Suostumus, peruuttaminen ja puhdas osoitelista

Moduuli 7: Uutiskirjeet ja sähköposti verkkosivustolta · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat rakentaa ja ylläpitää osoitelistaa, johon sekä laki että roskapostisuodattimet luottavat, ja osaat tarkistaa, onko uutiskirjeessä toimiva yhden klikkauksen peruutus.

Keskeiset käsitteet: ennakkosuostumus (opt-in), vahvistettu suostumus (double opt-in), poikkeus omille asiakkaille (soft opt-in), ePrivacy-direktiivin täytäntöönpanosäännökset (Alankomaissa: artikla 11.7 Telecommunicatiewet), GDPR (tietosuoja-asetus), peruutuslinkki, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post ja yhden klikkauksen peruutus (RFC 8058), valitusprosentti, kovat ja pehmeät bouncet, passiiviset osoitteet, spamtrap, ostettu osoitelista

Tekniikka ei yksin riitä

Oppitunnilla 7.1 autentikoit domainisi lähetyspalvelussa. SPF, DKIM ja DMARC ovat kunnossa. Silti uutiskirjeesi voi päätyä roskapostiin. Vastaanottajat kuten Gmail, Yahoo ja Outlook.com nimittäin tarkkailevat myös sitä, miten heidän käyttäjänsä reagoivat viesteihisi. Klikkaavatko ihmiset "Tämä on roskapostia", jättävätkö he viestisi aina avaamatta vai lähetätkö osoitteisiin, jotka ovat olleet käyttämättömiä jo vuosia? Silloin maineesi laskee, oli tekniikkasi kuinka hyvä tahansa.

Gmail mainitsee lähettäjille suunnatuissa ohjeissaan rajan: pidä roskapostiprosentti (osuus viesteistäsi, jotka vastaanottajat merkitsevät roskapostiksi, mitattuna Google Postmaster Toolsissa) alle 0,1 %:n äläkä koskaan nouse 0,3 %:iin tai sen yli. Yahoo soveltaa myös 0,3 %:n rajaa. Se tarkoittaa yhtä valitusta 333 viestiä kohden. Listalla, jolla on ihmisiä, jotka eivät tiedä miksi saavat viestejäsi, et koskaan pysy tuon rajan alla.

Puhdas osoitelista alkaa siis kysymyksestä: haluaako tämä henkilö todella viestini?

Mitä laki sanoo?

Ei-toivottua sähköistä mainontaa (roskapostia) koskevat säännöt perustuvat EU:n ePrivacy-direktiiviin (direktiivi 2002/58/EY, artikla 13), jonka jokainen maa on saattanut voimaan omalla lainsäädännöllään. Tarkista oman maasi säännöt ja oman maasi valvontaviranomainen. Alankomaissa säännöt löytyvät esimerkiksi Telecommunicatiewetin artiklasta 11.7, ja Alankomaiden kuluttaja- ja markkinaviranomainen (Autoriteit Consument & Markt, ACM) selittää niitä verkkosivullaan. Henkilötietojen osalta sovelletaan lisäksi GDPR:ää (tietosuoja-asetusta). Tämä ei ole lakineuvontaa, mutta pääperiaatteet ovat selkeät:

• Ennakkosuostumus. Mainontaa sähköpostitse, myös aatteellisiin tai hyväntekeväisyystarkoituksiin liittyviä viestejä, saa lähettää vain henkilölle, joka on antanut siihen suostumuksensa etukäteen. Sinun on pystyttävä osoittamaan tämä suostumus. Alankomaiden ACM kirjoittaa, että suostumuksen on oltava tietoisesti annettu: ei valmiiksi rastitettua ruutua, ei piilotettuna yleisiin ehtoihin, ja valinnan on koskettava selvästi mainontaa.
• Poikkeus omille asiakkaille, usein kutsutaan nimellä soft opt-in. Jos olet saanut sähköpostiosoitteen tuotteen tai palvelun myynnin yhteydessä, voit lähettää kyseiselle asiakkaalle viestejä omista, samankaltaisista tuotteista tai palveluista. Edellytys: annoit osoitteen keräämisen yhteydessä selvän mahdollisuuden kieltäytyä, ja teet niin uudelleen jokaisessa viestissä.
• Yritysosoitteet. Myös oikeushenkilöiden kohdalla lähtökohtana on ennakkosuostumus. Poikkeus on kapea: osoitteet, jotka yritys on itse julkaissut nimenomaan mainonnan vastaanottamista varten, ja joita käytetään juuri siihen tarkoitukseen. Osoitteen poimiminen verkkosivulta ei siis ole suostumus.
• Peruuttaminen ja lähettäjä. Jokaisessa viestissä vastaanottajan on voitava peruuttaa tilaus maksutta ja helposti. Mainitse aina lähettäjän todellinen henkilöllisyys ja voimassa oleva osoite, johon vastaanottaja voi lähettää peruutuspyynnön.

Ei siis ole olemassa "ostettuja listoja suostumuksella", joille voisi vain mailata: suostumuksen on pitänyt koskea nimenomaan sinua ja sinun viestejäsi.

Vahvistettu suostumus: todiste ja laatu samalla kertaa

Tavallisessa opt-in-menettelyssä joku täyttää osoitteensa lomakkeeseen ja pääsee heti listalle. Ongelma: kuka tahansa voi täyttää minkä tahansa osoitteen, myös toisen henkilön, ja kirjoitusvirheet (jan@gmial.com) päätyvät myös listalle.

Vahvistetussa suostumuksessa (double opt-in) osoitteeseen lähetetään ensin viesti, jossa on vahvistuslinkki. Vasta klikkauksen jälkeen osoite pääsee listalle. Tässä on kolme etua:

1. Todistat, että osoitteen omistaja itse antoi suostumuksen (säilytä vahvistuksen päivämäärä, kellonaika ja IP-osoite). Alankomaiden ACM kirjoittaa, että sinun on pystyttävä osoittamaan suostumus vielä vuosia lähettämisen jälkeen.
2. Listallasi on vain osoitteita, jotka ovat olemassa ja joita luetaan.
3. Estät sen, että pahantahtoiset henkilöt tai botit täyttävät lomakkeesi toisten osoitteilla. Nämä ihmiset valittavat myöhemmin, ja se vaikuttaa sinuun.

Monet hostingpalvelujen tarjoajat vaativat vahvistettua suostumusta ehtona, jos lähetät massapostituksia heidän palvelimiensa kautta. WebOökellä tämä on mainittu esimerkiksi tietopankin artikkelissa 18; muilla tarjoajilla asia on kirjattu hyväksyttävän käytön ehtoihin.

Yhden klikkauksen peruutus

Peruutuslinkki viestin alalaidassa on lain mukaan pakollinen. Suuret vastaanottajat haluavat sen lisäksi peruutuspainikkeen omassa ohjelmassaan: Gmail ja Yahoo näyttävät silloin viestin yläreunassa "Peruuta tilaus". Tämä toimii kahden otsikkorivin avulla.

List-Unsubscribe (RFC 2369) antaa yhden tai kaksi tapaa peruuttaa tilaus, kulmasulkeiden sisällä:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) kertoo, että https-linkki toimii yhdellä klikkauksella, ilman että vastaanottajan tarvitsee vielä vahvistaa asiaa erillisellä sivulla:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Kun vastaanottaja klikkaa Gmailissa Peruuta tilaus -painiketta, Gmail lähettää POST-pyynnön, jossa on täsmälleen List-Unsubscribe=One-Click, kyseiseen URL-osoitteeseen. Palvelimesi peruuttaa osoitteen tilauksen heti. Muutama sääntö RFC 8058:sta:

• URL-osoitteen on oltava https-muotoinen;
• linkin on oltava uniikki jokaiselle vastaanottajalle (siinä on koodi), jotta palvelin tietää kuka peruuttaa tilauksen;
• List-Unsubscribe- ja List-Unsubscribe-Post-otsikkorivien on kuuluttava DKIM-allekirjoituksen piiriin, muuten joku voisi vaihtaa ne matkalla;
• GET-pyyntö samaan URL-osoitteeseen ei saa peruuttaa tilausta suoraan (virusskannerit ja esikatselutoiminnot seuraavat linkkejä), vain POST-pyyntö saa.

Gmail vaatii massalähettäjiltä (yli noin 5 000 viestiä päivässä Gmail-osoitteisiin) yhden klikkauksen peruutusta markkinointiviesteissä, sekä näkyvää peruutuslinkkiä itse tekstissä. Yahoo vaatii saman ja edellyttää, että peruutus käsitellään 2 päivän kuluessa. Myös pienemmillä lähettäjillä: jokainen hyvä lähetyspalvelu lisää nämä otsikkorivit automaattisesti. Tarkista silti asia (katso tehtävä).

Pidä listasi puhtaana

Lista vanhenee ajan myötä. Ihmiset vaihtavat työpaikkaa, postilaatikoita suljetaan, kiinnostus hiipuu. Ilman ylläpitoa bouncesi ja valituksesi lisääntyvät ja avausprosenttisi laskee. Viisi vakiintunutta tapaa:

1. Kovat bouncet pois heti. Kova bounce (5xx-virhe kuten 550 5.1.1 "osoitetta ei ole olemassa", oppitunti 6.2) tarkoittaa, että osoite ei toimi. Jos jatkat lähettämistä sinne, vastaanottajat pitävät sinua huolimattomana tai roskapostia lähettävänä lähettäjänä. Lähetyspalvelut tekevät tämän automaattisesti.
2. Pehmeitä bounceja kannattaa seurata. Tilapäinen virhe (4xx, esimerkiksi täysi postilaatikko) voi toistua muutaman kerran, mutta jos osoite epäonnistuu joka kerta, poista se.
3. Käsittele valitukset. Jos joku klikkaa "Tämä on roskapostia", hänet on poistettava listaltasi. Suuret vastaanottajat lähettävät ilmoituksen palauteilmoitusjärjestelmän (feedback loop) kautta; lähetyspalvelut käsittelevät nämä.
4. Siivoa passiiviset osoitteet. Henkilö, joka ei ole avannut tai klikannut mitään vuoteen, antaa huonon signaalin. Lähetä ensin uudelleenvahvistusviesti ("Haluatko edelleen vastaanottaa uutiskirjeemme?"), ja poista listalta ne, jotka eivät vastaa. Huomaa: Apple Mail Privacy Protectionin käyttöönoton jälkeen (oppitunti 2.3) avausluvut eivät ole luotettavia; seuraa myös klikkauksia.
5. Älä koskaan osta, vuokraa tai poimi listoja. Lain mukaisen ongelman lisäksi tällaiset listat sisältävät usein spamtrappeja: osoitteita, joita estolistojen ylläpitäjät ja vastaanottajat pitävät yllä nimenomaan roskapostittajien kiinniottamiseksi. Osa on vanhoja osoitteita, jotka on avattu uudelleen ansaksi vuosien hiljaisuuden jälkeen, osa taas sellaisia, joita ei ole koskaan tilannut kukaan. Jos lähetät niihin, todistat ettei sinulla ole suostumusta. Yksi osuma voi viedä sinut estolistalle (oppitunti 5.2).

Käytännössä

Esimerkki: sinulla on verkkokauppa ja haluat lähettää asiakkaille oston jälkeen uutiskirjeen samankaltaisista tuotteista. Lisää kassalla valmiiksi rastittamaton valintaruutu "Haluan tilata uutiskirjeen", tai käytä poikkeusta omille asiakkaille: kerro kassalla selvästi, että lähetät asiakkaille viestejä samankaltaisista tuotteista, anna vaihtoehto "ei kiitos", ja lisää jokaiseen uutiskirjeeseen peruutuslinkki. Kaikki viestit kulkevat lähetyspalvelun kautta autentikoidulla domainilla (oppitunti 7.1). Palvelu poistaa bouncet ja valitukset automaattisesti, ja siivoat passiiviset osoitteet kaksi kertaa vuodessa.

Yhdistyksessä, jolla on postituslista hostingpaketissa (WebOökellä tämä on DirectAdminissa nimeltä Mailing Lists; muissa paneeleissa on vastaavia listoja), kyse on jäsenistä, jotka odottavat viestejä. Myös silloin: kerro jokaisessa viestissä miten voi peruuttaa tilauksen, ja poista entiset jäsenet listalta.

Yhteenveto

• Vastaanottajat seuraavat valituksia: pysy alle 0,1 %:n äläkä koskaan nouse 0,3 %:iin.
• Säännöillä, jotka panevat täytäntöön ePrivacy-direktiivin (Alankomaissa: artikla 11.7 Telecommunicatiewet), mainontaa saa lähettää vain todistettavalla ennakkosuostumuksella, poikkeuksena omat asiakkaat samankaltaisten tuotteiden osalta. Aina mukana lähettäjän tiedot ja peruutusmahdollisuus.
• Vahvistettu suostumus antaa todisteen ja listan ilman kirjoitusvirheitä ja väärennettyjä tilauksia.
• List-Unsubscribe https-linkillä ja List-Unsubscribe-Post: List-Unsubscribe=One-Click, DKIM-allekirjoituksen piirissä, ja peruutukset käsiteltävä 2 päivän kuluessa.
• Kovat bouncet ja valittajat pois, passiiviset siivottava, listoja ei koskaan osteta (spamtrapit).

Tietovisa

Tehtävä

Tehtävä Z7.2: Peruutusotsikkorivien tarkistaminen. Liitä mukaan uutiskirjeen otsikkorivit, jonka itse lähetät (tai jonka vastaanotat, tai esimerkkitiedoston nieuwsbrief-kopregels-2.txt). Täytä: onko mukana List-Unsubscribe https-linkillä (kyllä/ei), onko mukana mailto:-vaihtoehto (kyllä/ei), onko yhden klikkauksen peruutus käytössä (kyllä/ei) ja kuuluvatko nämä otsikkorivit DKIM-allekirjoituksen piiriin (kyllä/ei, katso h= kohdassa DKIM-Signature). Ohjelma jäsentää otsikkorivit ja vertaa niitä.

Tehtävä O7.2: Suostumusprosessisi läpikäynti. Kuvaile, miten ihmiset päätyvät listallesi (lomake, kassa, tapahtumaan ilmoittautuminen) ja vastaa tarkistuslistaan: onko ruutu tyhjä kunnes joku rastittaa sen itse, vahvistaako henkilö osoitteensa, säilytätkö suostumuksen päivämäärän ja kellonajan, onko jokaisessa viestissä peruutuslinkki ja yrityksesi nimi osoitteineen, ja kuinka usein siivoat passiiviset osoitteet? Saat sen jälkeen mallivastauksen, jossa on mainittu kohdat, joihin kannattaa kiinnittää huomiota.

Lue lisää

Näiden artikkeleiden vaiheet koskevat WebOökén paneeleja; muilla tarjoajilla toiminta on vastaavaa.

• Voitko lähettää massapostituksen WebOké-hostingpakettisi kautta?
• Osa postituslistalle lähetetyistä viesteistä ei tule perille
• DirectAdmin-ohje 7.10: Postituslistat
• Alankomaiden kuluttaja- ja markkinaviranomainen ACM, Spam (säännöt sähköpostimainonnan lähettämisestä, Alankomaat): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, artikla 11.7 (Alankomaat): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (yhden klikkauksen peruutus): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, ohjeet lähettäjille: https://senders.yahooinc.com/best-practices/