Zgoda, wypisanie się i czysta lista

Moduł 7: Newslettery i poczta wysyłana ze strony internetowej · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili budować i utrzymywać listę adresową, która budzi zaufanie zarówno z punktu widzenia prawa, jak i filtrów antyspamowych, oraz sprawdzić, czy newsletter ma działające wypisanie się jednym kliknięciem.

Kluczowe pojęcia: zgoda uprzednia (opt-in), potwierdzona zgoda (double opt-in), wyjątek dla własnych klientów (soft opt-in), europejska dyrektywa ePrivacy (artykuł 13), RODO, link wypisania się, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post i wypisanie się jednym kliknięciem (RFC 8058), wskaźnik skarg, twarde i miękkie zwroty (bounce), adresy nieaktywne, spamtrap, kupiona lista

Sama technika nie wystarczy

W lekcji 7.1 uwierzytelnili Państwo swoją domenę u dostawcy wysyłki. SPF, DKIM i DMARC są poprawne. Mimo to newsletter może trafić do spamu. Odbiorcy tacy jak Gmail, Yahoo i Outlook.com patrzą bowiem również na to, jak ich użytkownicy reagują na Państwa pocztę. Czy klikają "To jest spam", czy nigdy nie otwierają Państwa wiadomości, czy wysyłają Państwo na adresy, które od lat nie istnieją? W takim przypadku Państwa reputacja spada, bez względu na to, jak dobra jest technika.

Gmail w swoich wytycznych dla nadawców podaje granicę: wskaźnik skarg (spam rate, czyli odsetek Państwa poczty, który odbiorcy oznaczają jako spam, mierzony w Google Postmaster Tools) powinien pozostawać poniżej 0,1% i nigdy nie osiągać 0,3% lub więcej. Yahoo stosuje również próg 0,3%. To jedna skarga na 333 wiadomości. Przy liście osób, które nie wiedzą, dlaczego otrzymują Państwa pocztę, nigdy się tego nie osiągnie.

Czysta lista zaczyna się więc od pytania: czy ta osoba naprawdę chce otrzymywać moją pocztę?

Co mówi prawo?

Zasady dotyczące niezamówionych wiadomości elektronicznych (spamu) pochodzą z europejskiej dyrektywy ePrivacy (dyrektywa 2002/58/WE, artykuł 13), która każdy kraj wdrożył we własnej ustawie krajowej. Prosimy sprawdzić przepisy obowiązujące w Państwa kraju oraz właściwy organ nadzoru. Przykładowo w Niderlandach zasady te zawarto w artykule 11.7 ustawy telekomunikacyjnej (Telecommunicatiewet), a wyjaśnia je na swojej stronie tamtejszy organ ds. konsumentów i rynku (Autoriteit Consument & Markt, ACM). Dla danych osobowych obowiązuje dodatkowo RODO. To nie jest porada prawna, ale główne zasady są jasne:

• Zgoda uprzednia. Reklama przez e-mail, a także wiadomości o celach społecznych lub charytatywnych, może być wysyłana wyłącznie do osoby, która wcześniej wyraziła na to zgodę. Muszą Państwo być w stanie tę zgodę udowodnić. Zgodnie z wytycznymi takich organów zgoda musi być wyrażona świadomie: bez domyślnie zaznaczonego pola, bez ukrywania w regulaminie, a wybór musi jednoznacznie dotyczyć reklamy.
• Wyjątek dla własnych klientów, często nazywany soft opt-in. Jeśli adres e-mail otrzymali Państwo przy sprzedaży produktu lub usługi, mogą Państwo wysyłać do tego klienta wiadomości o własnych, podobnych produktach lub usługach. Warunek: przy zbieraniu adresu dali Państwo wyraźną możliwość odmowy, i robią to Państwo ponownie w każdej wiadomości.
• Adresy firmowe. Również wobec osób prawnych co do zasady obowiązuje zgoda uprzednia. Wyjątek jest wąski: adresy, które firma sama upubliczniła w celu otrzymywania reklamy, wykorzystywane zgodnie z tym celem. Pobranie adresu ze strony internetowej nie jest więc zgodą.
• Wypisanie się i nadawca. Przy każdej wiadomości odbiorca musi mieć możliwość bezpłatnego i prostego wypisania się. Zawsze podają Państwo rzeczywistą tożsamość nadawcy oraz ważny adres, na który odbiorca może wysłać żądanie zaprzestania wysyłki.

Nie istnieją więc "kupione listy ze zgodą", na które można bez przeszkód wysyłać pocztę: zgoda musi być wyrażona wobec Państwa i Państwa wiadomości.

Potwierdzona zgoda: dowód i jakość jednocześnie

Przy zwykłym opt-in ktoś wpisuje swój adres w formularzu i od razu trafia na Państwa listę. Problem: każdy może wpisać dowolny adres, także cudzy, a błędy literowe (jan@gmial.com) również trafiają na listę.

Przy potwierdzonej zgodzie (double opt-in) adres najpierw otrzymuje wiadomość z linkiem potwierdzającym. Dopiero po kliknięciu trafia na listę. Ma to trzy zalety:

1. Udowadniają Państwo, że właściciel adresu sam wyraził zgodę (zachowują Państwo datę, godzinę i adres IP potwierdzenia). Organy nadzoru wskazują, że zgodę trzeba umieć wykazać jeszcze przez lata po wysyłce.
2. Lista zawiera wyłącznie adresy, które istnieją i są czytane.
3. Zapobiegają Państwo wypełnianiu formularza przez osoby o złych zamiarach lub boty adresami innych osób. Takie osoby później się skarżą, co uderza w Państwa.

Wielu dostawców hostingu stawia potwierdzoną zgodę jako warunek wysyłki mailingów przez swoje serwery. U WebOké jest to opisane na przykład w artykule bazy wiedzy 18; u innych dostawców znajduje się to w regulaminie dopuszczalnego użytkowania.

Wypisanie się jednym kliknięciem

Link do wypisania się na dole wiadomości jest wymagany prawnie. Duzi odbiorcy chcą dodatkowo przycisku wypisania się we własnym programie: Gmail i Yahoo pokazują wtedy u góry wiadomości "Wypisz się". Działa to dzięki dwóm nagłówkom.

List-Unsubscribe (RFC 2369) podaje jeden lub dwa sposoby wypisania się, w nawiasach ostrokątnych:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) mówi, że link https działa jednym kliknięciem, bez konieczności potwierdzania przez odbiorcę czegokolwiek na stronie:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Gdy odbiorca w Gmailu kliknie Wypisz się, Gmail wysyła żądanie POST z dokładnie List-Unsubscribe=One-Click na ten URL. Państwa serwer natychmiast wypisuje wtedy adres. Kilka zasad z RFC 8058:

• URL musi być w https;
• link musi być unikalny dla każdego odbiorcy (zawiera kod), aby serwer wiedział, kto się wypisuje;
• nagłówki List-Unsubscribe i List-Unsubscribe-Post muszą być objęte podpisem DKIM, w przeciwnym razie ktoś mógłby je podmienić po drodze;
• żądanie GET na tym samym URL nie może od razu wypisywać (skanery antywirusowe i podglądy wiadomości podążają za linkami), tylko żądanie POST.

Gmail wymaga od nadawców masowych (ponad około 5000 wiadomości dziennie na adresy Gmail) wypisania się jednym kliknięciem w poczcie marketingowej, a dodatkowo widocznego linku do wypisania się w treści. Yahoo wymaga tego samego i oczekuje, że wypisanie zostanie przetworzone w ciągu 2 dni. Również przy mniejszej skali: każdy dobry dostawca wysyłki automatycznie dodaje te nagłówki. Proszę to jednak sprawdzić (patrz zadanie).

Utrzymywanie czystej listy

Lista się starzeje. Ludzie zmieniają pracę, skrzynki pocztowe są zamykane, zainteresowanie znika. Bez utrzymania rosną Państwa zwroty (bounce) i skargi, a spada liczba otwarć. Pięć stałych nawyków:

1. Twarde zwroty od razu usuwać. Twardy zwrot (błąd 5xx, taki jak 550 5.1.1 "adres nie istnieje", lekcja 6.2) oznacza, że adres nie działa. Jeśli nadal będą Państwo tam wysyłać, odbiorcy uznają Państwa za niechlujnego lub spamującego nadawcę. Dostawcy wysyłki robią to automatycznie.
2. Obserwować miękkie zwroty. Chwilowy błąd (4xx, na przykład pełna skrzynka) może wystąpić kilka razy, ale jeśli adres zawodzi przy każdej wysyłce, należy go usunąć.
3. Przetwarzać skargi. Kto kliknie "To jest spam", musi zniknąć z listy. Duzi odbiorcy wysyłają zgłoszenie przez pętlę informacji zwrotnej (feedback loop); dostawcy wysyłki je przetwarzają.
4. Usuwać nieaktywnych. Ktoś, kto od roku nic nie otwiera ani nie klika, daje zły sygnał. Proszę najpierw wysłać wiadomość z prośbą o ponowne potwierdzenie ("Czy nadal chcą Państwo otrzymywać nasz newsletter?"), a tych, którzy nie zareagują, usunąć z listy. Uwaga: od czasu Apple Mail Privacy Protection (lekcja 2.3) dane o otwarciach są niepewne; proszę patrzeć również na kliknięcia.
5. Nigdy nie kupować, nie wynajmować ani nie pozyskiwać list. Oprócz problemu prawnego, w takich listach często znajdują się spamtraps: adresy, które administratorzy list blokujących i odbiorcy celowo utrzymują, aby łapać spamerów. Są to stare adresy ponownie otwarte jako pułapka po latach milczenia, a także adresy, które nigdy nigdzie nie zostały zapisane. Kto do nich wysyła pocztę, dowodzi, że nie ma zgody. Jedno trafienie może umieścić Państwa na liście blokującej (lekcja 5.2).

W praktyce

Przykład: prowadzą Państwo sklep internetowy i chcą wysyłać klientom po zakupie newsletter o podobnych produktach. Wtedy przy kasie umieszczają Państwo niezaznaczone domyślnie pole "Chcę otrzymywać newsletter", albo korzystają Państwo z wyjątku dla własnych klientów: przy kasie wyraźnie informują Państwo, że będą wysyłać klientom wiadomości o podobnych produktach, z opcją "nie, dziękuję", a każdy newsletter zawiera link do wypisania się. Cała poczta idzie przez dostawcę wysyłki z uwierzytelnioną domeną (lekcja 7.1). Dostawca automatycznie usuwa zwroty i skargi, a Państwo dwa razy w roku porządkują nieaktywne adresy.

W przypadku stowarzyszenia z listą mailingową w pakiecie hostingowym (u WebOké nazywa się to Listy mailingowe w DirectAdmin; inne panele mają podobne listy) chodzi o członków, którzy spodziewają się tej poczty. Również tutaj: proszę w każdej wiadomości umieścić informację, jak się wypisać, i usunąć z listy byłych członków.

Podsumowanie

• Odbiorcy patrzą na skargi: proszę pozostawać poniżej 0,1% i nigdy nie osiągać 0,3%.
• Zgodnie z zasadami wynikającymi z dyrektywy ePrivacy wysyłają Państwo reklamę wyłącznie za udowodnioną zgodą uprzednią, z wyjątkiem dla własnych klientów w sprawie podobnych produktów. Zawsze z podaniem nadawcy i możliwością wypisania się.
• Potwierdzona zgoda daje dowód oraz listę bez błędów literowych i fałszywych zapisów.
• List-Unsubscribe z linkiem https oraz List-Unsubscribe-Post: List-Unsubscribe=One-Click, objęte podpisem DKIM, a wypisania przetwarzane w ciągu 2 dni.
• Twarde zwroty i skarżący się usuwani, nieaktywni porządkowani, nigdy nie kupować list (spamtraps).

Quiz

Zadanie

Zadanie Z7.2: Sprawdzanie nagłówków wypisania się. Proszę wkleić nagłówki newslettera, który sami Państwo wysyłają (lub newslettera, który Państwo otrzymują, albo przykładowy plik nieuwsbrief-kopregels-2.txt). Proszę wypełnić: czy jest nagłówek List-Unsubscribe z linkiem https (tak/nie), czy jest wariant mailto: (tak/nie), czy włączone jest wypisanie się jednym kliknięciem (tak/nie) oraz czy te nagłówki są objęte podpisem DKIM (tak/nie, patrz h= w DKIM-Signature). Program analizuje nagłówki i porównuje wyniki.

Zadanie O7.2: Sprawdzenie procesu uzyskiwania zgody. Proszę opisać, w jaki sposób ludzie trafiają na Państwa listę (formularz, kasa, zapis na wydarzenie) i odpowiedzieć na listę kontrolną: czy pole jest puste, dopóki ktoś sam go nie zaznaczy, czy ktoś potwierdza swój adres, czy zachowują Państwo datę i godzinę wyrażenia zgody, czy w każdej wiadomości znajduje się link do wypisania się oraz nazwa i adres Państwa firmy, oraz jak często porządkują Państwo nieaktywne adresy? Następnie otrzymają Państwo przykładową odpowiedź wraz z punktami, na które należy zwrócić uwagę.

Dowiedz się więcej

Kroki opisane w tych artykułach dotyczą paneli WebOké; u innych dostawców działa to w podobny sposób.

• Czy mogę wysyłać mailing za pośrednictwem mojego pakietu hostingowego w WebOké?
• Niektóre wiadomości wysłane na listę mailingową nie docierają
• Instrukcja DirectAdmin 7.10: Listy mailingowe
• ACM, Spam (zasady wysyłania reklamy przez e-mail) (Niderlandy): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, artykuł 11.7 (Niderlandy): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (wypisanie się jednym kliknięciem): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, wytyczne dla nadawców: https://senders.yahooinc.com/best-practices/