Samtycke, avregistrering och en ren lista

Modul 7: Nyhetsbrev och mejl från din webbplats · Lästid: 12 minuter

Lärandemål: Efter den här lektionen kan du bygga upp och underhålla en adresslista som både lagen och spamfiltren litar på, och du kan kontrollera om ett nyhetsbrev har en fungerande avregistrering med ett klick.

Nyckelbegrepp: samtycke i förväg (opt-in), bekräftad opt-in (double opt-in), undantag för egna kunder (soft opt-in), regler för e-postreklam enligt ePrivacy-direktivet, GDPR (dataskyddsförordningen), avregistreringslänk, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post och avregistrering med ett klick (RFC 8058), klagomålsfrekvens, hårda och mjuka bounces, inaktiva adresser, spamtrap, köpt lista

Teknik räcker inte

I lektion 7.1 autentiserade du din domän hos en utskickstjänst. SPF, DKIM och DMARC stämmer. Ändå kan ditt nyhetsbrev hamna i skräpposten. Mottagare som Gmail, Yahoo och Outlook.com tittar nämligen också på hur deras användare reagerar på din mejl. Klickar folk på "Det här är skräppost", öppnar de aldrig din mejl, eller skickar du till adresser som inte funnits på flera år? Då sjunker ditt rykte, hur bra din teknik än är.

Gmail nämner i sina riktlinjer för avsändare en gräns: håll skräppostprocenten (andelen av din mejl som mottagare markerar som skräppost, mätt i Google Postmaster Tools) under 0,1 % och kom aldrig upp i 0,3 % eller högre. Yahoo tillämpar också 0,3 %. Det är ett klagomål per 333 mejl. Med en lista av människor som inte vet varför de får din mejl kommer du aldrig under den nivån.

En ren lista börjar alltså med frågan: vill den här personen verkligen ha min mejl?

Vad säger lagen?

Reglerna för oönskade elektroniska meddelanden (skräppost) kommer från EU:s ePrivacy-direktiv (direktiv 2002/58/EG, artikel 13), som varje land har infört i sin egen lag. Kontrollera därför alltid reglerna i ditt eget land och hos din egen tillsynsmyndighet. I Nederländerna finns reglerna till exempel i artikel 11.7 i telekommunikationslagen (Telecommunicatiewet), och tillsynsmyndigheten där är Autoriteit Consument & Markt (ACM). För personuppgifter gäller dessutom GDPR (dataskyddsförordningen). Det här är inte juridisk rådgivning, men huvudlinjerna är tydliga:

• Samtycke i förväg. Reklam via e-post, och även meddelanden för ideella eller välgörande ändamål, får bara skickas till någon som i förväg gett sitt samtycke till det. Du måste kunna visa att samtycke finns. Många tillsynsmyndigheter kräver att samtycket ska vara medvetet givet: ingen förikryssad ruta, inget gömt i de allmänna villkoren, och valet måste tydligt handla om reklam.
• Undantag för egna kunder, ofta kallat soft opt-in. Har du fått e-postadressen i samband med försäljning av en produkt eller tjänst, får du mejla den kunden om egna, liknande produkter eller tjänster. Villkor: du gav tydligt möjlighet att tacka nej när adressen samlades in, och du gör det i varje mejl igen.
• Företagsadresser. Även för juridiska personer gäller i princip samtycke i förväg. Undantaget är smalt: adresser som företaget själv har gjort kända för att ta emot reklam, använda för det ändamålet. Att plocka en adress från en webbplats räknas alltså inte som samtycke.
• Avregistrering och avsändare. Vid varje meddelande måste mottagaren kunna avregistrera sig kostnadsfritt och enkelt. Du anger alltid avsändarens verkliga identitet och en giltig adress dit mottagaren kan skicka en begäran om att sluta ta emot mejl.

Det finns alltså inga "köpta listor med samtycke" som du bara kan mejla: samtycket måste vara givet till dig och dina meddelanden.

Bekräftad opt-in: bevis och kvalitet samtidigt

Vid vanlig opt-in fyller någon i sin adress i ett formulär och hamnar direkt på din lista. Problemet: vem som helst kan fylla i vilken adress som helst, även någon annans, och skrivfel (jan@gmial.com) hamnar också på din lista.

Vid bekräftad opt-in (double opt-in) får adressen först ett mejl med en bekräftelselänk. Först efter klicket hamnar den på listan. Det ger tre fördelar:

1. Du bevisar att adressens ägare själv gav samtycke (spara datum, tid och IP för bekräftelsen). Många tillsynsmyndigheter kräver att du ska kunna visa samtycket flera år efter utskicket.
2. Din lista innehåller bara adresser som finns och läses.
3. Du förhindrar att illvilliga personer eller botar fyller i ditt formulär med andras adresser. De klagar senare, och det drabbar dig.

Många hostingleverantörer ställer bekräftad opt-in som krav om du skickar utskick via deras servrar. Hos WebOké står det till exempel i kunskapsbasartikel 18; hos andra leverantörer står det i policyn för acceptabel användning.

Avregistrering med ett klick

En avregistreringslänk längst ner i mejlet krävs enligt lag. Stora mottagare vill dessutom ha en avregistreringsknapp i sitt eget program: Gmail och Yahoo visar då "Avregistrera" högst upp i mejlet. Det fungerar via två rubrikrader (header-fält).

List-Unsubscribe (RFC 2369) anger ett eller två sätt att avregistrera sig, inom vinkelparenteser:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) anger att https-länken fungerar med ett klick, utan att mottagaren behöver bekräfta på en sida:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Klickar mottagaren i Gmail på Avregistrera skickar Gmail en POST-förfrågan med exakt List-Unsubscribe=One-Click till den URL:en. Din server avregistrerar då adressen direkt. Några regler från RFC 8058:

• URL:en måste vara https;
• länken måste vara unik per mottagare (det finns en kod i den), så att servern vet vem som avregistrerar sig;
• List-Unsubscribe- och List-Unsubscribe-Post-rubrikraderna måste omfattas av DKIM-signaturen, annars kan någon byta ut dem på vägen;
• en GET-förfrågan på samma URL får inte avregistrera direkt (virusskannrar och förhandsgranskningar följer länkar), bara POST-förfrågan ska göra det.

Gmail kräver för massutskickare (mer än ungefär 5 000 mejl per dag till Gmail-adresser) avregistrering med ett klick i marknadsföringsmejl, plus en synlig avregistreringslänk i texten. Yahoo kräver samma sak och vill att du hanterar en avregistrering inom 2 dagar. Även om du är mindre: varje bra utskickstjänst lägger till dessa rubrikrader automatiskt. Kontrollera det ändå (se uppgiften).

Håll din lista ren

En lista åldras. Människor byter jobb, mejlkonton läggs ner, intresset försvinner. Utan underhåll ökar dina bounces och klagomål, och dina öppningar minskar. Fem fasta vanor:

1. Hårda bounces bort direkt. En hård bounce (ett 5xx-fel som 550 5.1.1 "adressen finns inte", lektion 6.2) betyder att adressen inte fungerar. Fortsätter du skicka dit ser mottagare dig som en slarvig eller spammande avsändare. Utskickstjänster gör det här automatiskt.
2. Håll koll på mjuka bounces. Ett tillfälligt fel (4xx, till exempel en full mejlbox) får förekomma några gånger, men misslyckas en adress vid varje utskick, ta då bort den.
3. Hantera klagomål. Den som klickar på "Det här är skräppost" ska bort från din lista. Stora mottagare skickar ett meddelande via en feedbackloop; utskickstjänster hanterar det.
4. Städa bort inaktiva. Någon som inte öppnat eller klickat på ett år ger en dålig signal. Skicka först ett ombekräftelsemejl ("Vill du fortfarande få vårt nyhetsbrev?"), och ta bort den som inte svarar från listan. Observera: sedan Apple Mail Privacy Protection (lektion 2.3) är öppningar opålitliga; titta även på klick.
5. Köp, hyr eller plocka aldrig listor. Förutom det juridiska problemet innehåller sådana listor ofta spamtraps: adresser som administratörer av blocklistor och mottagare medvetet håller kvar för att fånga skräppostare. Det finns gamla adresser som efter års tystnad återöppnats som fällor, och adresser som aldrig någonsin registrerats någonstans. Den som mejlar dit bevisar att han saknar samtycke. En enda träff kan sätta dig på en blocklista (lektion 5.2).

I praktiken

Exempel: du har en webbutik och vill skicka ett nyhetsbrev till kunder efter ett köp om liknande produkter. Då lägger du i kassan till en ruta som inte är förikryssad: "Jag vill få nyhetsbrevet", eller så använder du undantaget för egna kunder: du meddelar tydligt i kassan att du mejlar kunder om liknande produkter, med valet "nej tack", och varje nyhetsbrev har en avregistreringslänk. All mejl går via en utskickstjänst med autentiserad domän (lektion 7.1). Tjänsten tar automatiskt bort bounces och klagomål, och du städar bort inaktiva adresser två gånger om året.

Hos en förening med en e-postlista i hostingpaketet (hos WebOké heter det E-postlistor i DirectAdmin; andra paneler har liknande listor) handlar det om medlemmar som förväntar sig mejlet. Även där: ange i varje mejl hur man avregistrerar sig, och ta bort gamla medlemmar från listan.

Sammanfattning

• Mottagare tittar på klagomål: håll dig under 0,1 % och kom aldrig upp i 0,3 %.
• Enligt de regler som genomför ePrivacy-direktivet (i Nederländerna: artikel 11.7 Telecommunicatiewet) mejlar du reklam bara med påvisbart samtycke i förväg, med ett undantag för egna kunder om liknande produkter. Alltid med avsändare och möjlighet att avregistrera sig.
• Bekräftad opt-in ger bevis och en lista utan skrivfel och falska registreringar.
• List-Unsubscribe med https-länk och List-Unsubscribe-Post: List-Unsubscribe=One-Click, under DKIM-signaturen, och hantera avregistreringar inom 2 dagar.
• Hårda bounces och klagande bort, städa inaktiva, köp aldrig listor (spamtraps).

Quiz

Uppgift

Uppgift Z7.2: Kontrollera avregistreringshuvuden. Klistra in rubrikraderna från ett nyhetsbrev som du själv skickar (eller från ett nyhetsbrev du får, eller exempelfilen nieuwsbrief-kopregels-2.txt). Fyll i: finns det en List-Unsubscribe med en https-länk (ja/nej), finns det en mailto:-variant (ja/nej), är avregistrering med ett klick aktiverad (ja/nej) och omfattas dessa rubrikrader av DKIM-signaturen (ja/nej, se h= i DKIM-Signature). Programmet analyserar rubrikraderna och jämför.

Uppgift O7.2: Gå igenom din samtyckesprocess. Beskriv hur människor hamnar på din lista (formulär, kassa, anmälan till ett evenemang) och svara på checklistan: är rutan tom tills någon kryssar i den själv, bekräftar någon sin adress, sparar du datum och tid för samtycket, finns det en avregistreringslänk och ditt företagsnamn med adress i varje mejl, och hur ofta städar du bort inaktiva adresser? Du får sedan ett modellsvar med de punkter du ska tänka på.

Läs mer

Stegen i de här artiklarna gäller för WebOkés paneler; hos andra leverantörer fungerar det på liknande sätt.

• Får jag skicka ut massutskick via mitt webbhotellspaket hos WebOké?
• Vissa meddelanden som skickas till en e-postlista kommer inte fram
• DirectAdmin-guide 7.10: E-postlistor
• ACM, Spam (regler för att skicka reklam via e-post, Nederländerna): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, artikel 11.7 (Nederländerna): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (avregistrering med ett klick): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, riktlinjer för avsändare: https://senders.yahooinc.com/best-practices/