Lees uw spamstatistieken voordat ze een probleem worden

Spamfiltering is het enige onderdeel van e-mail waar niemand naar kijkt zolang het werkt. Berichten komen aan, ongewenste mail meestal niet, en alles blijft onzichtbaar tot er op een dag iets belangrijks in de spammap belandt of een klant zegt uw antwoord nooit te hebben ontvangen. Tegen die tijd onderzoekt u een incident in plaats van een trend.

Spamstatistieken draaien dat om. Ze worden per domein bijgehouden, beslaan de afgelopen dertig dagen en beantwoorden een vraag die u bij de meeste providers niet eens kunt stellen: wat wordt er op mijn domein werkelijk gefilterd, en doet het filter dat goed?

Wat de spamstatistieken werkelijk tonen

Voor elk domein krijgt u een samenvatting over de periode en een dagelijkse reeks, zodat u zowel het patroon als de ontwikkeling kunt zien.

De laatste drie verdienen uw aandacht en worden vrijwel nergens gepubliceerd. Spamstatistieken die alleen vertellen hoeveel ongewenste mail is geblokkeerd, zijn marketing. Statistieken die aangeven hoe vaak het filter ernaast zat, zijn diagnostiek.

De cijfers die op problemen wijzen

Meestal blijven deze cijfers stabiel en kunt u ze negeren. Drie ontwikkelingen vragen om actie.

Het aantal fout-positieven stijgt. Als mensen regelmatig legitieme mail uit de spammap halen, is het filter niet goed afgestemd op uw verkeer. Vaak komt dat doordat een leverancier of een nieuwsbrief waarop u vertrouwt kenmerken deelt met ongewenste mail. Dit is de duurste fout bij e-mail en de fout die het minst snel wordt gemeld, want degene die uw offerte nooit ontving, weet niet dat die moet klagen.

Het inkomende volume piekt op één domein. Een plotselinge stijging op een domein dat normaal weinig verkeer ontvangt, betekent doorgaans dat een adres is verzameld en aan een lijst is toegevoegd. Dat is niet dringend, maar gaat vaak vooraf aan een rumoerige periode, en bij een catch-alladres kan het snel veel worden.

Door gebruikers gemelde spam neemt toe terwijl de detectie gelijk blijft. Dit betekent dat ongewenste mail doorkomt en uw mensen die handmatig opruimen. Het filter faalt niet opzichtig maar geruisloos, en de kosten gaan ten koste van ieders aandacht in plaats van als foutmelding te verschijnen.

Waarom per domein belangrijk is

Geaggregeerde spamstatistieken voor een volledig account verbergen precies wat u moet zien.

Domeinen hebben verschillend verkeer. Een openbaar info@-adres op een bedrijfswebsite ontvangt een heel andere mix dan een intern domein dat door zes mensen wordt gebruikt. Het gemiddelde daarvan levert een cijfer op dat geen van beide beschrijft. Een spampercentage van 40% is bij het ene domein alarmerend en bij het andere volkomen normaal.

Als u domeinen voor klanten beheert, maakt dit het verschil tussen een bruikbaar antwoord en een schouderophalen. Vraagt een klant waarom een bericht niet aankwam, dan kunt u met spamstatistieken per domein specifiek naar diens domein en de betreffende periode kijken, in plaats van te redeneren vanuit een platformbreed gemiddelde dat niets met de klant te maken heeft.

De symbolen lezen

De lijst met belangrijkste symbolen laat zien hoe het filter tot zijn oordeel kwam. Elk symbool staat voor een geactiveerde regel, zoals resultaten van authenticatie, reputatiecontroles of inhoudsheuristieken, en het aantal geeft aan hoe vaak dat gebeurde. De namen zijn afkomstig van Rspamd, de onderliggende filterengine.

U hoeft ze niet allemaal te leren. Het is nuttig om op te merken wanneer een authenticatiesymbool overheerst, want dat wijst doorgaans op een probleem bij de afzender en niet op een spamprobleem. Mail die niet slaagt voor SPF of DMARC-alignment krijgt een hogere spamscore, ook als het bericht legitiem is. De oplossing ligt dan niet bij het filter, maar bij de records van het verzendende domein. Onze handleidingen over SPF instellen en DMARC configureren behandelen dat onderwerp.

Dit is de meest voorkomende oorzaak van fout-positieven die u moet kennen: een leverancier met gebrekkige eigen authenticatie. In uw spamstatistieken ziet u dat als inhoudsneutrale regels die worden geactiveerd bij een afzender die u herkent.

Ernaar handelen

Er zijn bewust maar weinig mogelijke reacties, want de meeste spamproblemen worden opgelost door het filter te trainen en niet door het te configureren.

Zowel spam melden als fout-positieven vrijgeven voedt het filter. Als u dat twee weken consequent doet, verschuiven de cijfers meer dan met welke instelling ook. U kunt een specifieke afzender blokkeren als één bron het probleem vormt en u niet wilt wachten. Voor legitieme maar ongewenste mail is een filterregel die het bericht opbergt beter dan het als spam markeren, want daarmee leert u het systeem een afzender te wantrouwen van wie anderen misschien wel berichten willen ontvangen. Serverregels worden behandeld in hoe mailfilters werken en zijn beschikbaar vanaf het Pro-abonnement.

Wat doorgaans misgaat, is niets hiervan doen en vervolgens concluderen dat het filter slecht is. Spamstatistieken bestaan zodat die conclusie op informatie berust in plaats van op intuïtie.

Het patroon van een normaal spampercentage

Er is geen universeel cijfer. Een provider die er toch een noemt, beschrijft zijn eigen gemiddelde en niet uw domein. Het is nuttig om uw eigen spamstatistieken lang genoeg te bekijken om het normale patroon te leren kennen, zodat u afwijkingen herkent.

Een domein met openbare adressen, dus adressen op een website, visitekaartje of bedrijfsvoertuig, ziet doorgaans het grootste deel van zijn inkomende verkeer als ongewenst geclassificeerd. Percentages boven de helft zijn daar niet opmerkelijk. Een domein dat uitsluitend voor interne correspondentie tussen bekende partijen wordt gebruikt, hoort heel weinig spam te zien. Verschijnt daar plotseling spam, dan verdient dat onderzoek en geen schouderophalen.

Het cijfer dat op elk domein dicht bij nul hoort te blijven, is het aantal vrijgegeven fout-positieven. Doorgekomen spam is vervelend; legitieme mail die als spam wordt opgeborgen, is kostbaar. Die twee zijn niet gelijkwaardig. Een filter dat is afgestemd om alles te vangen, kost u doorgaans meer dan een filter dat er enkele berichten doorlaat.

Het belangrijkst is de richting van de ontwikkeling. Als een percentage zes maanden stabiel was en daarna verandert, is er iets gebeurd. Met de spamstatistieken kunt u dat meestal tot op een dag nauwkeurig dateren.

Het gebruiken bij een klacht van een klant

Als u domeinen voor anderen beheert, bewijst de functie hier haar waarde. Zonder deze gegevens bevat het gesprek "we hebben uw e-mail nooit ontvangen" immers geen enkel bewijs.

De werkwijze is kort en de spamstatistieken dragen het hele onderzoek. Bekijk het domein van de klant over de periode die wordt genoemd. Was het inkomende volume normaal en werd niets geweigerd, dan is het bericht waarschijnlijk helemaal niet aangekomen. Dat verplaatst het onderzoek naar de kant van de afzender. Werd het als spam gedetecteerd, dan kunt u dat aangeven, het vrijgeven en aan de hand van de symbolen uitleggen waarom het filter zo oordeelde.

Zo wordt een defensief gesprek binnen enkele minuten feitelijk. Het voorkomt ook de tegenovergestelde fout: aannemen dat het filter de oorzaak was en een middag besteden aan het aanpassen van iets dat correct werkte.

Spamstatistieken per domein maken dit mogelijk. Een accountbreed gemiddelde zegt een klant niets over het eigen domein, en dat weet die klant.

Geweigerd tegenover opgeslagen

Twee cijfers lijken op elkaar, maar betekenen iets heel anders. Wie ze verwart, trekt de verkeerde conclusie.

Spam gedetecteerd is mail die werd geaccepteerd en daarna als ongewenst geclassificeerd. Het bericht bestaat, staat in een map en kan worden teruggehaald. Spam geweigerd is mail die tijdens het SMTP-gesprek werd geweigerd en nooit is geaccepteerd. Aan uw kant bestaat het nergens en het kan niet worden vrijgegeven, want er valt niets vrij te geven.

Weigering vindt plaats bij de gevallen waarover het systeem het meest zeker is, zoals bekende schadelijke bronnen, misvormde berichten of afzenders bij wie de authenticatie zo ernstig mislukt dat acceptatie onverantwoord zou zijn. Het voordeel is dat een geweigerd bericht aan de verzendende kant een fout oplevert. Een legitieme afzender die hierdoor wordt getroffen, merkt dat dus direct in plaats van aan te nemen dat de mail is aangekomen.

Dat is de kern om door te geven aan iedereen die zich zorgen maakt over onterechte weigeringen. Bij een ten onrechte geweigerd bericht krijgt de afzender te horen dat het is mislukt. Bij een ten onrechte opgeslagen bericht hoort niemand iets. Daarom moet u het aantal vrijgegeven fout-positieven volgen en niet het aantal weigeringen.

De grenzen van wat de cijfers tonen

Spamstatistieken beschrijven uitsluitend inkomende mail op uw domeinen, waardoor ze twee vragen niet kunnen beantwoorden.

Het is belangrijk om beide te benoemen, want wie aanneemt dat de statistieken ze wel dekken, zoekt al snel op de verkeerde plek.

Ze vertellen niet hoe uw uitgaande mail elders wordt behandeld. Of uw berichten in de inbox van anderen belanden, is een aparte vraag die wordt beantwoord door DMARC-rapporten en bounceresultaten. Dat behandelen we in DMARC-rapporten lezen.

Ook verklaren ze geen individueel bericht. De samenvatting is geaggregeerd: aantallen, percentages en de regels die in de periode het vaakst werden geactiveerd. Voor een specifiek verdwenen bericht staat het antwoord in de headers van dat bericht en niet in de statistieken. De statistieken vertellen u alleen of het domein überhaupt verkeer met dat patroon zag.

Gebruikt u ze waarvoor ze bedoeld zijn, namelijk opmerken dat er iets is veranderd en bewijs hebben wanneer iemand vragen stelt, dan geven ze snel antwoord. Gebruikt u ze om één e-mail te diagnosticeren, dan zullen ze u teleurstellen.

Een verstandige routine

Niemand gaat dit elke week controleren, en dat zou ook niet nodig moeten zijn.

Kijk één keer per maand en controleer eerst de fout-positieven in plaats van het opvallende blokkeercijfer. Bekijk de domeinen met klantverkeer vóór de interne domeinen. Staan de fout-positieven op nul en blijft de door gebruikers gemelde spam stabiel, sluit dan het tabblad. Dat betekent dat het systeem werkt.

Het andere moment om te kijken is zodra iemand zegt dat een bericht ontbreekt, voordat u aanneemt dat het nooit is verzonden. Spamstatistieken vertellen u binnen een minuut of het domein het verkeer überhaupt heeft gezien, waardoor een discussie verandert in een feit.