-kirjes on rua=mailto:, saad teenusepakkujatelt XML-raporteid. Need näitavad, millised kirjad läbisid autentimise, millised mitte ja miks. DMARC Analyzer teeb need raportid inimloetavamaks.

Kolm muudatust, mis parandavad 90% juhtudest

Kui näed "kahtlase kirja" hoiatust, tee DNS-is need muudatused.

1. Sea DMARC joondus leebeks

Muuda DMARC-kirjes adkim=s; aspf=s väärtuseks adkim=r; aspf=r. Kui adkim või aspf puudub, lisa need. Vaikekäitumine võib teenusepakkujati erineda.

2. Lisa meiliteenus SPF-kirjesse

Veendu, et SPF sisaldab iga teenuse include: kirjet, mis sinu nimel kirju saadab. Segmentflow puhul tähendab see include:amazonses.com.

3. Vaheta SPF-i hard fail soft faili vastu

Asenda SPF-kirje lõpus -all väärtusega ~all. See aitab vältida olukorda, kus täiesti õiged kirjad lükatakse väikese seadistusvea tõttu otse tagasi.

Pärast muudatusi oota DNS-i levikut 24-48 tundi, saada uus testkiri ja kontrolli päised uuesti üle.

Kiire kontrollnimekiri

Enne kui selle vahekaardi kinni paned, kontrolli:

• [ ] sinu meiliteenus on juurdomeeni SPF-kirjes
• [ ] SPF-kirje lõpeb ~all, mitte -all
• [ ] praeguse meiliteenuse DKIM-võtmed on DNS-is
• [ ] sul on täpselt üks DMARC-kirje
• [ ] DMARC kasutab leebet joondust (adkim=r; aspf=r)
• [ ] Gmaili testkirja päistes on SPF, DKIM ja DMARC kõik PASS

Miks see 2026. aastal veel rohkem loeb

Gmail ja Yahoo muutsid 2024. aastal autentimisnõuded rangemaks ning jõustamine on sellest ajast ainult tugevamaks läinud. Seadistused, mis töötasid aastaid piisavalt hästi, näiteks puuduv DMARC, kaudsed joondusreeglid või ilma DKIM-ita saatmine, võivad nüüd anda hoiatuse või viia kirjad otse rämpsposti.

E-poodidele on see eriti oluline. Tehingulised kirjad, nagu tellimuse kinnitused, tarneuuendused ja parooli lähtestused, on kirjad, mida klient peab kätte saama. "Kahtlane kiri" parooli lähtestusel ei kahjusta ainult usaldust. See paneb kliendi arvama, et konto võib olla ohus.

Tee autentimine üks kord korralikult korda, kontrolli seda kord kvartalis ja sa ei pea iga kampaania juures selle pärast muretsema.

---

Segmentflow juhendab sind domeeni autentimisel juba seadistuse ajal: SPF, DKIM ja DMARC saavad kohe algusest õigesti paika. Alusta tasuta 1 000 kirjaga kuus, krediitkaarti pole vaja.