Samtykke, afmelding og en ren liste

Modul 7: Nyhedsbreve og mail fra din hjemmeside · Læsetid: 12 minutter

Læringsmål: Efter denne lektion kan du opbygge og vedligeholde en adresseliste som både loven og spamfiltrene har tillid til, og du kan kontrollere om et nyhedsbrev har en fungerende afmelding med ét klik.

Kernebegreber: forudgående samtykke (opt-in), bekræftet opt-in (double opt-in), undtagelse for egne kunder (soft opt-in), de regler der gennemfører ePrivacy-direktivet (i Nederlandene: artikel 11.7 Telecommunicatiewet), GDPR (databeskyttelsesforordningen), afmeldingslink, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post og afmelding med ét klik (RFC 8058), klageprocent, hårde og bløde bounces, inaktive adresser, spamtrap, købt liste

Teknik er ikke nok

I lektion 7.1 har du autentificeret dit domæne hos en udsendelsestjeneste. SPF, DKIM og DMARC er i orden. Alligevel kan dit nyhedsbrev havne i spam. Modtagere som Gmail, Yahoo og Outlook.com kigger nemlig også på, hvordan deres brugere reagerer på din mail. Klikker folk på "Dette er spam", åbner de aldrig din mail, eller sender du til adresser som ikke har eksisteret i årevis? Så daler dit omdømme, uanset hvor god din teknik er.

Gmail nævner i sine retningslinjer for afsendere en grænse: hold spamprocenten (den del af din mail som modtagere markerer som spam, målt i Google Postmaster Tools) under 0,1% og kom aldrig op på 0,3% eller derover. Yahoo bruger også 0,3%. Det er én klage per 333 mails. Med en liste af mennesker der ikke ved, hvorfor de får din mail, når du det aldrig.

En ren liste begynder altså med spørgsmålet: vil denne person virkelig have min mail?

Hvad siger loven?

Reglerne for uønskede elektroniske beskeder (spam) kommer fra det europæiske ePrivacy-direktiv (direktiv 2002/58/EF, artikel 13), som hvert land har indført i sin egen lovgivning. Du bør altid tjekke reglerne i dit eget land og hos din egen tilsynsmyndighed. I Nederlandene står reglerne for eksempel i artikel 11.7 i Telecommunicatiewet, og den nederlandske tilsynsmyndighed Autoriteit Consument & Markt (ACM) forklarer dem på sin hjemmeside. For persondata gælder desuden GDPR (databeskyttelsesforordningen). Dette er ikke juridisk rådgivning, men hovedlinjerne er klare:

• Forudgående samtykke. Reklame via e-mail, og også beskeder til ideelle eller velgørende formål, må kun sendes til nogen, der på forhånd har givet samtykke til det. Du skal kunne dokumentere det samtykke. Ifølge ACM skal samtykket være givet bevidst: ingen forudafkrydsede felter, ikke gemt væk i de generelle betingelser, og valget skal tydeligt handle om reklame.
• Undtagelse for egne kunder, ofte kaldet soft opt-in. Har du fået mailadressen i forbindelse med salg af et produkt eller en tjeneste, må du maile den kunde om dine egne, tilsvarende produkter eller tjenester. Betingelse: du har tydeligt givet mulighed for at sige nej, da du indsamlede adressen, og du gør det igen i hver mail.
• Erhvervsadresser. Også for juridiske personer gælder i princippet forudgående samtykke. Undtagelsen er snæver: adresser som virksomheden selv har offentliggjort for at modtage reklame, brugt til netop det formål. At hente en adresse fra en hjemmeside er altså ikke samtykke.
• Afmelding og afsender. Ved hver besked skal modtageren kunne afmelde sig gratis og nemt. Du skal altid angive afsenderens rigtige identitet og en gyldig adresse, modtageren kan sende en stopanmodning til.

Der findes altså ikke "købte lister med samtykke" som du bare kan maile til: samtykket skal være givet til dig og dine beskeder specifikt.

Bekræftet opt-in: bevis og kvalitet på én gang

Ved en almindelig opt-in udfylder nogen sin adresse i en formular og står med det samme på din liste. Problemet: alle kan udfylde en hvilken som helst adresse, også andres, og tastefejl (jan@gmial.com) kommer også på din liste.

Ved bekræftet opt-in (double opt-in) får adressen først en mail med et bekræftelseslink. Først efter klikket kommer den på listen. Det har tre fordele:

1. Du beviser, at ejeren af adressen selv gav samtykke (gem dato, tidspunkt og IP for bekræftelsen). ACM skriver, at du skal kunne dokumentere samtykket i årevis efter afsendelsen.
2. Din liste indeholder kun adresser der eksisterer og bliver læst.
3. Du forhindrer, at ondsindede personer eller bots udfylder din formular med andres adresser. De mennesker klager senere, og det rammer dig.

Mange hostingudbydere stiller bekræftet opt-in som krav, hvis du sender mailudsendelser via deres servere. Hos WebOké står det for eksempel i videnbase-artikel 18; hos andre udbydere står det i politikken for acceptabel brug.

Afmelding med ét klik

Et afmeldingslink nederst i mailen er lovpligtigt. Store modtagere vil derudover have en afmeldingsknap i deres eget program: Gmail og Yahoo viser så "Afmeld" øverst i mailen. Det fungerer via to headere.

List-Unsubscribe (RFC 2369) angiver en eller to måder at afmelde på, mellem vinkelparenteser:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) siger, at https-linket fungerer med ét klik, uden at modtageren behøver bekræfte på en side:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Klikker modtageren på Afmeld i Gmail, sender Gmail en POST-forespørgsel med præcis List-Unsubscribe=One-Click til den URL. Din server afmelder så adressen med det samme. Et par regler fra RFC 8058:

• URL'en skal være https;
• linket skal være unikt per modtager (der står en kode i det), så serveren ved hvem der afmelder sig;
• List-Unsubscribe- og List-Unsubscribe-Post-headerne skal være omfattet af DKIM-signaturen, ellers kan nogen udskifte dem undervejs;
• en GET-forespørgsel på samme URL må ikke afmelde med det samme (virusscannere og forhåndsvisninger følger links), kun POST må.

Gmail kræver for bulkafsendere (mere end omkring 5.000 mails om dagen til Gmail-adresser) afmelding med ét klik i marketingmail, plus et synligt afmeldingslink i teksten. Yahoo kræver det samme og vil have, at du behandler en afmelding inden for 2 dage. Også hvis du er mindre: enhver god udsendelsestjeneste sætter disse headere automatisk ind. Kontrollér det dog (se opgaven).

Hold din liste ren

En liste bliver gammel. Folk skifter job, mailbokse bliver nedlagt, interesse forsvinder. Uden vedligeholdelse stiger dine bounces og klager, og dine åbninger falder. Fem faste vaner:

1. Hårde bounces ud med det samme. En hård bounce (en 5xx-fejl som 550 5.1.1 "adressen findes ikke", lektion 6.2) betyder, at adressen ikke virker. Bliver du ved med at sende til den, ser modtagere dig som en sjusket eller spammende afsender. Udsendelsestjenester gør dette automatisk.
2. Hold øje med bløde bounces. En midlertidig fejl (4xx, for eksempel en fuld mailboks) må gerne forekomme et par gange, men fejler en adresse ved hver udsendelse, så fjern den.
3. Behandl klager. Den der klikker på "Dette er spam", skal fjernes fra din liste. Store modtagere sender en besked via en feedbackloop; udsendelsestjenester håndterer den.
4. Ryd op i inaktive. Nogen der ikke har åbnet eller klikket i et år, giver et dårligt signal. Send først en genbekræftelsesmail ("Vil du stadig modtage vores nyhedsbrev?"), og fjern dem der ikke reagerer fra listen. Bemærk: siden Apple Mail Privacy Protection (lektion 2.3) er åbninger upålidelige; se også på klik.
5. Køb, lej eller indsaml aldrig lister. Ud over det juridiske problem indeholder sådanne lister ofte spamtraps: adresser som administratorer af blocklister og modtagere netop holder styr på for at fange spammere. Der findes gamle adresser som er genåbnet som fælde efter års stilhed, og adresser som aldrig har tilmeldt sig noget. Den der mailer til dem, beviser, at han ikke har samtykke. Ét ramt skud kan sætte dig på en blocklist (lektion 5.2).

I praksis

Eksempel: du har en webshop og vil sende kunder et nyhedsbrev om lignende produkter efter et køb. Så sætter du ved betalingen et ikke forudafkrydset felt "Jeg vil gerne modtage nyhedsbrevet", eller du bruger undtagelsen for egne kunder: du oplyser tydeligt ved betalingen, at du mailer kunder om tilsvarende produkter, med valget "nej tak", og hvert nyhedsbrev har et afmeldingslink. Al mail går via en udsendelsestjeneste med autentificeret domæne (lektion 7.1). Tjenesten fjerner automatisk bounces og klager, og du rydder op i inaktive adresser to gange om året.

Hos en forening med en mailingliste på hostingpakken (hos WebOké hedder det Mailinglister i DirectAdmin; andre kontrolpaneler har tilsvarende lister) drejer det sig om medlemmer der forventer mailen. Også her: sæt i hver mail hvordan man afmelder sig, og fjern tidligere medlemmer fra listen.

Opsummering

• Modtagere ser på klager: hold dig under 0,1% og kom aldrig op på 0,3%.
• Ifølge de regler der gennemfører ePrivacy-direktivet (i Nederlandene: artikel 11.7 Telecommunicatiewet) må du kun maile reklame med dokumenterbart forudgående samtykke, med en undtagelse for egne kunder om tilsvarende produkter. Altid med afsender og afmeldingsmulighed.
• Bekræftet opt-in giver bevis og en liste uden tastefejl og falske tilmeldinger.
• List-Unsubscribe med https-link og List-Unsubscribe-Post: List-Unsubscribe=One-Click, omfattet af DKIM-signaturen, og afmeldinger behandlet inden for 2 dage.
• Hårde bounces og klagere ud, ryd op i inaktive, køb aldrig lister (spamtraps).

Quiz

Opgave

Opgave Z7.2: Afmeldingsheadere kontrollere. Indsæt headerne fra et nyhedsbrev du selv sender (eller fra et nyhedsbrev du modtager, eller eksempelfilen nieuwsbrief-kopregels-2.txt). Udfyld: står der en List-Unsubscribe med et https-link (ja/nej), står der en mailto:-variant (ja/nej), er afmelding med ét klik slået til (ja/nej), og er disse headere omfattet af DKIM-signaturen (ja/nej, se h= i DKIM-Signature). Programmet analyserer headerne og sammenligner.

Opgave O7.2: Gennemgå dit samtykkeproces. Beskriv hvordan folk kommer på din liste (formular, betaling, tilmelding til et arrangement) og besvar tjeklisten: er feltet tomt indtil nogen selv afkrydser det, bekræfter nogen sin adresse, gemmer du dato og tidspunkt for samtykket, står der et afmeldingslink og dit firmanavn med adresse i hver mail, og hvor ofte rydder du op i inaktive adresser? Du får derefter modelsvaret med de punkter, du skal være opmærksom på.

Læs mere

Trinene i disse artikler gælder for WebOkés kontrolpaneler; hos andre udbydere fungerer det på lignende vis.

• Må jeg sende en mailing via din hostingpakke hos WebOké?
• Nogle beskeder sendt til en mailingliste kommer ikke frem
• DirectAdmin vejledning 7.10: Mailinglister
• ACM, Spam (regler for udsendelse af reklame via e-mail, Nederlandene): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, artikel 11.7 (Nederlandene): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (afmelding med ét klik): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, retningslinjer for afsendere: https://senders.yahooinc.com/best-practices/