Samtykke, avmelding og en ren liste

Modul 7: Nyhetsbrev og e-post fra nettstedet ditt · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen kan du bygge opp og vedlikeholde en adresseliste som både loven og spamfiltrene stoler på, og du kan kontrollere om et nyhetsbrev har en fungerende avmelding med ett klikk.

Nøkkelbegreper: forhåndssamtykke (opt-in), bekreftet opt-in (double opt-in), unntak for egne kunder (soft opt-in), regler som gjennomfører ePrivacy-direktivet (i Nederland: artikkel 11.7 i telekommunikasjonsloven), GDPR (personvernforordningen), avmeldingslenke, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post og avmelding med ett klikk (RFC 8058), klageandel, harde og myke bounces, inaktive adresser, spamtrap, kjøpt liste

Teknikk er ikke nok

I leksjon 7.1 autentiserte du domenet ditt hos en utsendingstjeneste. SPF, DKIM og DMARC stemmer. Likevel kan nyhetsbrevet ditt havne i spam. Mottakere som Gmail, Yahoo og Outlook.com ser nemlig også på hvordan brukerne deres reagerer på e-posten din. Klikker folk på «Dette er spam», åpner de aldri e-posten din, eller sender du til adresser som ikke har eksistert på årevis? Da synker omdømmet ditt, uansett hvor god teknikken din er.

Gmail nevner i sine retningslinjer for avsendere en grense: hold spamandelen (andelen av e-posten din som mottakere merker som spam, målt i Google Postmaster Tools) under 0,1 % og kom aldri opp i 0,3 % eller mer. Yahoo bruker også 0,3 %. Det tilsvarer én klage per 333 e-poster. Med en liste av folk som ikke vet hvorfor de får e-posten din, når du aldri det målet.

En ren liste begynner altså med spørsmålet: vil denne personen virkelig ha e-posten min?

Hva sier loven?

Reglene for uønskede elektroniske meldinger (spam) følger av EUs ePrivacy-direktiv (direktiv 2002/58/EF, artikkel 13), som hvert land har gjennomført i sin egen lovgivning. Sjekk reglene og tilsynsmyndigheten i ditt eget land. I Nederland står reglene for eksempel i artikkel 11.7 i telekommunikasjonsloven, og den nederlandske tilsynsmyndigheten Autoriteit Consument & Markt (ACM) forklarer dem på sine nettsider. For personopplysninger gjelder i tillegg GDPR (personvernforordningen). Dette er ikke juridisk rådgivning, men hovedlinjene er tydelige:

• Forhåndssamtykke. Reklame per e-post, og også meldinger for ideelle eller veldedige formål, kan bare sendes til noen som har gitt samtykke til det på forhånd. Du må kunne dokumentere det samtykket. Den nederlandske tilsynsmyndigheten skriver at samtykket må være gitt bevisst: ingen forhåndsavkrysset boks, ikke gjemt i vilkårene, og valget må tydelig handle om reklame.
• Unntak for egne kunder, ofte kalt soft opt-in. Har du fått e-postadressen i forbindelse med salg av et produkt eller en tjeneste, kan du sende e-post til den kunden om egne, tilsvarende produkter eller tjenester. Forutsetning: du ga tydelig mulighet til å si nei da du samlet inn adressen, og du gjør det samme i hver eneste e-post.
• Bedriftsadresser. Også for juridiske personer gjelder i prinsippet forhåndssamtykke. Unntaket er snevert: adresser som bedriften selv har gjort kjent for å motta reklame, brukt til nettopp det formålet. Å plukke en adresse fra et nettsted er altså ikke samtykke.
• Avmelding og avsender. Ved hver melding må mottakeren kunne melde seg av gratis og enkelt. Du oppgir alltid avsenderens virkelige identitet og en gyldig adresse mottakeren kan sende en stoppforespørsel til.

Det finnes altså ingen «kjøpte lister med samtykke» du bare kan sende e-post til: samtykket må være gitt til deg og dine meldinger spesifikt.

Bekreftet opt-in: bevis og kvalitet samtidig

Ved en vanlig opt-in fyller noen inn adressen sin i et skjema og havner med én gang på listen din. Problemet: hvem som helst kan fylle inn hvilken som helst adresse, også andres, og skrivefeil (jan@gmial.com) havner også på listen din.

Ved bekreftet opt-in (double opt-in) får adressen først en e-post med en bekreftelseslenke. Først etter klikket havner den på listen. Det gir tre fordeler:

1. Du beviser at eieren av adressen selv ga samtykke (ta vare på dato, klokkeslett og IP for bekreftelsen). Den nederlandske tilsynsmyndigheten skriver at du må kunne dokumentere samtykket i årevis etter utsendelsen.
2. Listen din inneholder bare adresser som finnes og blir lest.
3. Du hindrer at ondsinnede personer eller roboter fyller skjemaet ditt med andres adresser. De klager senere, og det går ut over deg.

Mange hostingleverandører krever bekreftet opt-in som vilkår når du sender utsendelser via serverne deres. Hos WebOké står dette for eksempel i kunnskapsbaseartikkel 18; hos andre leverandører står det i retningslinjene for akseptabel bruk.

Avmelding med ett klikk

En avmeldingslenke nederst i e-posten er lovpålagt. Store mottakere ønsker i tillegg en avmeldingsknapp i sitt eget program: Gmail og Yahoo viser da «Avmeld» øverst i e-posten. Dette fungerer med to headere.

List-Unsubscribe (RFC 2369) gir en eller to måter å melde seg av på, mellom vinkelparenteser:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) sier at https-lenken fungerer med ett klikk, uten at mottakeren må bekrefte på en side:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Klikker mottakeren på Avmeld i Gmail, sender Gmail en POST-forespørsel med nøyaktig List-Unsubscribe=One-Click til den URL-en. Serveren din melder da adressen av med én gang. Noen regler fra RFC 8058:

• URL-en må være https;
• lenken må være unik per mottaker (det står en kode i den), slik at serveren vet hvem som melder seg av;
• headerne List-Unsubscribe og List-Unsubscribe-Post må ligge under DKIM-signaturen, ellers kan noen erstatte dem underveis;
• en GET-forespørsel på samme URL skal ikke melde noen av umiddelbart (virusskannere og forhåndsvisninger følger lenker), bare POST-en.

Gmail krever for bulkutsendere (mer enn omtrent 5.000 e-poster per dag til Gmail-adresser) avmelding med ett klikk i markedsførings-e-post, pluss en synlig avmeldingslenke i teksten. Yahoo krever det samme og vil at du behandler en avmelding innen 2 dager. Selv om du er mindre: enhver god utsendingstjeneste setter disse headerne inn automatisk. Kontroller det likevel (se oppgaven).

Hold listen din ren

En liste eldes. Folk bytter jobb, mailbokser legges ned, interessen forsvinner. Uten vedlikehold øker bounces og klager, og åpningsraten synker. Fem faste vaner:

1. Fjern harde bounces umiddelbart. En hard bounce (en 5xx-feil som 550 5.1.1 «adressen finnes ikke», leksjon 6.2) betyr at adressen ikke fungerer. Fortsetter du å sende til den, ser mottakere deg som en slurvete eller spammende avsender. Utsendingstjenester gjør dette automatisk.
2. Hold øye med myke bounces. En midlertidig feil (4xx, for eksempel en full mailboks) kan skje noen ganger, men feiler en adresse ved hver utsendelse, fjern den da.
3. Behandle klager. Den som klikker på «Dette er spam», må fjernes fra listen din. Store mottakere sender en melding via en feedbackloop; utsendingstjenester behandler disse.
4. Rydd opp i inaktive. Noen som ikke har åpnet eller klikket på noe på et år, gir et dårlig signal. Send først en rebekreftelses-e-post («Vil du fortsatt motta nyhetsbrevet vårt?»), og fjern dem som ikke svarer fra listen. Merk: siden Apple Mail Privacy Protection (leksjon 2.3) er åpninger upålitelige; se også på klikk.
5. Kjøp, lei eller plukk aldri lister. Foruten det juridiske problemet inneholder slike lister ofte spamtraps: adresser som administratorer av blokkeringslister og mottakere bevisst holder vedlike for å fange spammere. Det finnes gamle adresser som er gjenåpnet som felle etter år med stillhet, og adresser som aldri har vært registrert noe sted. Den som sender e-post dit, beviser at han ikke har samtykke. Én treff kan sette deg på en blokkeringsliste (leksjon 5.2).

I praksis

Eksempel: du har en nettbutikk og vil sende kunder et nyhetsbrev om lignende produkter etter et kjøp. Da setter du inn en ikke forhåndsavkrysset boks «Jeg vil motta nyhetsbrevet» i kassen, eller du bruker unntaket for egne kunder: du informerer tydelig i kassen om at du sender kundene e-post om tilsvarende produkter, med valget «nei, det vil jeg ikke», og hvert nyhetsbrev har en avmeldingslenke. All e-post går via en utsendingstjeneste med autentisert domene (leksjon 7.1). Tjenesten fjerner bounces og klager automatisk, og du rydder opp i inaktive adresser to ganger i året.

Hos en forening med en e-postliste på hostingpakken (hos WebOké heter dette Mailing Lists i DirectAdmin; andre kontrollpaneler har tilsvarende lister) handler det om medlemmer som forventer e-posten. Også der: sett i hver e-post hvordan man melder seg av, og fjern tidligere medlemmer fra listen.

Oppsummering

• Mottakere ser på klager: hold deg under 0,1 % og kom aldri opp i 0,3 %.
• Ifølge reglene som gjennomfører ePrivacy-direktivet (i Nederland: artikkel 11.7 i telekommunikasjonsloven) sender du reklame bare med dokumenterbart forhåndssamtykke, med et unntak for egne kunder om tilsvarende produkter. Alltid med avsender og avmeldingsmulighet.
• Bekreftet opt-in gir bevis og en liste uten skrivefeil og falske registreringer.
• List-Unsubscribe med https-lenke og List-Unsubscribe-Post: List-Unsubscribe=One-Click, under DKIM-signaturen, og behandle avmeldinger innen 2 dager.
• Fjern harde bounces og klagere, rydd opp i inaktive, kjøp aldri lister (spamtraps).

Quiz

Oppgave

Oppgave Z7.2: Kontroller avmeldingskopfeltene. Lim inn headerne fra et nyhetsbrev du selv sender ut (eller fra et nyhetsbrev du mottar, eller eksempelfilen nieuwsbrief-kopregels-2.txt). Fyll inn: står det en List-Unsubscribe med en https-lenke (ja/nei), står det en mailto:-variant (ja/nei), er avmelding med ett klikk aktivert (ja/nei), og ligger disse headerne under DKIM-signaturen (ja/nei, se h= i DKIM-Signature). Programmet analyserer headerne og sammenligner.

Oppgave O7.2: Gå gjennom samtykkeprosessen din. Beskriv hvordan folk havner på listen din (skjema, kasse, påmelding til et arrangement) og svar på sjekklisten: er boksen tom til noen krysser den av selv, bekrefter noen adressen sin, tar du vare på dato og klokkeslett for samtykket, står det en avmeldingslenke og firmanavnet ditt med adresse i hver e-post, og hvor ofte rydder du opp i inaktive adresser? Du får deretter modellsvaret med punktene du bør være oppmerksom på.

Les mer

Trinnene i disse artiklene gjelder for kontrollpanelene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Kan jeg sende ut en mailing via hostingpakken mitt hos WebOké?
• Noen meldinger som sendes til en e-postliste, kommer ikke frem
• DirectAdmin-veiledning 7.10: Mailing Lists
• ACM (Nederland), Spam (regler for utsending av reklame per e-post): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telekommunikasjonsloven (Nederland), artikkel 11.7: https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (avmelding med ett klikk): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, retningslinjer for avsendere: https://senders.yahooinc.com/best-practices/