קריאת נתוני הספאם לפני שהם הופכים לבעיה

סינון ספאם הוא החלק היחיד בדוא״ל שאיש אינו בודק כל עוד הוא עובד. הדואר מגיע, דואר הזבל לרוב לא, והתהליך כולו נשאר בלתי נראה עד שיום אחד הודעה חשובה מגיעה לתיקיית הספאם או שלקוח אומר שמעולם לא קיבל את התשובה שלכם. בשלב הזה כבר פותרים אירוע במקום לקרוא מגמה.

נתוני הספאם הופכים את התמונה. הם מוצגים לכל דומיין, מכסים את שלושים הימים האחרונים ועונים על שאלה שרוב הספקים כלל לא מאפשרים לשאול: מה באמת מסונן בדומיין שלי, והאם המסנן מחליט נכון?

מה נתוני הספאם מציגים בפועל

לכל דומיין מתקבלים סיכום לתקופה וסדרה יומית, כך שאפשר לראות גם את הדפוס וגם את השינוי.

שלושת הנתונים האחרונים הם אלה שראויים לתשומת לב, וכמעט אף ספק אינו מפרסם אותם. נתוני ספאם שמספרים רק כמה דואר זבל נחסם הם שיווק. נתונים שמספרים באיזו תדירות המסנן טעה הם כלי אבחון.

המספרים שמאותתים על בעיה

ברוב הזמן הנתונים האלה נשארים יציבים ואפשר להתעלם מהם. שלושה שינויים מצדיקים פעולה.

זיהויי השווא עולים. אם משתמשים משחררים בקביעות דואר לגיטימי מתיקיית הספאם, המסנן אינו מכויל לתעבורה שלכם. לעיתים קרובות הסיבה היא שספק או עלון שאתם מסתמכים עליו חולק מאפיינים עם דואר זבל. זהו הכשל היקר ביותר בדוא״ל וזה שהסיכוי שידווחו עליו הוא הנמוך ביותר, משום שמי שמעולם לא קיבל את הצעת המחיר שלכם אינו יודע שעליו להתלונן.

נפח הדואר הנכנס מזנק בדומיין אחד. עלייה פתאומית בדומיין שבדרך כלל מקבל מעט תעבורה פירושה לרוב שכתובת נאספה ונוספה לרשימה. זה לא דחוף, אבל בדרך כלל מקדים תקופה רועשת, ואם זו כתובת catch-all העומס עלול להיות גדול.

הספאם שמדווח בידי משתמשים עולה בעוד הזיהוי נשאר ללא שינוי. פירוש הדבר שדואר זבל עובר ואנשי הצוות מנקים אותו ידנית. המסנן אינו נכשל בקול אלא בשקט, והמחיר נגבה מתשומת הלב של כולם במקום להופיע כשגיאה.

מדוע החלוקה לפי דומיין חשובה

נתוני ספאם מצטברים לכל החשבון מסתירים בדיוק את מה שצריך לראות.

לדומיינים שונים יש תעבורה שונה. כתובת info@ פומבית באתר חברה מקבלת תמהיל שונה לחלוטין מדומיין פנימי שמשמש שישה אנשים, ומיצוע שלהם יוצר מספר שאינו מתאר אף אחד מהם. שיעור ספאם של 40% מדאיג באחד ורגיל לחלוטין באחר.

אם אתם מנהלים דומיינים עבור לקוחות, זה ההבדל בין תשובה מועילה לבין משיכת כתפיים. כשלקוח שואל מדוע הודעה לא הגיעה, נתוני ספאם לפי דומיין מאפשרים לבדוק את הדומיין שלו באופן ממוקד בתקופה הרלוונטית, במקום להסתמך על ממוצע של הפלטפורמה כולה שאינו קשור אליו.

קריאת הסמלים

רשימת הסמלים המובילים מראה כיצד המסנן הגיע להחלטה. כל סמל מייצג כלל שהופעל, כגון תוצאות אימות, בדיקות מוניטין או שיטות היוריסטיות של תוכן, והספירה מראה כמה פעמים. השמות מגיעים מ-Rspamd, מנוע הסינון שנמצא מתחת לפני השטח.

אין צורך ללמוד את כולם. כדאי לשים לב כשסמל אימות שולט ברשימה, משום שבדרך כלל הוא מצביע על בעיה אצל השולח ולא על בעיית ספאם. דואר שנכשל בהתאמת SPF או DMARC מקבל ציון ספאם גבוה יותר גם כשהוא לגיטימי, והתיקון אינו במסנן אלא ברשומות של הדומיין השולח. המדריכים שלנו בנושא הגדרת SPF ו-הגדרת DMARC מכסים את ההיבט הזה.

זהו הגורם הנפוץ ביותר לזיהויי שווא שכדאי להכיר: ספק שהאימות שלו לקוי. נתוני הספאם יציגו אותו ככללים שאינם תלויים בתוכן ומופעלים אצל שולח שאתם מזהים.

פעולה על סמך הנתונים

מספר התגובות האפשריות קטן במכוון, משום שרוב בעיות הספאם נפתרות באמצעות לימוד ולא באמצעות הגדרות.

גם דיווח על ספאם וגם שחרור זיהויי שווא מזינים את המסנן, ופעולה עקבית במשך שבועיים משפיעה על הנתונים יותר מכל הגדרה. אפשר לחסום שולח מסוים כאשר מקור יחיד הוא הבעיה ואינכם רוצים להמתין. בדואר לגיטימי שאינו רצוי, עדיף להשתמש בכלל סינון שמעביר אותו לתיקייה במקום לסמן אותו כדואר זבל, משום שהסימון מלמד את המערכת לא לתת אמון בשולח שאנשים אחרים אולי רוצים לקבל ממנו הודעות. כללים בצד השרת מוסברים במאמר כיצד מסנני דואר פועלים, והם זמינים החל מתוכנית Pro.

הטעות הנפוצה היא לא לעשות דבר מכל אלה ואז להסיק שהמסנן גרוע. נתוני ספאם קיימים כדי שההחלטה תישען על מידע ולא על אינטואיציה.

הצורה של שיעור ספאם רגיל

אין מספר אוניברסלי, וספק שמצטט מספר כזה מתאר את הממוצע שלו ולא את הדומיין שלכם. כדאי לקרוא את נתוני הספאם שלכם מספיק זמן כדי ללמוד את דפוס המצב הרגיל, וכך לזהות חריגה.

בדומיין עם כתובות פומביות, כלומר כל כתובת שמופיעה באתר, בכרטיס ביקור או על רכב חברה, מקובל שרוב התעבורה הנכנסת מסווגת כדואר זבל. שיעורים גבוהים ממחצית אינם חריגים שם. דומיין שמשמש רק להתכתבות פנימית בין גורמים מוכרים אמור לראות מעט מאוד ספאם, והופעה פתאומית של ספאם בדומיין כזה ראויה לבדיקה ולא למשיכת כתפיים.

הנתון שאמור להישאר קרוב לאפס בכל דומיין הוא זיהויי שווא ששוחררו. ספאם שעובר הוא מטרד; דואר לגיטימי שמועבר לתיקיית הספאם הוא יקר, ושתי התוצאות אינן שקולות. מסנן שמכויל לתפוס הכול יעלה לכם בדרך כלל יותר ממסנן שמאפשר למעט הודעות לעבור.

הדבר החשוב ביותר הוא כיוון התנועה. כששיעור שהיה יציב במשך שישה חודשים משתנה, הוא מספר שמשהו קרה, ונתוני הספאם בדרך כלל מאפשרים לתארך זאת בדיוק של יום.

שימוש בנתונים כשלקוח מתלונן

אם אתם מנהלים דומיינים עבור אחרים, כאן התכונה מצדיקה את קיומה, משום שהמשפט "מעולם לא קיבלנו את הדוא״ל שלכם" פותח שיחה שבדרך אחרת אין בה ראיות.

התהליך קצר ונתוני הספאם נושאים את כולו. בדקו את הדומיין של הלקוח בתקופה שהוא מתאר. אם נפח הדואר הנכנס היה רגיל ושום דבר לא נדחה, כנראה שההודעה כלל לא הגיעה. הדבר מעביר את הבדיקה לצד השולח ולא לצד שלכם. אם היא זוהתה כספאם, תוכלו לומר זאת, לשחרר אותה ולהסביר בעזרת הסמלים מדוע המסנן החליט כך.

כך הופכת שיחה מתגוננת לשיחה עובדתית בתוך כמה דקות. הדבר גם מגן עליכם מהטעות ההפוכה: להניח שהמסנן אשם ולבלות אחר צהריים שלם בשינוי דבר שפעל כראוי.

נתוני ספאם לפי דומיין הם שמאפשרים זאת. ממוצע לכל החשבון אינו מלמד לקוח דבר על הדומיין שלו, והוא יודע זאת.

נדחה לעומת הועבר לתיקייה

שניים מהנתונים נראים דומים אך משמעותם שונה מאוד, ובלבול ביניהם מוביל למסקנה שגויה.

ספאם שזוהה הוא דואר שהתקבל ואז סווג כדואר זבל. הוא קיים, נמצא בתיקייה ואפשר לאחזר אותו. ספאם שנדחה הוא דואר שסורב במהלך שיחת SMTP ומעולם לא התקבל. הוא אינו קיים בשום מקום בצד שלכם ואי אפשר לשחרר אותו, משום שאין מה לשחרר.

דחייה מתרחשת במקרים הוודאיים ביותר, כגון מקורות זדוניים מוכרים, הודעות במבנה פגום או שולחים שנכשלים באימות באופן כה חמור עד שקבלת ההודעה תהיה חסרת אחריות. היתרון הוא שהודעה שנדחית יוצרת שגיאה בצד השולח, ולכן שולח לגיטימי שנחסם כך מגלה זאת מיד במקום להניח שהדואר הגיע.

זו הנקודה שכדאי להעביר למי שחושש מדחיות שווא. הודעה שנדחתה בטעות מודיעה לשולח שהשליחה נכשלה. הודעה שהועברה בטעות לתיקייה אינה מודיעה דבר לאיש, ולכן הנתון שיש לעקוב אחריו הוא מספר זיהויי השווא ששוחררו ולא מספר הדחיות.

המגבלות של הנתונים

נתוני הספאם מתארים דואר נכנס בדומיינים שלכם ולא דבר מעבר לכך, ולכן יש שתי שאלות שהם אינם יכולים לענות עליהן.

כדאי לציין את שתיהן, משום שהנחה שהנתונים מכסים אותן היא הדרך הרגילה לחפש במקום הלא נכון.

הם אינם מלמדים כיצד הדואר היוצא שלכם מטופל במקומות אחרים. השאלה אם ההודעות שלכם מגיעות לתיבות הדואר הנכנס של אחרים היא שאלה נפרדת, שעליה עונים דוחות DMARC ונתוני החזרות. הנושא מוסבר במאמר קריאת דוחות DMARC.

הם גם אינם מסבירים הודעה מסוימת. הסיכום מצטבר וכולל ספירות, שיעורים ואת הכללים שהופעלו בתדירות הגבוהה ביותר לאורך התקופה. עבור הודעה מסוימת שנעלמה, התשובה נמצאת בכותרות של ההודעה ולא בנתונים, והנתונים רק אומרים אם הדומיין ראה בכלל תעבורה מהסוג הזה.

כשמשתמשים בהם למטרתם, כלומר כדי להבחין בשינוי ולהציג ראיות כשמישהו שואל, הם נותנים תשובה במהירות. אם משתמשים בהם לאבחון הודעת דוא״ל אחת, הם עלולים לתסכל.

שגרת בדיקה סבירה

איש לא יבדוק את הנתונים מדי שבוע, ולא אמור להיות בכך צורך.

בדקו פעם בחודש, והתחילו בזיהויי השווא במקום בנתון הבולט של החסימות. בדקו את הדומיינים שמקבלים תעבורת לקוחות לפני הדומיינים הפנימיים. אם זיהויי השווא עומדים על אפס והספאם שמדווח בידי משתמשים יציב, סגרו את הכרטיסייה. זה סימן שהמערכת פועלת.

המועד הנוסף לבדיקה הוא ברגע שמישהו אומר שהודעה נעלמה, לפני שמניחים שהיא מעולם לא נשלחה. נתוני הספאם יאמרו בתוך דקה אם הדומיין ראה את התעבורה בכלל, וכך יהפכו ויכוח לעובדה.