Come evitare le blacklist email: le abitudini che ti tengono fuori dalle liste

Per imparare a evitare le blacklist email bisogna partire da un fatto scomodo: finire in blacklist è raramente sfortuna. I gestori delle blacklist inseriscono i mittenti per comportamenti specifici e rilevabili, come posta inviata a spam trap, una raffica di segnalazioni di spam, un picco improvviso di volume o spam che esce a fiumi da un account violato, e quasi ognuna di queste cause ha un'abitudine che la previene. Questa guida è organizzata attorno alle cause, non alle liste. Per ognuna trovi come porta all'inserimento in blacklist e l'abitudine che la blocca, poi come monitorare perché il raro inserimento che sfugge venga individuato in un giorno, non in un mese.

In breve#

Invia solo a indirizzi che hanno dato il consenso e che hai verificato. Tieni le segnalazioni di spam sotto lo 0,1%. Aumenta il volume gradualmente. Metti in sicurezza gli account, i server e i moduli che possono inviare a tuo nome e proteggi i moduli di iscrizione dai bot. Controlla i domini nei tuoi link, sappi chi condivide il tuo IP di invio e dai al tuo IP un DNS inverso valido. Poi monitora i tuoi domini e IP, così un inserimento in blacklist non può passare inosservato. Restare fuori da una lista costa molto meno che uscirne, e un inserimento ripetuto è più difficile da risolvere del primo. Abbina le scansioni delle blocklist al monitoraggio check-up del dominio, così un record SPF, DKIM o DMARC rotto viene segnalato entro un giorno.

Come le blacklist decidono di inserirti#

Le blacklist inseriscono un mittente in base a prove, e le prove arrivano da quattro fonti:

• Spam trap: indirizzi che non hanno mai dato il consenso a nulla, gestiti da chi amministra le liste e dai provider di posta per vedere chi scrive loro.
• Segnalazioni e report: destinatari che contrassegnano la tua posta come spam, tramite il loro provider di posta o una community di segnalazione come quella di SpamCop.
• Schemi di traffico: picchi improvvisi di volume, posta distribuita su molti IP o domini per aggirare i filtri, o traffico che somiglia a quello di una macchina infetta.
• Controlli sull'infrastruttura: test automatici, come verificare se il tuo IP ha un DNS inverso o si trova in un intervallo destinato alle connessioni domestiche.

Ogni causa qui sotto alimenta una di queste quattro fonti. La guida alle blacklist spiega come i server riceventi interrogano le liste, e Spamhaus spiegato copre le liste più importanti.

Le cause di un inserimento e l'abitudine che previene ognuna#

Invii a spam trap da liste vecchie, comprate o estratte dal web#

È una delle strade più comuni per finire nelle liste che contano. Esistono tre tipi di trap, e ognuno vive in un posto preciso. Le pristine trap non sono mai state date a nessuno, quindi finiscono solo in liste comprate o estratte dal web. Le recycled trap sono indirizzi abbandonati che un provider ha riattivato dopo un periodo di inattività, quindi si accumulano nelle liste che nessuno pulisce. Le typo trap stanno su varianti errate dei domini dei grandi provider e intercettano le iscrizioni non verificate.

• Non comprare mai una lista, non noleggiarla e non estrarla dal web. I motivi vanno ben oltre le trap; vedi conviene comprare una lista email?.
• Verifica prima del primo invio ogni lista vecchia, importata o ereditata. Considera non testata una lista a cui non scrivi da un anno, e segui i passaggi per scrivere a una lista vecchia.
• Sopprimi gli indirizzi dopo il primo hard bounce e smetti di scrivere agli iscritti in silenzio da abbastanza tempo da aver abbandonato l'indirizzo. Una sunset policy lo rende automatico.
• Intercetta gli errori di battitura all'iscrizione, prima che un dominio scritto male arrivi nella tua lista.

Nessun servizio di verifica può individuare con certezza una spam trap attiva, perché una trap funzionante sembra una casella come tutte le altre. La verifica elimina invece ciò che di solito le accompagna: indirizzi morti e domini con errori di battitura, i segni più chiari di una lista che nessuno cura. La guida alle spam trap spiega la differenza.

Picchi di segnalazioni#

Le segnalazioni di spam alimentano direttamente le blacklist (SpamCop inserisce gli IP in base ai report degli utenti e agli invii a trap) e il modello di reputazione di ogni provider di posta. Tieni il tuo tasso di segnalazioni sotto lo 0,1% e considera lo 0,3% di Gmail e Yahoo un tetto a cui non avvicinarti mai.

• Invia ciò per cui le persone si sono iscritte, con la frequenza che si aspettano. Le segnalazioni di solito arrivano da chi ha dimenticato di essersi iscritto o riceve più di quanto si aspettava.
• Rendi più facile andarsene che segnalare: un link di disiscrizione visibile, le intestazioni di disiscrizione in un clic sulla posta di marketing e disiscrizioni applicate entro due giorni.
• Sopprimi subito chi segnala usando i feedback loop offerti dai provider.
• Controlla le segnalazioni per ogni invio, non solo la media mensile. Un solo segmento sbagliato può superare la soglia da solo.

La guida al tasso di segnalazioni di spam spiega come misurarlo e ridurlo, e la blacklist SpamCop è l'esempio più chiaro di lista basata sui report.

Salti improvvisi di volume#

Un mittente che scrive a 2.000 persone a settimana e poi a 200.000 in un giorno sembra in tutto e per tutto un account compromesso. Il picco moltiplica anche qualsiasi altro problema: gli invii a trap e le segnalazioni di un segmento vecchio arrivano tutti insieme, su una scala che fa scattare le soglie. Distribuire il volume su molti IP o domini nuovi per restare sotto il radar è peggio. È lo schema "snowshoe" che la lista CSS di Spamhaus esiste proprio per intercettare.

• Fai il warm-up di ogni nuovo dominio di invio e IP dedicato in modo graduale.
• Arriva ai picchi stagionali gradualmente, nell'arco di settimane, come nella checklist di deliverability per il Black Friday.
• Invia con una cadenza regolare. Lunghi silenzi seguiti da invii massicci azzerano la fiducia che hai costruito.

Account compromessi, open relay e moduli violati#

Se qualcosa invia spam a tuo nome, l'inserimento in blacklist ricade su di te. Le fonti abituali sono un accesso a un ESP o a una casella rubato con il phishing, una password SMTP o una chiave API trapelata, un server di posta che fa da relay per chiunque, un plugin vulnerabile del sito e un modulo di contatto che permette a un attaccante di scegliere il destinatario. Gli abusi rilevati automaticamente, come questi, alimentano la CBL, che fornisce dati alla XBL di Spamhaus.

• Attiva l'autenticazione a più fattori per gli account di ESP, CRM e caselle, e rimuovi l'accesso a chi se n'è andato.
• Limita chiavi API e credenziali SMTP a un solo uso, ruotale e tienile fuori dai repository di codice.
• Fai da relay solo per gli utenti autenticati se gestisci un tuo server di posta.
• Aggiorna il CMS e i plugin dei moduli, e fai in modo che i moduli di contatto inviino solo a indirizzi fissi.
• Tieni d'occhio il volume inviato. Un invio che non hai programmato è il segno più chiaro di una compromissione.

Subscription bombing attraverso un modulo di iscrizione non protetto#

Il subscription bombing (o list bombing) trasforma il tuo modulo di iscrizione in un'arma. I bot inseriscono migliaia di indirizzi di persone reali nei moduli di tutto il web per sommergere le caselle delle vittime, e il tuo modulo invia a ogni vittima un'email di conferma o di benvenuto che non ha mai chiesto. La vittima la segnala come spam, alcuni degli indirizzi inseriti sono trap, e il tuo dominio e il tuo IP ne pagano le conseguenze.

• Metti alla prova i bot: un CAPTCHA o una verifica invisibile più un campo honeypot in ogni modulo di iscrizione, e limiti di frequenza per IP.
• Usa il double opt-in e tieni l'email di conferma libera da contenuti di marketing, così resta un messaggio semplice e a basso rischio.
• Fai attenzione alle raffiche. Un picco di iscrizioni senza un traffico corrispondente sul sito è un bot, non un momento virale.
• Verifica in tempo reale per intercettare gli indirizzi falsi e usa e getta che arrivano con il traffico dei bot. L'API di verifica di Qualisend restituisce un esito mentre il visitatore è ancora sul modulo.

Sia chiaro quali sono i limiti: un attacco di bombing usa indirizzi reali e recapitabili, quindi la sola verifica non lo ferma. Il grosso del lavoro lo fanno le difese contro i bot. Bloccare le iscrizioni false copre ogni livello, e single opt-in o double opt-in spiega i pro e i contro della conferma.

Domini in blacklist nei tuoi link#

Le blacklist di domini come Spamhaus DBL, SURBL e URIBL inseriscono i domini visti nello spam, e i filtri confrontano con esse ogni URL nel corpo del messaggio, non solo il tuo dominio From. Un solo dominio in blacklist nel footer può far filtrare posta pulita. I colpevoli abituali sono gli accorciatori di link pubblici usati anche dagli spammer, un dominio di affiliazione o di un partner, un dominio di tracciamento dei clic che il tuo ESP condivide tra i clienti e un vecchio dominio che hai lasciato scadere e che ora usa qualcun altro.

• Usa un tuo dominio con il brand per link e tracciamento dei clic.
• Controlla ogni dominio di un template prima di un grande invio, con gli strumenti di ricerca degli stessi gestori delle liste (Spamhaus ne offre uno per la sua DBL), oppure aggiungi i domini al monitoraggio blacklist, che controlla sia i domini sia gli IP.
• Mantieni registrati i domini che hai usato nelle email, così nessuno può comprarli e bruciarli.

Vicini sull'IP condiviso#

Su un IP condiviso, che è il modo in cui la maggior parte degli ESP invia per la maggior parte dei clienti, la tua posta parte dagli stessi indirizzi di altri mittenti. Se uno di loro colpisce delle trap o attira segnalazioni, le liste basate sugli IP come la Barracuda Reputation Block List possono inserire quell'IP, e la tua posta affonda con lui. Non puoi controllare i vicini, ma puoi scegliere il palazzo.

• Scegli un ESP che controlla i suoi pool e che sposta altrove i mittenti che abusano.
• Sappi da quali IP parte la tua posta. Le intestazioni Received di un'email di prova li mostrano, e l'analizzatore di intestazioni email li legge per te. Aggiungi quegli IP al tuo monitoraggio.
• Passa a un IP dedicato solo quando il volume lo giustifica. Un IP dedicato ti dà il controllo e ti rende l'unico responsabile della sua reputazione, e richiede un volume costante per restare caldo.

DNS inverso mancante o non valido sul tuo IP#

Questo vale se gestisci un tuo server di posta o hai un IP dedicato. I server riceventi si aspettano che un IP di invio abbia un record PTR (DNS inverso) che si risolve in un hostname reale, e che quell'hostname si risolva a sua volta nello stesso IP. Google e Yahoo richiedono a ogni mittente un DNS diretto e inverso valido. Un IP senza PTR, o con un nome da connessione domestica o dinamica, è esattamente ciò che segnalano liste automatiche come SpamRats, anche senza alcuno spam.

• Imposta il record PTR con chi possiede l'IP (il tuo provider di hosting o cloud), facendolo puntare a un hostname sul tuo dominio come mail.example.com.
• Fai puntare il record A di quell'hostname allo stesso IP e usa quell'hostname come nome HELO del tuo server.
• Controlla il risultato con la ricerca DNS inversa gratuita, che mostra anche se il record è confermato in forward.

Monitora perché un inserimento non possa nascondersi#

Anche i mittenti attenti finiscono in blacklist ogni tanto: un vicino sull'IP condiviso, un plugin compromesso, una lista aggressiva. La prevenzione riduce le probabilità e il monitoraggio riduce i danni, perché il costo di un inserimento in blacklist cresce ogni giorno in cui l'inserimento passa inosservato.

• Monitora ogni identità di invio: i tuoi domini From, gli IP da cui parte la posta e i domini di link e tracciamento.
• Controlla in automatico, ogni giorno. Il monitoraggio blacklist di Qualisend ricontrolla i tuoi domini e IP ogni 24 ore nelle principali blacklist, tra cui Spamhaus, Barracuda e SpamCop, e ti invia un'email quando un inserimento compare e quando scompare. Per un controllo una tantum di un IP di invio basta il controllo blacklist gratuito.
• Guarda cosa riportano i provider di posta. Google Postmaster Tools mostra il tuo tasso di spam su Gmail (tienilo sotto lo 0,3% e punta a meno dello 0,1%), lo stato di conformità e gli errori di recapito, e Microsoft SNDS mostra i dati Outlook.com per gli IP che controlli. Un tasso di spam in salita o una nuova serie di rinvii spesso precede un inserimento in blacklist.
• Leggi i tuoi bounce. Un rifiuto che cita una blacklist è il segnale più diretto che riceverai, e i segnali d'allarme di un inserimento coprono il resto.
• Ripeti il check-up del dominio dopo ogni modifica DNS, così un record SPF o DKIM rotto non passa inosservato.

La guida al monitoraggio delle blacklist approfondisce cosa tenere d'occhio e con quale frequenza.

Se finisci in blacklist comunque#

Non presentare subito una richiesta di rimozione. Procedi in quest'ordine:

1. Conferma l'inserimento e di quale lista si tratta, seguendo come controllare se sei in blacklist. Stabilisci le priorità in base alla portata: un inserimento in Spamhaus è urgente, mentre una lista poco nota può non riguardare quasi nessuno dei tuoi destinatari.
2. Trova la causa nella tabella qui sopra e risolvila. Se chiedi la rimozione prima della correzione, probabilmente verrai reinserito, e gli inserimenti ripetuti sono più difficili da risolvere.
3. Chiedi la rimozione con la procedura del gestore. Alcuni inserimenti scadono da soli quando la fonte si ferma; quelli di SpamCop di solito vengono rimossi circa un giorno dopo l'ultima segnalazione.
4. Riprendi gli invii gradualmente, scrivendo prima agli iscritti più attivi.

La procedura completa, lista per lista, è in come farsi rimuovere da una blacklist. Ignora chiunque offra la rimozione a pagamento da "tutte le blacklist": Spamhaus non fa mai pagare la rimozione, e nessun servizio può toglierti da una lista di cui non hai risolto la causa.

La prevenzione è soprattutto qualità della lista, quindi parti da lì: verifica la tua lista con 100 crediti gratuiti che non scadono mai e lascia che il monitoraggio blacklist tenga d'occhio i tuoi domini e IP, così un inserimento non resta mai a lungo inosservato.