Dlaczego maile trafiają do spamu, choć nic nie zmienialiśmy

Zdanie „nic nie zmienialiśmy” jest zwykle prawdziwe — i właśnie dlatego mylące. Filtry antyspamowe nie oceniają wiadomości raz na zawsze. Oceniają ją za każdym razem od nowa, na podstawie tego, co wiedzą o nadawcy dzisiaj. Zmienić mogło się więc wszystko dookoła, przy nietkniętej konfiguracji.

Poniżej przyczyny w kolejności od najczęstszej. Warto iść po kolei, a nie zaczynać od tej, która brzmi najciekawiej.

1. Brak uwierzytelnienia nadawcy

Najczęstsza przyczyna i zarazem jedyna, którą da się rozwiązać raz na zawsze.

Jeżeli domena nie ma poprawnie ustawionych SPF, DKIM i DMARC, duzi dostawcy poczty traktują ją jako podejrzaną z definicji. Od 2024 roku Google i Yahoo wymagają uwierzytelnienia od wszystkich nadawców — wcześniej to była rekomendacja, teraz jest warunek dostarczenia.

Sprawdzenie:

dig TXT twojafirma.pl +short          # powinno zawierać v=spf1
dig TXT _dmarc.twojafirma.pl +short   # powinno zawierać v=DMARC1

Brak odpowiedzi na drugie polecenie to najczęstszy stan wyjściowy. Rozwiązanie opisałem osobno — to robota na kilka tygodni, ale robiona raz.

2. Ktoś podszywa się pod domenę

Jeżeli przez ostatnie tygodnie ktoś rozsyłał spam z adresem w Twojej domenie, reputacja domeny spada — a razem z nią trafiają Twoje prawdziwe wiadomości.

Objaw charakterystyczny: wracające wiadomości o niedostarczeniu do osób, do których nikt nie pisał. To nie jest usterka serwera, tylko odbicie cudzej wysyłki podszywającej się pod Ciebie.

Bez DMARC nie da się tego ani wykryć wcześnie, ani zatrzymać. To drugi powód, dla którego punkt pierwszy jest pierwszy.

3. Adres IP serwera trafił na listę

Dotyczy głównie firm z własnym serwerem pocztowym albo z hostingiem współdzielonym.

Przy hostingu współdzielonym wystarczy, że sąsiad z tego samego adresu IP zaczął rozsyłać spam. Twoja konfiguracja jest bez zarzutu, a wiadomości i tak lądują w spamie, bo filtr ocenia adres, nie firmę.

Sprawdzenie: wpisz adres IP serwera w dowolne narzędzie sprawdzające listy blokujące. Jeżeli figuruje, procedurę wyjścia opisuje operator konkretnej listy — zwykle trzeba usunąć przyczynę i złożyć wniosek.

Wniosek na przyszłość: przy poczcie firmowej hosting współdzielony jest oszczędnością pozorną.

4. Rekord PTR nie zgadza się z nazwą serwera

Sprawdzenie odwrotne: filtr pyta, jaką nazwę ma adres, z którego przyszła poczta, i oczekuje, że będzie to nazwa serwera pocztowego. Brak rekordu zwrotnego albo nazwa domyślna od operatora (host-89-64-x-x.dynamic...) to sygnał ostrzegawczy.

dig -x ADRES_IP +short

Rekord PTR ustawia operator, u którego stoi serwer — nie da się go dodać we własnym DNS-ie. Przy usługach chmurowych ustawia się go w panelu.

5. Nagły wzrost liczby wysyłanych wiadomości

Firma kupiła narzędzie do wysyłki ofert i pierwszego dnia wysłała nim trzy tysiące wiadomości z adresu, który dotąd wysyłał trzydzieści dziennie.

Filtry traktują skokową zmianę wolumenu jako typowy objaw przejęcia konta. Rozwiązaniem jest rozgrzewanie: zwiększanie wysyłki stopniowo przez dwa do trzech tygodni. Poważne narzędzia do wysyłki mają to wbudowane, trzeba tylko z tego skorzystać zamiast wyłączać.

6. Treść, ale rzadziej, niż się sądzi

Sama zawartość ma znaczenie mniejsze niż reputacja, ale nie zerowe. Realnie szkodzą:

• wiadomość będąca jednym dużym obrazkiem bez tekstu,
• odsyłacze skrócone przez skracacze adresów,
• załącznik z rozszerzeniem wykonywalnym albo archiwum z hasłem,
• domena odsyłacza inna niż domena nadawcy i sama w sobie o złej reputacji.

Klasyczne porady w rodzaju „nie pisz WIELKIMI LITERAMI” i „unikaj słowa darmowy” pochodzą z czasów, gdy filtry naprawdę tak działały. Dziś to margines.

7. Odbiorca ma własną regułę

Zanim zaczniesz szukać u siebie, warto wykluczyć najprostsze: czy problem dotyczy wszystkich odbiorców, czy jednego. Jeżeli wiadomości giną tylko u jednego klienta, przyczyna prawie na pewno jest po jego stronie — reguła w skrzynce, filtr na jego serwerze albo wcześniejsze oznaczenie Twojego adresu jako spam przez kogoś z jego firmy.

Kolejność sprawdzania

1. Jeden odbiorca czy wszyscy? Rozdziela problem na dwie zupełnie różne sprawy i zajmuje minutę.
2. SPF, DKIM, DMARC — dwa polecenia dig.
3. Adres IP na listach blokujących.
4. Rekord PTR.
5. Czy coś zmieniło się w wolumenie wysyłki.
6. Dopiero na końcu treść.

Czego nie robić

Nie zmieniaj wszystkiego naraz. To najczęstszy błąd: firma w jeden dzień dodaje SPF, zmienia serwer wysyłkowy i przepisuje szablon wiadomości. Jeżeli pomoże, nie wiadomo co pomogło; jeżeli zaszkodzi, tym bardziej.

Nie proś odbiorców o dodanie Cię do kontaktów jako rozwiązanie problemu. To działa punktowo u jednej osoby i nie naprawia niczego u pozostałych. Reputacja nadawcy jest po Twojej stronie i tam trzeba ją naprawić.