在垃圾邮件统计成为问题前读懂它

垃圾邮件过滤是电子邮件中唯一在人们看见它正常工作时从不关注的部分。邮件会送达，垃圾邮件大多不会，整个过程一直隐而不见，直到某一天重要邮件落入垃圾邮件文件夹，或者客户说从未收到你的回复。到了那时，你处理的已经是一次事件，而不是观察一项趋势。

垃圾邮件统计能扭转这种局面。它按域名分别统计，涵盖最近三十天，并回答一个大多数服务商甚至不允许你提出的问题：我的域名实际上过滤了什么，过滤器判断得对不对？

垃圾邮件统计实际显示什么

对于每个域名，你都会获得整个期间的汇总和每日序列，因此既能看到整体形态，也能看到变化。

最后三个指标最值得关注，却几乎没有服务商公布。只告诉你拦截了多少垃圾邮件的统计是营销。告诉你过滤器多少次判断错误的统计才是诊断工具。

预示问题的数字

这些数字在大多数时候保持稳定，可以忽略。有三种变化值得采取行动。

误判数量上升。如果用户经常从垃圾邮件文件夹中放行正常邮件，说明过滤器没有针对你的邮件流量正确校准。常见原因是你依赖的供应商或邮件简报具有某些与垃圾邮件相似的特征。这是电子邮件中代价最高、却最不容易被报告的故障，因为没有收到你报价的人根本不知道应该投诉。

某个域名的入站量骤增。一个平时流量很少的域名突然增长，通常意味着某个地址已被采集并放进名单。事情并不紧急，但往往预示着一段噪声增多的时期。如果该地址是 catch-all 地址，情况可能变得十分严重。

用户报告的垃圾邮件增加，但检测量保持不变。这意味着垃圾邮件正在漏过过滤器，而你的用户只能手动清理。过滤器没有高调失败，而是在悄悄失效。成本被每个人付出的注意力吸收，而不会以错误的形式出现。

为什么按域名统计很重要

整个账户的汇总垃圾邮件统计恰恰会隐藏你需要看到的信息。

各个域名的流量不同。公司网站上的公开 info@ 地址收到的邮件组合，与由六个人使用的内部域名完全不同。把两者取平均值，得到的数字哪个也不能描述。40% 的垃圾邮件率对其中一个很惊人，对另一个却完全正常。

如果你为客户管理域名，这就决定了你能给出有用答案，还是只能耸肩。当客户询问为什么某封邮件没有送达时，按域名统计的数据让你能够具体查看客户的域名和所问的期间，而不是依据一个与客户毫无关系的全平台平均值进行推断。

读懂符号

最常见符号的列表展示了过滤器的判断过程。每个符号代表一条被触发的规则，例如身份验证结果、信誉检查或内容启发式规则，而计数表示触发次数。这些名称来自底层过滤引擎 Rspamd。

你无需全部学会。真正有用的是留意某个身份验证符号是否占据主导，因为这通常指向发送方的问题，而不是垃圾邮件问题。未通过 SPF 或 DMARC 对齐的邮件会得到更高的垃圾邮件评分，即便它是正常邮件。要修正的不是过滤器，而是发送域名的记录。我们的设置 SPF和配置 DMARC指南介绍了这方面的内容。

这是最值得了解的常见误判原因：供应商自己的身份验证配置有误。垃圾邮件统计会表现为一些与内容无关的规则在你认识的发送方身上触发。

采取行动

可以采取的措施刻意保持精简，因为大多数垃圾邮件问题要靠训练解决，而不是靠配置解决。

报告垃圾邮件和放行误判都会向过滤器提供训练信号。连续两周坚持这样做，比修改任何设置更能改变数字。当某个特定来源有问题并且你不想等待时，可以直接屏蔽该发送方。对于正常但不想要的邮件，创建一条将其归档的过滤规则，比将它标为垃圾邮件更好，因为标记操作会训练系统不信任一个其他人可能希望收到邮件的发送方。服务器端规则在邮件过滤器的工作原理中有介绍，并从 Pro 套餐开始提供。

通常真正不对的做法是什么都不做，然后得出过滤器很差的结论。垃圾邮件统计的作用，是让决定依据事实，而不是依据直觉。

正常垃圾邮件率的形态

不存在通用数字。任何给出一个数字的服务商，描述的都是自己的平均值，而不是你的域名。真正有用的做法，是长期查看自己的垃圾邮件统计，了解正常状态的形态，从而识别异常。

拥有公开地址的域名，例如任何印在网站、名片或公司车辆上的地址，通常会发现大部分入站流量被归类为垃圾邮件。超过一半的比例在这里并不稀奇。只用于已知各方之间内部通信的域名应该很少出现垃圾邮件。如果这样的域名突然出现垃圾邮件，就值得仔细查看，而不是一笑置之。

每个域名都应该让已放行误判这个指标保持在接近零的位置。垃圾邮件漏过令人烦恼，正常邮件被归入垃圾邮件却代价高昂，两者并不对等。调校为捕获一切的过滤器，必然比允许少量垃圾邮件漏过的过滤器给你造成更大损失。

最重要的是变化方向。一个保持稳定六个月的比率突然变化，意味着发生了某件事，而垃圾邮件统计通常能帮助你把日期确定到某一天。

客户投诉时如何使用

如果你为其他人管理域名，这正是该功能发挥价值之处。否则，关于“我们从未收到你的邮件”的对话完全没有证据可循。

步骤很短，垃圾邮件统计能提供全部信息。查看客户所述期间内其域名的数据。如果入站量正常，也没有任何邮件被拒收，那么该邮件很可能根本没有到达，这会将调查从你这一方转向发送方。如果它被检测为垃圾邮件，你可以明确告知客户，放行邮件，并根据符号解释过滤器这样判断的原因。

这能在几分钟内把一场防御性的交锋变成基于事实的对话。它也能防止你犯下相反的错误，也就是认定过滤器有问题，然后花一下午调整一个原本正常工作的系统。

按域名统计的垃圾邮件数据让这一切成为可能。全账户平均值无法告诉客户其自身域名的情况，客户也知道这一点。

拒收与归档的区别

有两个指标看起来相似，含义却大不相同。混淆它们会导致错误的结论。

检测到的垃圾邮件是已经接收、随后被归类为垃圾邮件的邮件。它确实存在，位于文件夹中，而且可以找回。拒收的垃圾邮件是在 SMTP 会话期间遭到拒绝、从未被接收的邮件。它不存在于你这一方的任何位置，也无法放行，因为根本没有可以放行的内容。

只有把握最大的情形才会触发拒收，例如已知的恶意来源、格式错误的邮件，或者身份验证严重失败、接收就等同于冒险的发送方。其好处是，被拒收的邮件会在发送端产生错误，因此遭到误判的正常发送方会立即得知，而不会以为邮件已经送达。

这正是应该告诉任何担忧错误拒收之人的关键。被错误拒收的邮件会把失败告知发送方。被错误归档的邮件却不会告知任何人。因此应该关注的是已放行误判的数量，而不是拒收数量。

这些数字的显示边界

垃圾邮件统计只描述你域名上的入站邮件，除此之外一概不含，因此有两个问题无法回答。

这两点都值得明确说明，因为误以为统计涵盖这些内容，通常正是人们查错方向的原因。

它不会告诉你自己的出站邮件在其他地方受到怎样的处理。你的邮件是否进入他人的收件箱，是一个需要通过 DMARC 报告和退信数据回答的独立问题，详情见读懂 DMARC 报告。

它也不会解释任何一封具体邮件。汇总结果是聚合数据，包括计数、比率和整个期间内最常触发的规则。对于一封具体的失踪邮件，答案在该邮件的标头中，而不是统计数据中。统计只能告诉你，该域名是否曾经看到这种形态的流量。

把它用于应有的目的，也就是发现变化，并在有人询问时提供证据，它便能迅速回答问题。把它当作单封邮件的诊断工具，只会令人失望。

合理的检查习惯

没有人会每周检查这些数据，也不应该有这个必要。

每月查看一次，并先检查误判，而不是醒目的拦截总数。先检查承载客户流量的域名，再检查内部域名。如果误判为零，并且用户报告的垃圾邮件保持稳定，就可以关闭标签页。这正说明系统运行正常。

另一个需要查看的时机，是有人说一封邮件失踪的当下，而且要赶在认定它从未发送之前。垃圾邮件统计能在一分钟内告诉你，域名究竟有没有看到该流量，从而把争论变成事实。