Как найти настоящую причину спама в Mail.ru

Когда письмо попало в спам Mail.ru, сначала выясните, было ли оно доставлено в папку «Спам» или сервер отказал в приёме: это разные случаи. Затем сохраните оригинал письма, проверьте результаты SPF и DKIM и откройте статистику Postmaster. Я покажу порядок проверок и объясню, чему не стоит верить.

Сначала выясните: письмо доставили или отклонили

Фраза «письмо в спаме» не объясняет, что произошло. Я разделяю три исхода: письмо попало во «Входящие», было доставлено в «Спам» или почтовый сервер отказал принять его. Для условного магазина электроники «Импульс» из Москвы, где 20 рабочих мест, я запросил бы у одного получателя оригинал конкретного письма и время отправки, а у отправителя — SMTP-ответ и состояние очереди. Один экземпляр полезнее десятка пересказов: по нему можно сопоставить путь сообщения у получателя с записью у отправляющего сервера. Если письмо не найдено вообще, отдельно проверяем адрес, правила фильтрации и состояние ящика. Это уже другой сценарий, и смешивать его с папкой «Спам» нельзя. Для настройки и проверки корпоративной почты я также заранее выясняю, кто управляет DNS и кто видит журнал отправки: без этих доступов диагностика быстро упирается в фразу «у нас всё настроено».

В актуальной справке Почты Mail получателю предлагают скачать оригинал письма через меню сообщения: открыть меню с тремя точками, выбрать «Ещё», затем «Скачать на компьютер»; в мобильном интерфейсе пункт называется «Скачать письмо». Сохраните файл целиком, обычно это письмо в формате EML, и передайте его специалисту по защищённому каналу: в заголовках могут быть адреса и служебные данные. В исходнике проверяют цепочку Received, результаты аутентификации, отправителя и время, если эти поля присутствуют. Не ищите обязательные для Mail.ru строки X-Spam-Status или X-Spam-Reason: документация Почты Mail не обещает, что такие заголовки будут в каждом письме. Для отклонённого письма нужен ответ SMTP, а не заголовки уже доставленного сообщения; Mail.ru документирует ответ 550 spam message rejected как отказ спам-фильтра. Переименовывать «скидку» в «предложение», пока письмо даже не приняли, — косметика вместо диагностики.

• Уточните папку и точное время отправки.
• Скачайте исходное письмо целиком в EML.
• Запросите SMTP-ответ, если письмо отклонено.
• Сопоставьте данные получателя и отправителя.

Проверьте SPF, DKIM и DMARC без магии

Следом я сверяю домен отправителя с тем, что реально подписывает и отправляет письмо. SPF проверяет, разрешено ли конкретному серверу отправлять от имени домена SMTP-отправителя; он не оценивает содержание письма и сам по себе не обещает попадание во «Входящие». Посмотрите, откуда отправляют сайт, офисная система и сервис рассылки, затем убедитесь, что все эти источники учтены в одной корректной политике SPF. Отдельный TXT для каждого источника не складывается в общую запись автоматически. Механизм +all — особенно плохой «запасной вариант»: согласно RFC 7208, all совпадает всегда, а знак плюс означает положительный результат. Такая запись разрешает SPF-проверке принять любой источник; это фактически отключает ограничение, ради которого запись публикуют.

DKIM проверяет криптографическую подпись сообщения; при проверке важны сама подпись, соответствие ключа и домен в параметре d=. Для DMARC недостаточно увидеть любой положительный SPF или любую DKIM-подпись: успешный результат требует, чтобы прошедшая проверку идентичность была согласована с доменом в поле From. Политика DMARC сообщает получателю предпочтение владельца домена при провале проверки, но получатель применяет свои правила обработки. Поэтому p=none — режим наблюдения, а переход к более строгой политике имеет смысл только после того, как вы нашли все законные источники отправки и проверили отчёты. В Postmaster Mail отсутствие или слабая политика DMARC, а также отсутствие SPF или DKIM отмечаются как проблемы, которые могут влиять на репутацию. Это аргумент настроить аутентификацию аккуратно, а не объявлять каждое письмо без трёх идеальных зелёных отметок спамом. Для общего разбора принципов пригодится материал о SPF, DKIM и DMARC.

• Составьте список всех источников отправки.
• Сверьте SPF с фактическими серверами.
• Проверьте подпись DKIM и домен d=.
• Сопоставьте результат с доменом поля From.

Используйте Postmaster Mail, а не догадки

В Postmaster Mail статистика доставки разделена на три состояния. «Доставлено» — сообщение попало во «Входящие». «Возможно спам» — фильтр распознал возможный спам; обычно такие письма попадают в папку «Спам». «Точно спам» — серверы Mail не приняли сообщение, и отправителю возвращается ошибка 550 spam message rejected. Это принципиально разные результаты: для первого проверяйте доставленное письмо, для второго — оригинал и пользовательские жалобы, для третьего — ответ сервера и требования к отправителю. Статистика в Postmaster привязана к домену DKIM-подписи. Если подпись отсутствует, не проходит проверку или в ней указан другой домен d=, данные по добавленному домену могут не отображаться. В таком случае пустой график сам по себе не доказывает, что писем не отправляли.

Ещё одна полезная метрика — репутация домена: Mail.ru считает её как средний процент жалоб за последние 30 дней; отдельно интерфейс показывает изменение процента жалоб за последние семь дней относительно этого периода. Поэтому сравнивайте динамику, а не делайте вывод по одному письму или сегодняшнему скачку. В документации Mail.ru также указано, что жалобы, отправка на несуществующие адреса, попадание в спам-ловушки и отсутствие корректной обработки отказов влияют на репутацию. Это конкретные вещи, которые можно проверить по отчётам и журналам. Здесь же исправляю цифру из черновика: 0,1 % не является единым порогом Mail.ru. В правилах сервиса пределы зависят от месячного объёма отправки и лежат от 1,1 % для объёма до 10 тысяч писем до 0,3 % для объёма свыше 50 миллионов; это ориентиры для массовых отправителей, а не обещание доставки каждой рассылки.

Если вы проверяете сразу несколько показателей, не сводите их к одному ярлыку «репутация плохая». Сначала смотрите, есть ли статистика и к какому DKIM-домену она привязана. Затем сравнивайте количество принятых сообщений, жалоб и отказов с периодом, когда поток был обычным. Если резко выросли отказы на несуществующие адреса, исправляйте список получателей и обработку недоставки; если выросли жалобы, изучайте согласие на рассылку, частоту и содержание. Mail.ru прямо указывает, что плохая репутация может привести к папке «Спам» или частичной либо полной блокировке отправки, но сам показатель не называет единственную причину. При этом новый домен или новая подпись могут означать, что данные ещё не собираются по ожидаемой сущности. Для магазина «Импульс» я бы прежде всего сверил домен d= подписи с доменом, который добавлен в Postmaster, а уже потом объяснял пустые графики фильтром.

• Сверьте домен DKIM с доменом в Postmaster.
• Сравните жалобы за 30 дней и последнюю неделю.
• Отделите доставку в спам от SMTP-отказа.

Проверьте репутацию IP и причины отказов

Если статистика и SMTP-ответ указывают на проблему с отправителем, проверьте исходящий IP и домен по тем спискам репутации, которые называет конкретный ответ или используемый вами почтовый фильтр. Важно записать точное название списка и тип записи. Сам факт, что адрес присутствует в каком-либо внешнем реестре, не доказывает, что именно он вызвал решение Mail.ru: разные получатели используют разные данные и правила. Проверьте также, откуда на самом деле уходят письма, не отправляет ли сервер неожиданно большой объём и нет ли в очереди сообщений, которые никто в компании не отправлял. Репутация может относиться к IP, домену или подписывающему домену — это не одно и то же. Если нужен отдельный план проверки, см. Материал о репутации IP почты.

Если Spamhaus показывает листинг, сначала устраните указанную причину и проверьте именно этот листинг в официальном Reputation Checker. Для запроса на удаление Spamhaus требует пользоваться своим Checker и указывает, что заявку может подать зарегистрированный владелец домена или IP; в запросе нужно описать причину, принятые меры и профилактику повторения. Подача заявки не гарантирует снятие. Не обещаю срок в «пару дней» и не объявляю доставку полностью восстановленной сразу после удаления: синхронизация и решение конкретного получателя могут отличаться. Если письма продолжают отклоняться только у одного получателя, нужен его SMTP-ответ и обращение к его администратору; если отказы массовые, вернитесь к исходной причине, а не отправляйте тот же запрос второй раз. Реестр — это проверяемый сигнал, а не универсальное объяснение всех проблем с почтой.

Внешние списки полезно читать по смыслу, а не только по цвету индикатора. Например, разные базы могут описывать массовые жалобы, вредоносную активность, низкую репутацию или адреса, которым вообще не следует отправлять почту напрямую. Эти категории требуют разных действий. Сверьте найденный объект с тем IP, который действительно виден в заголовке Received или журнале исходящего сервера; при использовании почтового посредника это может быть не адрес вашего офиса. Потом проверьте обратную DNS-запись, HELO и владельца исходящего адреса, если их требует листинг. Не просите снять запись до устранения причины: иначе она может появиться снова. Для связанных статей о чёрных списках почты используйте рекомендации именно того списка, где найдено совпадение.

• Сверьте IP и домен с фактическим маршрутом отправки.
• Запишите список и категорию найденного листинга.
• Устраните причину, затем подайте запрос по инструкции.

Разберите жалобы, поток и повторную проверку

Когда SPF и DKIM проходят проверку, это не отменяет поведение получателей. Если люди не ждут письмо или не узнают отправителя, они нажимают «Спам»; если адреса устарели, сервер отвечает ошибкой. Для Mail.ru это не второстепенные детали: правила сервиса отдельно называют жалобы, несуществующие адреса, спам-ловушки и проблемы с обработкой отказов факторами репутации. Сверьте источник адресов, согласие на рассылку, регулярность и содержание сообщений. Если после смены шаблона выросли жалобы, сравните выборку до и после изменения и верните только те элементы, связь которых подтверждается данными. Не приписывайте фильтру конкретную реакцию на одно слово: публичной таблицы «запрещённых слов», которая объясняет каждое решение Mail.ru, нет. Если вы рассылаете уведомления и рекламу, разделите их по назначению в аналитике; так вы увидите, какой поток создаёт жалобы, вместо того чтобы менять всё сразу.

При запуске нового домена или IP наращивайте отправку постепенно и наблюдайте за ответами получателей. Универсальной безопасной последовательности вроде «сегодня 100, завтра 500» нет: она зависит от истории домена, объёма, типа писем и качества списка. Spamhaus рекомендует постепенно вводить в работу новые или недавно неактивные домены и IP, но не обещает одинаковый календарь для всех. После исправления выберите небольшой контрольный набор реальных адресатов, отправьте обычное письмо, запросите его оригинал и снова сравните результат Postmaster с SMTP-ответом. Меняйте один подтверждённый фактор за раз: иначе не поймёте, что действительно повлияло. В общем материале о письмах в спаме на другом сервисе разбирается похожая последовательность, но метрики и интерфейс там другие.

Мой рабочий порядок короткий: определить исход письма, сохранить оригинал, сверить SPF/DKIM/DMARC, проверить Postmaster, сопоставить SMTP-ответ с журналом, проверить жалобы и списки репутации. Затем зафиксировать, что именно исправлено, и повторить отправку на тех же условиях. Если проверка изменилась, запишите результат и время; это позволит отличить исправление от случайного колебания потока. Если не изменилась, не запускайте прогрев наугад и не меняйте весь текст: вернитесь к конкретному ответу получателя и выясните, какой сервер отклонил сообщение. Письмо может пройти SPF и DKIM, но всё равно не попасть во «Входящие» по независимым причинам. И наоборот: одна неудачная проверка не даёт права объявить домен потерянным. Нужны повторяемый результат и данные с обеих сторон.

• Проверьте согласие, актуальность адресов и частоту.
• Сверьте Postmaster и SMTP после исправления.
• Фиксируйте изменения и проверяйте тот же сценарий.

Частые вопросы