Consenso, disiscrizione e una lista pulita

Modulo 7: Newsletter e posta dal Suo sito web · Tempo di lettura: 12 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di costruire e mantenere una lista di indirizzi che rispetta sia la legge sia la fiducia dei filtri antispam, e di verificare se una newsletter ha una disiscrizione funzionante con un solo clic.

Concetti chiave: consenso preventivo (opt-in), opt-in confermato (double opt-in), eccezione per i clienti esistenti (soft opt-in), normativa sulle comunicazioni elettroniche indesiderate, GDPR, link di disiscrizione, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post e disiscrizione con un clic (RFC 8058), tasso di reclami, bounce permanenti e temporanei, indirizzi inattivi, spamtrap, lista acquistata

La tecnica da sola non basta

Nella lezione 7.1 ha autenticato il Suo dominio presso un servizio di invio. SPF, DKIM e DMARC sono corretti. Eppure la Sua newsletter può finire nello spam. I destinatari come Gmail, Yahoo e Outlook.com osservano infatti anche come i loro utenti reagiscono alla Sua posta. Le persone cliccano su "Segnala come spam", non aprono mai la Sua posta, oppure Lei invia a indirizzi che non esistono più da anni? In tal caso la Sua reputazione cala, per quanto sia corretta la Sua tecnica.

Gmail indica nelle sue linee guida per i mittenti una soglia: mantenga il tasso di spam (la percentuale della Sua posta che i destinatari segnalano come spam, misurata in Google Postmaster Tools) sotto lo 0,1% e non raggiunga mai lo 0,3% o oltre. Anche Yahoo applica lo 0,3%. Si tratta di un reclamo ogni 333 messaggi. Con una lista di persone che non sanno perché ricevono la Sua posta, non riuscirà mai a rispettare questa soglia.

Una lista pulita inizia quindi dalla domanda: questa persona desidera davvero la mia posta?

Cosa dice la legge?

Le regole relative ai messaggi elettronici indesiderati (spam) sono stabilite a livello europeo dalla direttiva ePrivacy (direttiva 2002/58/CE, articolo 13), che ogni Stato membro ha recepito nella propria normativa nazionale. È quindi opportuno verificare le regole in vigore nel Suo paese e rivolgersi alla propria autorità di controllo competente (nei Paesi Bassi: articolo 11.7 della Telecommunicatiewet, con spiegazioni fornite dall'ACM, l'Autorità Consumatori e Mercati). Per i dati personali si applica inoltre il GDPR. Questo non costituisce una consulenza legale, ma le linee generali sono chiare:

• Consenso preventivo. La pubblicità via e-mail, e anche i messaggi per finalità ideali o benefiche, può essere inviata solo a chi ha dato preventivamente il proprio consenso. Deve poter dimostrare tale consenso. Le autorità di controllo indicano generalmente che il consenso deve essere dato in modo consapevole: nessuna casella preselezionata, nessuna formulazione nascosta nelle condizioni generali, e la scelta deve riguardare esplicitamente la pubblicità.
• Eccezione per i clienti esistenti, spesso chiamata soft opt-in. Se ha ottenuto l'indirizzo e-mail nell'ambito della vendita di un prodotto o servizio, può inviare a quel cliente messaggi su prodotti o servizi propri e simili. Condizione: al momento della raccolta dell'indirizzo ha dato chiaramente la possibilità di rifiutare, e lo fa di nuovo in ogni messaggio.
• Indirizzi aziendali. Anche per le persone giuridiche vale in linea di principio il consenso preventivo. L'eccezione è ristretta: indirizzi che l'azienda stessa ha reso noti allo scopo di ricevere pubblicità, utilizzati per tale finalità. Raccogliere un indirizzo da un sito web non costituisce quindi consenso.
• Disiscrizione e mittente. In ogni messaggio il destinatario deve poter disiscriversi gratuitamente e in modo semplice. Deve sempre indicare l'identità reale del mittente e un indirizzo valido a cui il destinatario può inviare una richiesta di interruzione.

Non esistono quindi "liste acquistate con consenso" a cui si possa inviare posta liberamente: il consenso deve essere stato dato specificamente a Lei e ai Suoi messaggi.

Opt-in confermato: prova e qualità insieme

Con un opt-in semplice, una persona inserisce il proprio indirizzo in un modulo e viene immediatamente inserita nella Sua lista. Il problema: chiunque può inserire qualsiasi indirizzo, anche quello di un'altra persona, e anche gli errori di battitura (jan@gmial.com) finiscono nella Sua lista.

Con l'opt-in confermato (double opt-in), l'indirizzo riceve prima un messaggio con un link di conferma. Solo dopo il clic viene inserito nella lista. Questo presenta tre vantaggi:

1. Dimostra che il titolare dell'indirizzo ha dato personalmente il consenso (conservi data, ora e IP della conferma). Le autorità di controllo indicano che deve poter dimostrare il consenso anche anni dopo l'invio.
2. La Sua lista contiene solo indirizzi che esistono e vengono letti.
3. Evita che malintenzionati o bot riempiano il Suo modulo con indirizzi altrui. Quelle persone si lamenteranno in seguito, e questo danneggia Lei.

Molti fornitori di hosting impongono l'opt-in confermato come condizione se Lei invia mailing tramite i loro server. Presso WebOké, ad esempio, questo è indicato nell'articolo della base di conoscenza 18; presso altri fornitori è indicato nella politica di uso accettabile.

Disiscrizione con un clic

Un link di disiscrizione in fondo al messaggio è richiesto dalla legge. I grandi destinatari vogliono inoltre un pulsante di disiscrizione all'interno del proprio programma: Gmail e Yahoo mostrano quindi in alto nel messaggio la scritta "Disiscriviti". Questo funziona tramite due intestazioni.

List-Unsubscribe (RFC 2369) indica uno o due modi per disiscriversi, tra parentesi angolari:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) indica che il link https funziona con un solo clic, senza che il destinatario debba confermare su una pagina:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Se il destinatario clicca su Disiscriviti in Gmail, Gmail invia una richiesta POST con esattamente List-Unsubscribe=One-Click a quell'URL. Il Suo server disiscrive immediatamente l'indirizzo. Alcune regole tratte dalla RFC 8058:

• l'URL deve essere in https;
• il link deve essere univoco per ogni destinatario (contiene un codice), in modo che il server sappia chi si sta disiscrivendo;
• le intestazioni List-Unsubscribe e List-Unsubscribe-Post devono rientrare sotto la firma DKIM, altrimenti qualcuno potrebbe sostituirle durante il transito;
• una richiesta GET sullo stesso URL non deve disiscrivere immediatamente (gli scanner antivirus e le anteprime seguono i link), solo la richiesta POST deve farlo.

Gmail richiede per i mittenti di massa (più di circa 5.000 messaggi al giorno verso indirizzi Gmail) la disiscrizione con un clic nella posta di marketing, oltre a un link di disiscrizione visibile nel testo. Yahoo richiede lo stesso e vuole che una disiscrizione venga elaborata entro 2 giorni. Anche se il Suo volume è minore: ogni buon servizio di invio inserisce automaticamente queste intestazioni. La verifichi comunque (si veda l'esercizio).

Mantenere pulita la Sua lista

Una lista invecchia. Le persone cambiano lavoro, le caselle di posta vengono chiuse, l'interesse svanisce. Senza manutenzione i Suoi bounce e reclami aumentano, e le aperture diminuiscono. Cinque abitudini fisse:

1. Rimuova subito i bounce permanenti. Un bounce permanente (un errore 5xx come 550 5.1.1 "l'indirizzo non esiste", lezione 6.2) significa che l'indirizzo non funziona. Se continua a inviare, i destinatari La considereranno un mittente trascurato o spammer. I servizi di invio lo fanno automaticamente.
2. Tenga d'occhio i bounce temporanei. Un errore temporaneo (4xx, ad esempio una casella piena) può ripetersi qualche volta, ma se un indirizzo fallisce a ogni invio, lo rimuova.
3. Elabori i reclami. Chi clicca su "Segnala come spam" deve essere rimosso dalla Sua lista. I grandi destinatari inviano una segnalazione tramite un feedback loop; i servizi di invio la elaborano.
4. Elimini gli indirizzi inattivi. Qualcuno che non apre né clicca nulla da un anno fornisce un segnale negativo. Invii prima un messaggio di riconferma ("Desidera ancora ricevere la nostra newsletter?"), e rimuova dalla lista chi non risponde. Attenzione: dall'introduzione di Apple Mail Privacy Protection (lezione 2.3) le aperture non sono più affidabili; osservi anche i clic.
5. Non acquisti, affitti o raccolga mai liste. Oltre al problema legale, tali liste contengono spesso spamtrap: indirizzi che i gestori di blocklist e i destinatari mantengono appositamente per catturare gli spammer. Esistono vecchi indirizzi riattivati dopo anni di silenzio come trappola, e indirizzi che non sono mai stati iscritti da nessuno. Chi invia posta a questi indirizzi dimostra di non avere il consenso. Un solo colpo può farLa finire in una blocklist (lezione 5.2).

Nella pratica

Esempio: Lei ha un negozio online e desidera inviare ai clienti, dopo un acquisto, una newsletter su prodotti simili. In tal caso inserisca al momento del pagamento una casella non preselezionata "Desidero ricevere la newsletter", oppure si avvalga dell'eccezione per i clienti esistenti: comunica chiaramente al momento del pagamento che invierà ai clienti messaggi su prodotti simili, con la scelta "no, preferisco di no", e ogni newsletter contiene un link di disiscrizione. Tutta la posta passa attraverso un servizio di invio con dominio autenticato (lezione 7.1). Il servizio rimuove automaticamente bounce e reclami, e Lei elimina due volte l'anno gli indirizzi inattivi.

In un'associazione con una mailing list sul pacchetto di hosting (presso WebOké si chiama Mailing List in DirectAdmin; altri pannelli hanno liste simili), si tratta di membri che si aspettano la posta. Anche in questo caso: indichi in ogni messaggio come disiscriversi, e rimuova dalla lista gli ex membri.

Riepilogo

• I destinatari osservano i reclami: rimanga sotto lo 0,1% e non raggiunga mai lo 0,3%.
• Secondo la normativa applicabile, invii pubblicità solo con consenso preventivo dimostrabile, con un'eccezione per i clienti esistenti su prodotti simili. Sempre con mittente e possibilità di disiscrizione.
• L'opt-in confermato fornisce una prova e una lista senza errori di battitura e iscrizioni false.
• List-Unsubscribe con link https e List-Unsubscribe-Post: List-Unsubscribe=One-Click, sotto la firma DKIM, con elaborazione delle disiscrizioni entro 2 giorni.
• Rimuova i bounce permanenti e chi si lamenta, elimini gli inattivi, non acquisti mai liste (spamtrap).

Quiz

Esercizio

Esercizio Z7.2: Verificare le intestazioni di disiscrizione. Incolli le intestazioni di una newsletter che Lei stesso invia (oppure di una newsletter che riceve, oppure il file di esempio nieuwsbrief-kopregels-2.txt). Indichi: è presente un List-Unsubscribe con un link https (sì/no), è presente una variante mailto: (sì/no), la disiscrizione con un clic è attivata (sì/no) e queste intestazioni rientrano sotto la firma DKIM (sì/no, si veda h= nella DKIM-Signature). Il programma analizza le intestazioni e confronta.

Esercizio O7.2: Verificare il proprio processo di consenso. Descriva come le persone arrivano sulla Sua lista (modulo, pagamento, iscrizione a un evento) e risponda alla checklist: la casella è vuota finché qualcuno non la seleziona personalmente, la persona conferma il proprio indirizzo, conserva data e ora del consenso, ogni messaggio contiene un link di disiscrizione e il nome della Sua azienda con indirizzo, e con quale frequenza elimina gli indirizzi inattivi? Riceverà in seguito la risposta modello con i punti a cui prestare attenzione.

Per saperne di più

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori il funzionamento è simile.

• È possibile inviare un mailing tramite il Suo pacchetto di hosting presso WebOké?
• Alcuni messaggi inviati a una mailing list non arrivano
• Guida DirectAdmin 7.10: Mailing List
• ACM, Spam (regole per l'invio di pubblicità via e-mail) (Paesi Bassi): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, articolo 11.7 (Paesi Bassi): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (disiscrizione con un clic): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, linee guida per i mittenti: https://senders.yahooinc.com/best-practices/