Miért kerül a levél spamba

Modul 4: Kézbesíthetőség: SPF, DKIM és DMARC a gyakorlatban · Olvasási idő: 10 perc

Tanulási cél: E lecke után képes lesz megnevezni azt a négy réteget, amely alapján a fogadó fél értékeli a beérkező levelet, meg tudja magyarázni, miért nem bizonyít semmit az, hogy "nálam megérkezik", és egy teszt segítségével meg tudja állapítani, melyik rétegben van a probléma.

Kulcsfogalmak: kézbesíthetőség (deliverability), kézbesítés vs. beérkezés, technikai rendezettség, hitelesítés (SPF, DKIM, DMARC), igazodás (alignment), IP-reputáció, domainreputáció, tartalom, a fogadók viselkedése (panaszok, megnyitás, törlés), fogadónkénti szűrők, Authentication-Results, tesztlevél, mérőeszközök

A kézbesítés nem ugyanaz, mint a megérkezés

Ha az Ön szervere átadott egy levelet a fogadó szerverének, és az 250 OK válasszal nyugtázta, akkor a levél kézbesítésre került. Ebből még nem tudja, hogy a Beérkezett üzenetek mappában landolt-e. A fogadó szerver ezután a spam mappába is teheti, egy "Reklám" fülre, karanténba, vagy akár szó nélkül el is dobhatja.

A kézbesíthetőség (angolul deliverability) erről a második lépésről szól: a levele odaér-e, ahová kell? Ezt pedig minden fogadó fél maga dönti el. A Gmail másképp mérlegel, mint a Microsoft, és egy saját spamszűrővel rendelkező cég megint másképp. Nincs központi szabálylista. Az viszont nagyjából mindenhol ugyanaz, hogy milyen rétegek alapján ítélnek.

1. réteg: technikai rendezettség

Mielőtt egy szűrő a tartalmat megnézné, a kapcsolatot vizsgálja:

• Rendelkezik-e a küldő szerver IP-címe rendes fordított DNS bejegyzéssel (PTR), amely ugyanarra a címre mutat vissza? (5.1. lecke.)
• Rendesen bemutatkozik-e a szerver valódi névvel az EHLO parancsban?
• TLS-sel titkosítva van-e a kapcsolat?
• Betartja-e a szerver az SMTP szabályait, és újrapróbálkozik-e egy ideiglenes elutasítás után?

Egy tárhelyszolgáltató vagy egy nagy levelezőszolgáltatás postafiókjánál ez szinte mindig rendben van. Akkor válik problémává, ha Ön saját maga üzemeltet szervert, például egy olyan VPS-t, amely közvetlenül küld levelet, vagy egy nyomtatót vagy kamerát, amely saját maga küld e-mailt.

2. réteg: hitelesítés

Ez az a réteg, amelyben Ön mint domainkezelő a legtöbbet tud tenni, és erről a modul is szól:

• SPF (4.2. lecke): küldhet-e ez a szerver a domain nevében?
• DKIM (4.3. lecke): alá van-e írva a levél, és helyes-e az aláírás?
• DMARC (4.4. lecke): a sikeres ellenőrzés a Forrás-címben szereplő domainhez tartozik-e (igazodás, alignment), és mit kell tennie a fogadónak, ha nem?

E három rekord alapjai a DNS-tanfolyam 4. moduljában találhatók. Itt a gyakorlatról van szó: az összes olyan szolgáltatás feltérképezéséről, amely az Ön nevében küld levelet, valamint a szabályzat fokozatos szigorításáról.

Ha hiányzik a hitelesítés, az értékelés romlik. 2024 és 2025 óta a nagy fogadóknál ez kemény követelmény is egyben: a Gmail, a Yahoo és a Microsoft mindenkitől legalább SPF-et vagy DKIM-et kér, a tömeges küldőktől pedig SPF-et, DKIM-et és DMARC-ot igazodással. Ezzel az 5.3. lecke részletesen foglalkozik.

3. réteg: reputáció

A fogadó fél megjegyzi, mit kapott korábban egy adott feladótól. Ennek során a következőket nézi:

• IP-reputáció: mi érkezett korábban erről az IP-címről? Osztott tárhelynél és nagy levelezőszolgáltatásoknál sok feladó osztozik egy IP-címen; egyetlen rossz feladó ilyenkor mindenkire hatással lehet. Egy új, előzmények nélküli IP-címet óvatosan kezelnek.
• Domainreputáció: mi érkezett korábban erről a domainről (a Forrás-címben szereplő domain és a DKIM-domain)? Ez egyre nagyobb súllyal esik latba, éppen azért, mert a DKIM és a DMARC megbízhatóan felismerhetővé teszi a domaint. A jó domainreputációt magával viszi, ha szervert vált.
• Feketelisták (blocklist): nyilvános listák azokról az IP-címekről vagy domainekről, amelyek spamet küldtek (5.2. lecke).

A reputációt lassan építi fel, és gyorsan elveszíti.

4. réteg: tartalom és viselkedés

Csak a legvégén nézi meg egy szűrő magát a levelet, és azt, hogy a fogadók mit tesznek vele:

• Tartalom: rossz hírű domainekre mutató linkek, rövidített linkek, csak egy nagy kép szöveg nélkül, makrókat tartalmazó mellékletek, a tartalommal semmilyen kapcsolatban nem álló tárgy, elromlott formázás.
• A fogadók viselkedése: ez esik a legnagyobb súllyal latba a nagy levelezőszolgáltatásoknál. Ha sok fogadó kattint a "Ez spam" gombra, a reputációja romlik. Ha a leveleit megnyitják, megválaszolják, vagy kiemelik a spam mappából, a reputációja javul. A Gmail azt várja el, hogy a fogadók kevesebb mint 0,3%-a jelölje meg a levelét spamként, és inkább kevesebb mint 0,1%-a.

Az az elképzelés, hogy önmagukban olyan "spamszavak", mint az ingyenes vagy az ajánlat, megakadályoznák a levél kézbesítését, nagyrészt tévhit. A modern szűrők az egészet mérlegelik. Egy olyan feladótól érkező, az "ingyenes" szót tartalmazó hírlevél, aki jó hitelesítéssel és jó reputációval rendelkezik, simán megérkezik; egy ismeretlen, SPF nélküli szerverről érkező, teljesen rendes szövegű levél viszont nem.

Miért nem mond semmit az, hogy "nálam megérkezik"

Ön küld egy tesztlevelet a saját Gmail-címére, és az a Beérkezett üzenetek mappában landol. Tehát minden rendben van? Nem feltétlenül:

• Ezzel a címmel valószínűleg már korábban is váltott levelet. Egy szűrő jobban megbízik egy olyan feladóban, akivel már van kapcsolata.
• Az egyik fogadó nem olyan, mint a másik. A Microsoft elutasíthat egy olyan levelet, amelyet a Gmail elfogad.
• Egy levél nem olyan, mint ezer. Egy ezer címre küldött hírlevelet másképp bírálnak el, mint egy különálló levelet.

Egy tesztlevél azonban hasznos, de akkor, ha a fejléceket olvassa el (1.5. lecke). Ott pontosan szerepel, mit talált a fogadó fél:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Itt mindhárom sikeres. Ha spf=softfail, dkim=none vagy dmarc=fail szerepel, akkor tudja, melyik rétegben kell keresnie. Így meg tudja állapítani a problémát, ahelyett hogy találgatna.

Egy háromlépéses megközelítés

1. Ellenőrizze a DNS-ét egy olyan eszközzel, amely megvizsgálja az MX, SPF, DKIM, DMARC rekordokat és a feketelistákat. Példák: a WebOké E-mail ellenőrzése és Domain egészsége, az internet.nl, az MXToolbox. Ezek megmutatják, mi szerepel a DNS-ben, de azt nem, hogyan értékelik egy valódi levelet.
2. Küldjön valódi tesztlevelet egy Gmail- és egy Outlook.com-címre, vagy egy olyan tesztszolgáltatásnak, mint a mail-tester, és olvassa el a fejléceket vagy a jelentést. Így látja, hogy a levél a gyakorlatban átmegy-e az SPF-en, a DKIM-en és a DMARC-on.
3. Nézze meg a reputációt és a viselkedést, ha a technika rendben van: szerepel-e az Ön IP-címe egy feketelistán? Olyanoknak küld hírlevelet, akik erre kifejezetten kértek? Nagy küldőként betekintést nyerhet a Google Postmaster Tools és a Microsoft SNDS eszközökbe.

A gyakorlatban: így néz ki egy panelen

A WebOké weboldalán elérhető az ingyenes E-mail ellenőrzés (www.weboke.hu/emailcheck): megadja a domain nevét, és egy pontszámot kap az MX, SPF, DMARC és az első levelezőszerver feketelista-ellenőrzésével, tanácsokkal együtt. A Fiókomban a Domain egészsége ugyanezt ellenőrzi az Ön saját domainjeire, javító gombokkal. Ez csak kettő a sok eszköz közül; az internet.nl és az MXToolbox hasonló ellenőrzéseket végez, és minden szolgáltatónak megvan a saját változata. Használjon egyszerre többet is: egyetlen eszköz sem lát mindent.

Összefoglalás

• A kézbesítés csak azt jelenti, hogy a fogadó szerver átvette a levelet; hogy az a beérkező üzenetek közé kerül-e, azt a fogadó dönti el.
• A fogadók négy rétegben értékelnek: technika, hitelesítés, reputáció és tartalom/viselkedés.
• A hitelesítés (SPF, DKIM, DMARC) teljes mértékben az Ön kezében van, és a nagy fogadóknál kemény követelmény.
• A fogadók panaszai nagyobb súllyal esnek latba, mint az Ön szövegében szereplő egyes szavak.
• Olvassa el egy tesztlevél Authentication-Results fejlécét, hogy lássa, hol romlik el a dolog.

Kvíz

Feladat

Z4.1 feladat: A domén átengedése az e-mail ellenőrzésen. Adja meg a saját domain nevét (vagy, ha nincs ilyenje, az internet.nl-t). A program ellenőrzi az MX-et, az SPF-et, a megtalálható DKIM-szelektorokat, a DMARC-ot és az első levelezőszerver feketelista-ellenőrzését. Ezután adja meg Ön is: milyen SPF-végződése van a domainnek, milyen DMARC-szabályzata, és szerepel-e az első levelezőszerver feketelistán. A program az Ön válaszait egymás mellé helyezi az élő eredménnyel. Egy mondatban írja le, hogy a négy réteg közül melyikben van a legtöbb javítanivaló az Ön domainjén.

Bővebben olvasható

Az ezekben a cikkekben leírt lépések a WebOké paneljeire vonatkoznak; más szolgáltatóknál hasonlóan működik.

• WebOké útmutató 7.4: A levél nem érkezik meg: ellenőrzés önállóan
• Nem érkezik meg az e-mail, vagy a spam mappában landol: így lehet kideríteni az okát
• DirectAdmin útmutató 9.4: A levelem a címzettnél a levélszemétbe kerül
• WebOké útmutató 5.17: Domain és e-mail állapota: ellenőrzés és javítás
• E-mail ellenőrzés: https://www.weboke.hu/e-mail-ellenorzes
• Google, Email sender guidelines: https://support.google.com/a/answer/81126