A filtragem de spam é a única parte do e-mail que ninguém observa enquanto funciona. As mensagens chegam, o lixo eletrônico em geral não, e todo o processo permanece invisível até o dia em que algo importante vai parar na pasta de spam ou um cliente diz que nunca recebeu sua resposta. Nesse ponto, você já está investigando um incidente em vez de acompanhar uma tendência.
As estatísticas de spam mudam essa situação. Elas são apresentadas por domínio, abrangem os últimos trinta dias e respondem a uma pergunta que a maioria dos provedores nem sequer permite fazer: o que está realmente sendo filtrado no meu domínio e o filtro está acertando?
O que as estatísticas de spam realmente mostram
Para cada domínio, você recebe um resumo do período e uma série diária, o que permite ver tanto o padrão quanto sua evolução.
| Indicador | O que ele mostra |
|---|---|
| Total recebido | Tudo o que chegou ao domínio, inclusive lixo eletrônico |
| Limpo | O que passou pela filtragem e foi entregue |
| Spam detectado | O que foi identificado como lixo eletrônico |
| Spam rejeitado | O que foi recusado de imediato, em vez de ser arquivado |
| Vírus detectado | Mensagens que continham malware conhecido |
| Taxa de spam | Percentual do tráfego recebido detectado como spam |
| Spam denunciado por usuários | O que seus usuários marcaram como lixo eletrônico |
| Falsos positivos liberados | Mensagens legítimas recuperadas da pasta de spam |
| Principais símbolos | Quais regras do filtro são acionadas com mais frequência |
Os três últimos são os que merecem atenção e também os que quase ninguém divulga. Estatísticas de spam que mostram apenas quanto lixo eletrônico foi bloqueado são marketing. As que revelam com que frequência o filtro errou servem para diagnóstico.
Os números que sinalizam problemas
Na maior parte do tempo, esses números permanecem estáveis e podem ser ignorados. Três movimentos merecem uma ação.
Aumento dos falsos positivos. Se os usuários liberam mensagens legítimas da pasta de spam com frequência, o filtro está mal calibrado para o seu tráfego, muitas vezes porque um fornecedor ou uma newsletter importante para você apresenta características semelhantes às do lixo eletrônico. Esse é um dos problemas mais caros do e-mail e um dos menos propensos a ser denunciado, pois a pessoa que nunca recebeu seu orçamento não sabe que deveria reclamar.
Pico no volume recebido por um domínio. Um aumento repentino em um domínio que normalmente recebe pouco tráfego costuma indicar que um endereço foi coletado e incluído em uma lista. Em geral, não é urgente, mas tende a anteceder um período de maior ruído e, se o endereço for um catch-all, o volume pode ficar considerável.
Aumento do spam denunciado por usuários enquanto a detecção permanece estável. Isso significa que mensagens indesejadas estão passando e seus usuários fazem a limpeza manualmente. O filtro não falha de forma evidente, mas silenciosa, e o custo aparece na atenção consumida de todos, em vez de surgir como um erro.
Por que a visão por domínio é importante
Estatísticas de spam agregadas para uma conta inteira ocultam exatamente o que você precisa ver.
Os domínios recebem tráfegos diferentes. Um endereço público info@ no site de uma empresa recebe uma combinação muito diferente daquela de um domínio interno usado por seis pessoas. Calcular a média entre eles produz um número que não descreve nenhum dos dois. Uma taxa de spam de 40% é alarmante em um e totalmente normal no outro.
Se você administra domínios para clientes, isso faz a diferença entre uma resposta útil e um simples dar de ombros. Quando um cliente pergunta por que uma mensagem não chegou, as estatísticas de spam por domínio permitem examinar especificamente o domínio dele durante o período em questão, em vez de tirar conclusões com base em uma média de toda a plataforma que nada tem a ver com o caso.
Como interpretar os símbolos
A lista dos principais símbolos mostra o raciocínio do filtro. Cada símbolo corresponde a uma regra acionada, como resultados de autenticação, verificações de reputação ou heurísticas de conteúdo, e a contagem indica a frequência. Os nomes vêm do Rspamd, o mecanismo de filtragem usado nos bastidores.
Você não precisa aprender todos eles. O importante é perceber quando um símbolo de autenticação predomina, pois isso normalmente aponta para um problema do remetente, e não para um problema de spam. Mensagens que falham no SPF ou no alinhamento DMARC recebem uma pontuação de spam maior, mesmo quando são legítimas. A correção não está no filtro, mas nos registros do domínio remetente. Nossos guias sobre como configurar o SPF e como configurar o DMARC explicam essa parte.
Essa é a causa de falsos positivos mais comum que vale a pena conhecer: um fornecedor com a própria autenticação configurada incorretamente. Suas estatísticas de spam mostrarão regras independentes de conteúdo sendo acionadas para um remetente que você reconhece.
Como agir
As respostas disponíveis são poucas de propósito, pois a maioria dos problemas de spam se resolve ensinando o filtro, e não alterando sua configuração.
Tanto denunciar spam quanto liberar falsos positivos alimenta o filtro, e fazer isso de forma consistente por duas semanas altera os números mais do que qualquer ajuste. É possível bloquear um remetente específico quando determinada origem é o problema e você não quer esperar. Para mensagens legítimas, mas indesejadas, uma regra que as arquive é melhor do que marcá-las como spam, porque a marcação ensina o sistema a desconfiar de um remetente que outras pessoas talvez queiram receber. As regras do servidor são abordadas em como funcionam os filtros de e-mail e estão disponíveis a partir do plano Pro.
O erro mais comum é não fazer nada disso e depois concluir que o filtro é ruim. As estatísticas de spam existem para que a decisão seja fundamentada, e não instintiva.
O padrão de uma taxa de spam normal
Não existe um número universal, e qualquer provedor que cite um estará descrevendo sua própria média, não o seu domínio. O útil é acompanhar suas próprias estatísticas de spam por tempo suficiente para conhecer o padrão normal e, assim, reconhecer algo fora do comum.
Um domínio com endereços voltados ao público, como qualquer endereço exibido em um site, cartão de visita ou veículo da empresa, pode ter a maior parte do tráfego recebido classificada como lixo eletrônico com frequência. Nesse caso, taxas acima da metade não são incomuns. Um domínio usado apenas para correspondência interna entre pessoas conhecidas deve receber muito pouco spam, e um aparecimento repentino nesse domínio merece atenção.
O número que deve permanecer próximo de zero em todos os domínios é o de falsos positivos liberados. Spam que passa incomoda; mensagem legítima arquivada como lixo eletrônico custa caro, e os dois problemas não são equivalentes. Um filtro ajustado para capturar tudo pode custar mais do que um que deixe algumas mensagens passarem.
O mais importante é a direção da tendência. Uma taxa que permaneceu estável por seis meses e depois muda indica que algo aconteceu, e as estatísticas de spam geralmente permitem situar o evento com precisão de um dia.
Como usar as estatísticas quando um cliente reclama
Se você administra domínios para outras pessoas, é aqui que o recurso demonstra seu valor, pois "nunca recebemos seu e-mail" é uma conversa que, de outro modo, não conta com nenhuma evidência.
A sequência é curta e as estatísticas de spam fornecem todas as informações. Examine o domínio do cliente durante o período descrito. Se o volume recebido estava normal e nada foi rejeitado, a mensagem provavelmente nem chegou, o que transfere a investigação para o lado do remetente. Se ela foi detectada como spam, você pode informar isso, liberá-la e explicar, com base nos símbolos, por que o filtro tomou essa decisão.
Isso transforma uma conversa defensiva em uma conversa baseada em fatos em poucos minutos. Também evita o erro oposto: presumir que a culpa foi do filtro e passar uma tarde ajustando algo que funcionava corretamente.
As estatísticas de spam por domínio tornam isso possível. Uma média de toda a conta não diz nada ao cliente sobre o próprio domínio, e ele sabe disso.
Rejeitado ou arquivado
Dois indicadores parecem semelhantes, mas têm significados bastante diferentes, e confundi-los leva à conclusão errada.
Spam detectado é uma mensagem aceita e depois classificada como lixo eletrônico. Ela existe, está em uma pasta e pode ser recuperada. Spam rejeitado é uma mensagem recusada durante a conversa SMTP e que nunca foi aceita. Ela não existe em nenhum lugar do seu lado e não pode ser liberada, pois não há o que liberar.
A rejeição ocorre nos casos mais evidentes, como origens reconhecidamente maliciosas, mensagens malformadas ou remetentes cuja autenticação falha de maneira tão grave que aceitar a mensagem seria imprudente. A vantagem é que uma mensagem rejeitada gera um erro no lado do remetente. Assim, um remetente legítimo afetado fica sabendo imediatamente, em vez de presumir que seu e-mail chegou.
É isso que deve ser explicado a quem se preocupa com rejeições incorretas. Uma mensagem rejeitada por engano avisa ao remetente que houve uma falha. Uma mensagem arquivada por engano não avisa a ninguém, por isso o número a observar é o de falsos positivos liberados, e não o de rejeições.
Os limites do que os números mostram
As estatísticas de spam descrevem somente as mensagens recebidas em seus domínios, o que deixa duas perguntas sem resposta.
Vale a pena mencioná-las, pois presumir que as estatísticas as respondem costuma levar as pessoas a procurar no lugar errado.
Elas não mostram como suas mensagens enviadas são tratadas em outros lugares. Saber se elas chegam às caixas de entrada de outras pessoas é uma questão diferente, respondida por relatórios DMARC e dados de devolução, abordados em como interpretar relatórios DMARC.
Também não explicam uma mensagem específica. O resumo é agregado: contagens, taxas e regras acionadas com maior frequência durante o período. Para uma mensagem específica que desapareceu, a resposta está nos cabeçalhos dela, não nas estatísticas. Estas apenas mostram se o domínio recebeu algum tráfego com esse padrão.
Quando usadas para sua finalidade, perceber uma mudança e ter evidências quando alguém pergunta, elas respondem rapidamente. Quando usadas para diagnosticar um único e-mail, tendem a frustrar.
Uma rotina sensata
Ninguém consultará esses dados toda semana, e isso não deveria ser necessário.
Consulte-os uma vez por mês e observe primeiro os falsos positivos, não o número de bloqueios em destaque. Verifique os domínios que recebem tráfego de clientes antes dos internos. Se os falsos positivos estiverem em zero e o spam denunciado pelos usuários permanecer estável, feche a guia: o sistema está funcionando.
O outro momento para consultar as estatísticas é assim que alguém disser que uma mensagem desapareceu, antes de presumir que ela nunca foi enviada. Em um minuto, as estatísticas de spam mostrarão se o domínio chegou a ver esse tráfego, transformando uma discussão em um fato.
