メールのブラックリストを避ける方法：掲載を防ぐ習慣

メールのブラックリストを避ける方法を学ぶ出発点は、受け入れがたい事実です。 掲載は、不運で起きることはまれです。 ブラックリストの運営者は、スパムトラップへの送信、迷惑メール報告の急増、送信量の急な跳ね上がり、乗っ取られたアカウントから大量に流れるスパムなど、具体的で検知可能な行動を根拠に送信者を掲載します。 そして、そうした原因のほぼすべてに、防ぐための習慣があります。 このガイドは、リストではなく原因ごとに構成しています。 原因ごとに、どのように掲載につながるのか、それを防ぐ習慣は何かを説明します。 そのうえで、すり抜けてしまったまれな掲載を1か月後ではなく1日で発見するための監視方法を紹介します。

結論#

オプトインを得たうえで検証済みのアドレスにだけ送信してください。 迷惑メール報告率は0.1%未満に抑えます。 送信量は段階的に増やします。 自社名義で送信できるアカウント、サーバー、フォームを保護し、登録フォームをボットから守ります。 リンク内のドメインを確認し、送信IPを共有している相手を把握し、専用IPには有効な逆引きDNSを設定してください。 そのうえでドメインとIPを監視し、掲載を見逃さない体制をつくります。 リストに載らないようにするコストは、解除してもらうコストよりはるかに小さくなります。 しかも、再掲載は最初の掲載よりも解除が難しくなります。ブロックリストのスキャンとドメイン診断の監視を組み合わせると、SPF、DKIM、DMARCレコードの不具合が1日以内に指摘されます。

ブラックリストが掲載を判断する仕組み#

ブラックリストは証拠に基づいて掲載します。証拠の出どころは次の4つです。

• スパムトラップ：何にもオプトインしていないアドレスです。リストの運営者やメールプロバイダーが、誰が送ってくるかを調べるために運用しています。
• 迷惑メール報告と通報：受信者が、メールプロバイダー経由、またはSpamCopのような通報コミュニティ経由で、メールを迷惑メールとして報告するものです。
• トラフィックのパターン：送信量の急増、フィルターを回避するために多数のIPやドメインへ分散させた送信、感染したマシンに見える通信などです。
• インフラのチェック：IPに逆引きDNSがあるか、家庭向け回線用のレンジに属していないかといった自動テストです。

以下の原因は、いずれもこの4つのどれかにつながります。 受信側がリストを照会する仕組みはブラックリストの解説で、特に影響の大きいリストはSpamhausの解説で説明しています。

掲載の原因と、それぞれを防ぐ習慣#

古い、購入した、スクレイピングしたリストによるスパムトラップへの送信#

これは、影響の大きいリストに載る最も一般的な経路の1つです。 トラップには3種類あり、それぞれ存在する場所が決まっています。 ピュアトラップは誰にも渡されていないため、購入したリストやスクレイピングしたリストにしか入りません。 リサイクルトラップは、プロバイダーが休眠期間のあとに再び有効化した放置アドレスで、誰もクリーニングしないリストにたまります。 タイポトラップは大手プロバイダーのドメインのスペルミスに置かれ、検証していない登録を捕まえます。

• リストを購入、レンタル、スクレイピングしないでください。 理由はトラップにとどまりません。詳しくはメールリストを購入してよいかをご覧ください。
• 古いリスト、取り込んだリスト、引き継いだリストは、初回送信の前に検証してください。 1年間送っていないリストは未検証のものとして扱い、古いリストへのメール送信の手順に従います。
• ハードバウンスは1回目で配信対象から除外してください。 また、アドレスが放棄されたと考えられるほど長く反応のない購読者への送信も止めます。サンセットポリシーを設ければ自動化できます。
• 登録時に入力ミスを検出してください。 スペルミスのドメインがリストに入る前に防ぎます。

稼働中のスパムトラップを確実に見分けられる検証サービスはありません。 稼働中のトラップは、ほかのメールボックスと見分けがつかないためです。 検証で取り除けるのは、トラップが集まる環境のほうです。 つまり、存在しないアドレスや入力ミスのドメインです。 これらは、誰も管理していないリストの最もはっきりした兆候です。 違いについてはスパムトラップのガイドで説明しています。

迷惑メール報告の急増#

迷惑メール報告は、ブラックリストに直接反映されます（SpamCopは、ユーザーからの報告とトラップへの送信を根拠にIPを掲載します）。 すべてのメールプロバイダーのレピュテーション評価にも反映されます。 迷惑メール報告率は0.1%未満に抑え、GmailとYahooの0.3%は決して近づかない上限として扱ってください。

• 登録時に約束した内容を、期待された頻度で送ってください。 迷惑メール報告の多くは、購読したことを忘れた人や、想定以上に届いたと感じた人から出ます。
• 報告するより、やめるほうが簡単な状態にしてください。 見つけやすい配信停止リンク、マーケティングメールへのワンクリック配信停止ヘッダー、2日以内の配信停止の反映です。
• 迷惑メール報告をした人はすぐに配信対象から除外してください。 プロバイダーが提供するフィードバックループを利用します。
• 月平均だけでなく、送信ごとの迷惑メール報告を見てください。 問題のある1つのセグメントだけで基準を超えることがあります。

測定と改善の方法は迷惑メール報告率のガイドで、報告で動くリストの代表例はSpamCopブラックリストで説明しています。

送信量の急な増加#

週に2,000人へ送っていた送信者が、ある日いきなり20万人へ送ると、乗っ取られたアカウントと見分けがつきません。 急増は、ほかの問題も増幅します。 古いセグメントのトラップへの送信と迷惑メール報告が一度に発生し、しきい値を超える規模になるためです。 監視をかいくぐろうと、新しい多数のIPやドメインに送信量を分散させるのはさらに悪い方法です。 これはSpamhausのCSSリストが検知するために存在する「スノーシュー」パターンです。

• 新しい送信ドメインや専用IPは、すべて段階的にウォームアップしてください。
• 季節的なピークに向けては、ブラックフライデーの到達率チェックリストのように、数週間かけて送信量を増やしてください。
• 一定のペースで送信してください。 長い空白のあとに一気に送ると、築いた信頼がリセットされます。

乗っ取られたアカウント、オープンリレー、改ざんされたフォーム#

自社名義でスパムを送るものがあれば、その掲載は自社に及びます。 よくある原因は、フィッシングで盗まれたESPやメールボックスのログイン、漏えいしたSMTPパスワードやAPIキー、誰のためにも中継してしまうメールサーバー、脆弱なWebサイトのプラグイン、攻撃者が宛先を選べてしまうお問い合わせフォームです。 このように機械的に検知された不正はCBLに反映され、CBLはSpamhausのXBLに情報を提供しています。

• ESP、CRM、メールボックスのアカウントで多要素認証を有効にし、退職者のアクセス権は削除してください。
• APIキーとSMTP認証情報は用途を1つに絞ってローテーションし、コードリポジトリに置かないでください。
• 自社でメールサーバーを運用する場合は、認証済みユーザーのみ中継を許可してください。
• CMSとフォームのプラグインを更新し、お問い合わせフォームは固定のアドレスにだけ送信させてください。
• 送信量を監視してください。 予定していない送信は、乗っ取りのいちばん明確な兆候です。

保護されていない登録フォームによるサブスクリプション爆撃#

サブスクリプション爆撃（リスト爆撃とも呼ばれます）は、登録フォームを武器に変えます。 ボットが、実在する人々のアドレスをWeb上のフォームに大量に送信して被害者の受信トレイを埋め尽くし、自社のフォームがその全員に頼んでいない確認メールやウェルカムメールを送ってしまいます。 被害者はそれを迷惑メールとして報告し、送信されたアドレスの一部はトラップであり、自社のドメインとIPが打撃を受けます。

• ボットを遮断してください。 すべての登録フォームにCAPTCHAまたは不可視のチャレンジとハニーポットフィールドを設置し、IPごとのレート制限を設けます。
• ダブルオプトインを使い、 確認メールにはマーケティング内容を入れず、リスクの低いシンプルなメッセージにします。
• 急増を見張ってください。 サイトのトラフィックに見合わない登録の急増は、バイラルではなくボットです。
• リアルタイムで検証し、 ボットのトラフィックに混じる偽のアドレスや使い捨てアドレスを検出します。QualisendのVerification APIは、訪問者がフォームにいる間に判定を返します。

限界も理解しておいてください。 爆撃では実在し配信可能なアドレスが使われるため、検証だけでは止められません。 主役はボット対策です。 偽の登録を防ぐ方法ですべての防御層を、シングルオプトインとダブルオプトインの比較で確認メールのトレードオフを説明しています。

リンク内の掲載済みドメイン#

Spamhaus DBL、SURBL、URIBLなどのドメインブラックリストは、スパムで見つかったドメインを掲載します。 フィルターは、Fromドメインだけでなく、本文内のすべてのURLをこれらと照合します。 フッターに掲載済みのドメインが1つあるだけで、クリーンなメールがフィルターされることがあります。 よくある原因は、スパマーも使う公開の短縮URLサービス、アフィリエイトやパートナーのドメイン、ESPが複数の顧客で共有するクリックトラッキング用ドメイン、失効させたあとで他者が使っている旧ドメインです。

• リンクとクリックトラッキングには独自ドメインを使ってください。
• 大量送信の前に、テンプレート内の各ドメインを確認してください。 リスト運営者自身の照会機能（SpamhausはDBL用のものを提供しています）を使うか、IPだけでなくドメインもチェックするブラックリスト監視にドメインを追加します。
• メールで使ったドメインは登録を維持してください。 他者に取得されて汚されることを防ぎます。

共有IPの隣人#

共有IPは、ほとんどのESPがほとんどの顧客向けに使っている方式で、自社のメールはほかの送信者と同じIPアドレスから送られます。 そのうちの1社がトラップに当たったり迷惑メール報告を集めたりすると、Barracuda Reputation Block ListなどのIPベースのリストがそのIPを掲載することがあり、自社のメールも巻き込まれます。 隣人は選べませんが、建物は選べます。

• プールを管理し、悪質な送信者を排除するESPを選んでください。
• メールがどのIPから出ているかを把握してください。 テストメールのReceivedヘッダーに表示され、メールヘッダー解析なら自動で読み取れます。そのIPを監視対象に追加します。
• 送信量が見合うようになってから専用IPへ移ってください。 専用IPではコントロールが手に入りますが、そのレピュテーションの責任はすべて自社が負い、ウォーム状態を保つには安定した送信量が必要です。

自社IPの逆引きDNSの欠落または不正#

これは、自社でメールサーバーを運用している場合や、専用IPを使っている場合に当てはまります。 受信側は、送信IPにPTR（逆引きDNS）レコードがあり、それが実在するホスト名に解決され、そのホスト名が同じIPに解決されることを期待します。 GoogleとYahooは、すべての送信者に有効な正引きと逆引きのDNSを求めています。 PTRがないIP、または家庭用や動的接続のような名前のIPは、SpamRatsのような自動判定のリストが検知する典型で、スパムを送っていなくても掲載されます。

• PTRレコードは、IPの所有者（ホスティングまたはクラウドのプロバイダー）に依頼して設定してください。 指す先は、mail.example.comのような自社ドメイン上のホスト名です。
• そのホスト名のAレコードを同じIPに向け、 サーバーのHELO名としても使います。
• 結果は無料の逆引きDNS確認で確認してください。 正引きで確認済みかどうかも表示されます。

掲載を見逃さないための監視#

慎重な送信者でも、ときどき掲載されることはあります。 共有IPの隣人、乗っ取られたプラグイン、厳しいリストなどが原因です。 予防は確率を下げ、監視は被害を小さくします。 掲載のコストは、気づかないまま過ぎる日ごとに増えるためです。

• すべての送信元IDを監視してください。 Fromドメイン、メールの送信元IP、リンクとトラッキング用ドメインです。
• 毎日、自動でチェックしてください。 Qualisendのブラックリスト監視は、ドメインとIPを24時間ごとに、Spamhaus、Barracuda、SpamCopなどの主要なブラックリストで再チェックし、掲載されたときと解除されたときにメールでお知らせします。送信IPを1回だけ確認するなら、無料のブラックリストチェックで十分です。
• メールプロバイダーの報告を確認してください。 Google Postmaster ToolsではGmailの迷惑メール率（0.3%未満に保ち、0.1%未満を目指します）、コンプライアンス状況、配信エラーが確認でき、Microsoft SNDSでは管理下のIPに関するOutlook.comのデータが確認できます。迷惑メール率の上昇や、新たな遅延の連続は、掲載の前触れになることがよくあります。
• バウンスを読んでください。 ブラックリストの名前が書かれた拒否は、最も直接的なシグナルです。ほかの兆候は掲載されているサインの解説で紹介しています。
• DNSを変更したあとは、毎回ドメイン診断を再実行してください。 SPFやDKIMレコードの破損を見逃さずに済みます。

監視の対象と頻度については、ブラックリスト監視のガイドでさらに詳しく説明しています。

それでも掲載されてしまったら#

最初に削除申請を出さないでください。次の順序で進めます。

1. 掲載の有無と、どのリストかを確認します。 ブラックリストに載っているかの確認方法に従います。影響範囲で優先順位をつけます。Spamhausへの掲載は緊急ですが、無名のリストは受信者のほとんどに影響しないこともあります。
2. 原因を見つけて修正します。 原因は上の表で探せます。修正前に削除を申請すると、再掲載される可能性が高く、再掲載は解除が難しくなります。
3. 運営者自身の手続きで削除を申請します。 原因が止まれば自然に失効する掲載もあります。SpamCopの掲載は通常、最後の報告から約1日後に解除されます。
4. 段階的に送信量を戻します。 エンゲージメントの高い購読者から先に送ります。

リストごとの詳しい手順は、ブラックリストから削除してもらう方法にまとめています。 「すべてのブラックリスト」からの有料削除をうたう業者は無視してください。 Spamhausは削除に料金を請求しません。 原因を修正していないリストから削除できるサービスはありません。

防止の大部分はリストの品質です。まずそこから始めましょう。 有効期限のない100クレジットを無料で利用してリストを検証し、 ブラックリスト監視にドメインとIPを任せれば、 掲載が長く気づかれないまま続くことはありません。