Maile marketingowe

Ten rozdział odpowiada na codzienne pytania o prowadzenie programu mailingu marketingowego: jak właściwie zbierać zgody, jak sprawić, by wypisanie się było bezbolesne, jak projektować wiadomości, które są otwierane, oraz jak utrzymać listę w zdrowiu, żeby poczta dalej trafiała do skrzynki odbiorczej. Szczegóły prawne według jurysdykcji znajdziesz w rozdziale Zgodność prawna; tutaj skupiamy się na codziennej praktyce.

Szybkie odpowiedzi na omawiane pytania:

• Czym jest mail marketingowy i czym różni się od transakcyjnego?
• Jakich fundamentalnych zasad nigdy nie wolno mi łamać?
• Co liczy się jako ważna zgoda (opt-in), a co nie?
• Czy stosować double opt-in?
• Jak łatwy musi być mój wypis?
• Jak poprawnie wdrożyć jednoklikowy wypis (RFC 8058)?
• Jak projektować tematy, strukturę i układ mobilny, które konwertują?
• Jak segmentować i personalizować?
• Jak często i kiedy wysyłać?
• Jak utrzymać czystą listę i jakie progi odbić oraz skarg mają znaczenie?
• Co prawnie musi zawierać każdy mail marketingowy?

Uwaga o neutralności wobec dostawców: ten rozdział zakłada, że rozmawiasz z dostawcą usług e-mail (ESP) przez cienką warstwę pośredniczącą (wrapper), a nie wywołujesz bezpośrednio SDK konkretnego dostawcy. Wszędzie tam, gdzie pojawia się kod, emailClient / provider zastępuje to, czego używasz, Amazon SES, Postmark, SendGrid, Mailgun, Resend, Brevo, SparkPost, Mandrill lub własny relay SMTP. Standardy (RFC 8058 jednoklikowy wypis, RFC 7208 SPF, RFC 6376 DKIM, RFC 7489 DMARC) są identyczne dla wszystkich; różni się jedynie powierzchnia API. Zachowaj abstrakcję, żeby móc zmienić dostawcę bez przepisywania programu.

Czym jest mail marketingowy i czym różni się od transakcyjnego?

Mail marketingowy to wiadomość promocyjna wysyłana do osób, które same zdecydowały, że chcą ją otrzymywać: newslettery, ogłoszenia produktowe, oferty, zestawienia i kampanie reaktywacyjne. Mail transakcyjny jest odpowiedzią na konkretne działanie konkretnego użytkownika, np. reset hasła czy potwierdzenie zamówienia.

Praktyczna różnica napędza całą resztę:

• Mail marketingowy wymaga wyraźnej zgody. Możesz wysyłać wyłącznie do osób, które wyraziły zgodę.
• Mail transakcyjny jest wyzwalany przez użytkownika, więc nie potrzebuje osobnej zgody marketingowej (ale nie może zawierać treści promocyjnych, jeśli ma pozostać transakcyjny).
• Mail marketingowy zawsze musi dawać odbiorcy wartość, a nie tylko nakłaniać do zakupu.

Pełne rozróżnienie i powody, dla których dostawcy skrzynek traktują oba typy inaczej, znajdziesz w Typy maili: transakcyjne vs marketingowe, a inwentarz typów wiadomości, które są jednoznacznie transakcyjne, w Katalogu transakcyjnych.

Tabela decyzyjna marketing/transakcja

Najtrudniejsze są przypadki hybrydowe: wiadomości, które jadą na transakcyjnym wyzwalaczu, ale niosą intencję promocyjną. Użyj tej tabeli, by sklasyfikować wiadomość z pogranicza, zanim zdecydujesz, jakie zasady zgody, strumień wysyłki i nagłówki mają zastosowanie.

Zasada kciuka: jeśli rozsądny odbiorca opisałby cel maila jako „chcą, żebym coś kupił”, to jest to marketing, niezależnie od tego, co go wyzwoliło. W razie wątpliwości rozdziel wiadomość. Wyślij oszczędne powiadomienie transakcyjne na strumieniu transakcyjnym, a promocję jako osobną wysyłkę marketingową wyłącznie do odbiorców, którzy wyrazili zgodę. Mieszanie obu na jednym strumieniu to najczęstszy sposób, w jaki zespoły przypadkiem psują reputację swojej poczty transakcyjnej. Rozdzielenie strumieni omówiono w Niezawodność wysyłki.

Dlaczego dobry mailing marketingowy ma aż takie znaczenie?

Ponieważ dostawcy skrzynek (Gmail, Yahoo, Microsoft) oceniają dziś nadawców przede wszystkim po zaangażowaniu odbiorców i wskaźniku skarg. Program marketingowy oparty na realnej zgodzie, jasnej wartości i łatwym wypisie nie tylko pozostaje legalny; pozostaje w skrzynce odbiorczej.

Większe ryzyko to wspólna reputacja: niechlujny mailing marketingowy to najszybszy sposób, by zniszczyć reputację nadawcy, od której zależy także Twoja poczta transakcyjna. Dostawcy skrzynek stosują reputację na poziomie domeny, więc newsletter pełen skarg potrafi zepchnąć Twoje maile z resetem hasła do spamu.

Od lutego 2024 Gmail, Yahoo i Microsoft egzekwują konkretne wymogi wobec każdego nadawcy o masowym wolumenie (Gmail i Yahoo definiują „masowy” jako mniej więcej 5000+ wiadomości dziennie do ich użytkowników; Microsoft stosuje porównywalne zasady w ramach wdrożeń trwających przez 2025 rok). Trzy filary to:

1. Uwierzytelnianie. SPF (RFC 7208), DKIM (RFC 6376) oraz rekord DMARC (RFC 7489) muszą być na miejscu, a widoczna domena From musi być zgodna (align) z co najmniej jednym z nich. Mechanika uwierzytelniania znajduje się w Dostarczalność.
2. Jednoklikowy wypis. Poczta marketingowa musi nieść nagłówki List-Unsubscribe i List-Unsubscribe-Post realizujące RFC 8058, a żądanie musi zostać uhonorowane w ciągu dwóch dni.
3. Wskaźnik skarg na spam utrzymywany poniżej 0,3%, mierzony u dostawcy skrzynki (Google Postmaster Tools / odpowiedniki Yahoo), z celem operacyjnym poniżej 0,1%.

To nie są sprawy „zespołu marketingu”, to wymagania inżynierskie, które zawodzą w sposób cichy (fail closed). Pomiń je, a dostawca nie odbije Twojej poczty z czytelnym błędem; po cichu skieruje ją do spamu. Reszta tego rozdziału to w dużej mierze rzecz o tym, jak pozostać po właściwej stronie tych trzech filarów już na poziomie konstrukcji.

Jakich fundamentalnych zasad nigdy nie wolno mi łamać?

Trzy zasady napędzają każdą decyzję w tym rozdziale. Gdy nie wiesz, jak rozstrzygnąć sytuację brzegową, wróć do nich.

1. Najpierw zgoda. Wysyłaj wyłącznie do osób, które wyraźnie wyraziły zgodę. Wyraźna zgoda (opt-in) jest wymagana przez RODO (UE) i CASL (Kanada) oraz stanowi fundament dobrej dostarczalności wszędzie. Nie ma zgody, nie ma wysyłki.
2. Wartość przede wszystkim. Każdy mail powinien dawać odbiorcy coś użytecznego (wiedzę, oszczędność, istotne informacje), a nie tylko ofertę sprzedażową. Jeśli odbiorca nie potrafi powiedzieć, po co miałby otworzyć Twój mail, już go straciłeś.
3. Szanuj preferencje. Pozwól ludziom decydować, jak często i o czym ich informujesz. Honorowanie preferencji (w tym preferencji, by odejść) buduje długoterminowe zaufanie, które napędza przychody.

Przydatny test przed każdą wysyłką: „Gdyby ten konkretny mail trafił do mojej skrzynki, czy cieszyłbym się, że się zapisałem?”. Jeśli szczera odpowiedź brzmi „nie”, popraw najpierw maila, a nie harmonogram wysyłki.

Jak te zasady przekładają się na kontrole inżynierskie

Zasady chronią Cię tylko wtedy, gdy są zakodowane jako systemy, a nie jako intencje. Poniższa tabela paruje każdą zasadę z konkretną kontrolą, która ją egzekwuje, tak by zapracowany operator nie mógł jej przypadkiem złamać.

Najważniejszą pojedynczą kontrolą jest globalna lista supresji, którą każda ścieżka wysyłki, kampanie marketingowe, automatyzacje, transakcyjne z blokami promocyjnymi, sprawdza przed skomponowaniem wiadomości. Jeśli dane o wypisach, skargach i twardych odbiciach spływają do jednego magazynu supresji, a każda wysyłka go konsultuje, zasady się utrzymują nawet wtedy, gdy ludzie są nieuważni. Projekt listy supresji opisano szczegółowo w Zarządzanie listą.

Co liczy się jako ważna zgoda, a co nie?

Zgoda musi być świadomym, czynnym działaniem użytkownika. To prawny i praktyczny fundament mailingu marketingowego: zrobiona dobrze chroni Cię prawnie, poprawia dostarczalność i daje listę osób, które naprawdę chcą Twoich wiadomości.

Co liczy się jako ważna zgoda:

• Użytkownik zaznacza niezaznaczone pole wyboru, by się zapisać.
• Użytkownik klika przycisk „Subscribe”/„Zapisz się”.
• Użytkownik wypełnia formularz z jasnym zamiarem subskrypcji (np. formularz zapisu na newsletter).

Co się NIE liczy:

• Pola zaznaczone z góry (pre-checked). Użytkownik musi zaznaczyć je samodzielnie.
• Model opt-out. Zakładanie zgody, dopóki użytkownik nie zaprotestuje, nie jest zgodą.
• Domniemana zgoda z zakupu. Kupno produktu nie daje zgody marketingowej (w niektórych regionach może uzasadniać wyłącznie wiadomości transakcyjne).
• Listy kupione lub wynajęte. Nigdy. Te osoby nigdy nie zgodziły się na kontakt; generują skargi, niszczą reputację i tworzą ryzyko prawne.

Kupione listy to klasyczna pułapka „szybkiego wzrostu”. Wyglądają jak skrót, lecz niezawodnie generują wysokie wskaźniki odbić i skarg, które dostawcy skrzynek karzą na poziomie całej Twojej domeny wysyłkowej, w tym poczty transakcyjnej, od której zależą realni klienci.

Co musi zawierać zapis zgody?

„Mamy zgodę” to nie jest odpowiedź, którą zaakceptuje regulator czy eskalacja u dostawcy skrzynki. Potrzebujesz zapisu per subskrybent, niezmienialnego, który pozwala odtworzyć moment udzielenia zgody. Zbierz te pola w chwili udzielenia zgody i nigdy ich nie nadpisuj:

interface ConsentRecord {
  subscriberId: string;
  email: string;
  consentedAt: string;        // znacznik czasu ISO 8601 UTC
  source: string;             // np. "footer-newsletter-form", "checkout-optin"
  method: "single_optin" | "double_optin" | "imported_with_proof";
  ipAddress: string;          // IP, z którego wysłano formularz
  userAgent: string;
  formVersion: string;        // hash lub wersja dokładnego pokazanego brzmienia
  disclosedScope: string[];   // ["newsletter", "product_updates"], na co się zgodzili
  doubleOptinConfirmedAt?: string; // ustawiane tylko po kliknięciu potwierdzenia
  legalBasis: "consent" | "soft_optin" | "legitimate_interest";
}

Przechowuj dokładne brzmienie, na które użytkownik się zgodził (lub wersjonowane odniesienie do niego). W świetle RODO musisz umieć wykazać zgodę; „formularz mówił coś takiego” nie jest wykazaniem. Wersjonowanie treści formularza oznacza, że jeśli później zmienisz brzmienie, nadal udowodnisz, co faktycznie widział każdy historyczny subskrybent.

Co muszę powiedzieć ludziom przy zapisie (zgoda świadoma)?

Zgoda ma sens tylko wtedy, gdy użytkownik rozumie, na co się godzi. W momencie zapisu ujawnij cztery rzeczy:

• Rodzaje maili: co faktycznie będziesz wysyłać (newsletter, oferty, aktualizacje produktu).
• Częstotliwość: z grubsza jak często (co tydzień, co miesiąc).
• Tożsamość nadawcy: kto wysyła.
• Jak się wypisać: że odejście jest łatwe i zawsze dostępne.

Dobrze: „Subscribe to our weekly newsletter with product updates and tips” („Zapisz się na nasz cotygodniowy newsletter z aktualizacjami produktu i poradami”)

Źle: „Sign up for emails” („Zapisz się na maile”)

Dobry przykład mówi użytkownikowi, jaka jest częstotliwość (tygodniowa), treść (aktualizacje i porady) oraz format (newsletter). Zły nie mówi nic, przez co każdy wysłany mail może wydać się zaskoczeniem, a zaskoczenia generują skargi.

Czy stosować double opt-in?

Tak, niemal zawsze. Double opt-in dodaje krok potwierdzenia, który weryfikuje, że adres e-mail naprawdę należy do osoby zapisującej się.

Przebieg:

1. Użytkownik podaje swój adres e-mail.
2. Wysyłasz mail potwierdzający z linkiem weryfikacyjnym.
3. Użytkownik klika link, by potwierdzić.
4. Dodajesz go do listy dopiero po potwierdzeniu.

Dlaczego ten dodatkowy krok się opłaca:

• Weryfikuje dostarczalność. Potwierdza, że adres jest prawdziwy i osiągalny, ograniczając odbicia.
• Potwierdza zamiar. Dowodzi, że osoba faktycznie chce Twoich maili, a nie że adres wpisano z literówką lub złośliwie.
• Zmniejsza liczbę skarg. Potwierdzeni subskrybenci skarżą się znacznie rzadziej.
• Wymagane w niektórych regionach. Zwłaszcza w Niemczech, gdzie double opt-in jest ugruntowanym standardem.

Odrobina tarcia przy zapisie zwraca się wielokrotnie w postaci jakości listy i dostarczalności. Szczegóły implementacji formularza i maila weryfikacyjnego znajdziesz w Pozyskiwanie adresów.

Jak bezpiecznie wdrożyć double opt-in?

Token potwierdzający musi być nieodgadywalny, jednorazowy i ograniczony czasowo, a sam mail potwierdzający jest transakcyjny (jest wyzwalany przez wysłanie formularza przez użytkownika), więc jedzie na Twoim strumieniu transakcyjnym. Generuj token z kryptograficznie bezpiecznego źródła, nigdy z sekwencyjnego ID ani z hasha adresu e-mail.

import { randomBytes, createHash } from "node:crypto";

// Przy zapisie: wystaw token potwierdzający.
function issueConfirmationToken() {
  const raw = randomBytes(32).toString("base64url"); // 256 bitów entropii
  const tokenHash = createHash("sha256").update(raw).digest("hex");
  // Przechowuj w bazie tylko HASH; w linku wysyłaj surowy token.
  return { raw, tokenHash, expiresAt: Date.now() + 1000 * 60 * 60 * 48 }; // 48h
}

// Wyślij mail potwierdzający przez wrapper niezależny od dostawcy.
async function sendConfirmation(email: string, rawToken: string) {
  const confirmUrl =
    `https://example.com/newsletter/confirm?token=${rawToken}`;
  await emailClient.send({
    to: email,
    from: "Newsletter <newsletter@mail.example.com>",
    subject: "Confirm your subscription",
    text: `Confirm your subscription: ${confirmUrl}\n\n` +
          `This link expires in 48 hours. If you did not request this, ignore this email.`,
    html: `<p>Please confirm your subscription.</p>` +
          `<p><a href="${confirmUrl}">Confirm subscription</a></p>` +
          `<p>This link expires in 48 hours. If you did not request this, ignore this email.</p>`,
    // Nagłówek List-Unsubscribe niepotrzebny: to jednorazowe transakcyjne potwierdzenie,
    // a odbiorca nie jest jeszcze na żadnej liście.
  });
}

Na endpoincie potwierdzającym zahashuj przychodzący surowy token i porównaj go z zapisanym hashem w czasie stałym, sprawdź wygaśnięcie, oznacz token jako użyty i dopiero wtedy zapisz doubleOptinConfirmedAt w zapisie zgody. Dwa przypadki brzegowe warte jawnej obsługi:

• Wstępne pobieranie linków (prefetching). Niektóre bramy bezpieczeństwa i skanery skrzynek podążają za linkami w przychodzącej poczcie, by sprawdzić je pod kątem złośliwego oprogramowania. Naiwny handler GET, który potwierdza przy wejściu, „potwierdzi” subskrypcje, których użytkownik nigdy nie kliknął. Złagodź to, potwierdzając w POST za przyciskiem na stronie docelowej albo wykrywając user-agenty botów i wymagając jawnej interakcji.
• Nadużycie ponownej wysyłki. Ogranicz tempo (rate-limit) ponownych wysyłek potwierdzeń per adres i per IP, żeby endpointu potwierdzającego nie dało się użyć do spamowania osoby trzeciej (ktoś wielokrotnie wpisuje adres ofiary).

Jaki błąd przy zbieraniu zgód popełnia się najczęściej?

Traktowanie jednej zgody jako zgody na wszystko. Zgoda zebrana na bezpłatny materiał do pobrania nie uprawnia do cotygodniowego newslettera promocyjnego, jeśli nie ujawniłeś tego przy zapisie. Prowadź zapis tego, kiedy, gdzie i na co każdy subskrybent wyraził zgodę; w świetle RODO musisz umieć wykazać zgodę, a ten zapis jest też Twoją obroną w sporze dotyczącym skargi.

Zgoda: częste błędy

• Potwierdzanie przy otwarciu linku zamiast przy jawnym działaniu. Skanery poczty przychodzącej po cichu potwierdzają subskrypcje; Twój wskaźnik „potwierdzonych” wygląda świetnie, a wskaźnik skarg rośnie.
• Jedna globalna flaga „marketing” zamiast zgody o określonym zakresie. Gdy subskrybent zapisał się na „informacje o wydaniach”, a Ty wysyłasz mu cotygodniowe oferty, niezgodność zakresu czyta się jako spam dla niego i dla dostawcy.
• Import z CRM/CSV bez dowodu. „To są nasi klienci” nie jest zgodą. Zaimportowane kontakty potrzebują udokumentowanej podstawy prawnej (lub kampanii ponownego pozyskania zgody) przed pierwszą wysyłką marketingową.
• Nadpisywanie znacznika czasu zgody przy edycji profilu. Traktuj zapisy zgody jako dołączane tylko (append-only); zaktualizowany adres czy imię nie może zresetować consentedAt.
• Brak ponownego potwierdzenia po długim uśpieniu. Zgoda sprzed czterech lat, która nigdy się nie zaangażowała, jest nieświeża; wysyłka na nią grozi pułapkami spamowymi (zob. higiena listy poniżej).

Jak łatwy musi być mój wypis?

Wyjątkowo łatwy. Bezproblemowy wypis to nie słabość; to funkcja wspierająca dostarczalność i zaufanie. Alternatywą dla łatwego wypisu jest skarga na spam, a skargi są znacznie bardziej szkodliwe niż czysty opt-out.

Twój mechanizm wypisu musi być:

• Widoczny w każdym mailu. Nigdy ukryty drobną szarą czcionką ani zakopany.
• Jednoklikowy (preferowane). Im mniej kroków, tym lepiej.
• Natychmiastowy (RODO) lub w ciągu 10 dni roboczych (CAN-SPAM). Natychmiastowy to zawsze lepsza praktyka. Zauważ, że zasady Gmaila/Yahoo dla nadawców masowych zaostrzają to do dwóch dni dla żądań jednoklikowych.
• Bezpłatny i bez logowania. Nigdy nie wymagaj logowania ani opłaty, by odejść.

Zmień optykę zachęty: każda osoba, która nie znajdzie linku do wypisu i zamiast tego kliknie „Zgłoś spam”, uczy dostawcę skrzynki, że Twoja poczta jest niechciana, dla wszystkich na tym dostawcy. Maksymalne ułatwienie wypisu to sposób na ochronę miejsca w skrzynce odbiorczej subskrybentów, którzy zostali.

Dla nadawców masowych wymogi Gmaila i Yahoo z 2024 roku czynią jednoklikowy wypis przez nagłówek List-Unsubscribe (wraz z List-Unsubscribe-Post) obowiązkowym oraz wymagają, by wskaźnik skarg pozostawał poniżej 0,3% (najlepiej poniżej 0,1%). Następna sekcja omawia mechanikę nagłówków; ujęcie prawne znajdziesz w Zgodność prawna.

Jak poprawnie wdrożyć jednoklikowy wypis (RFC 8058)?

Jednoklikowy wypis definiuje RFC 8058, które buduje na starszym nagłówku List-Unsubscribe (RFC 2369). Są dwa nagłówki, a masowa poczta marketingowa potrzebuje obu:

• List-Unsubscribe, jeden lub więcej URI, których klient pocztowy może użyć do wypisania. Może zawierać URI mailto: i/lub https:.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click, sygnał dodany w RFC 8058, który mówi dostawcy skrzynki, że może wykonać POST bezpośrednio do URI HTTPS, bez wczytywania jakiejkolwiek strony przez użytkownika.

Poprawny zestaw nagłówków w wychodzącej wiadomości marketingowej wygląda tak:

List-Unsubscribe: <https://mail.example.com/u/aGVsbG8gd29ybGQ>, <mailto:unsub@example.com?subject=unsubscribe>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Gdy użytkownik Gmaila lub Yahoo kliknie natywny element „Wypisz się”, dostawca wysyła żądanie HTTP POST na URI HTTPS z ciałem List-Unsubscribe=One-Click i typem zawartości application/x-www-form-urlencoded. Po drugiej stronie tego żądania nie ma człowieka ani drugiej strony potwierdzenia, Twój endpoint musi je przetworzyć i zsupresować subskrybenta po odebraniu.

Kluczowe ograniczenia, na których ludzie się potykają:

1. Cel jednoklikowy musi akceptować POST i nie może wymagać uwierzytelnienia. Bot dostawcy nie jest zalogowany. Ściana logowania albo wymóg tokenu CSRF, którego dostawca nie potrafi spełnić, łamią ten przepływ.
2. Token w URL musi być nieodgadywalny i powiązany z jednym subskrybentem + jedną wysyłką. Każdy (lub każdy skaner), kto zobaczy maila, może wykonać POST na ten URL, więc token jest jedyną rzeczą wiążącą żądanie z konkretnym odbiorcą.
3. GET na ten sam URL powinien być bezpieczny, pokaż stronę „zostałeś wypisany” lub „potwierdź wypis” dla ludzi, którzy klikną link w treści, ale nie wykonuj akcji destrukcyjnej na samym GET dla linku z treści, by przetrwać skanery wykonujące prefetch. To POST z RFC 8058 gwarantuje usunięcie.
4. Honoruj szybko. Wymóg dostawcy to dwa dni; synchroniczne usunięcie jest lepsze. Nie rób „miękkiego” wypisu do lejka ponownego potwierdzenia.

Dodaj nagłówki przez wrapper dostawcy. Większość ESP udostępnia opcje niestandardowych nagłówków lub zarządzania listą; abstrakcja zapewnia przenośność:

import { createHmac } from "node:crypto";

// Podpisz stabilny token, aby endpoint mógł go zweryfikować bezstanowo,
// albo wyszukaj token w magazynie, oba podejścia działają. Tu pokazano HMAC.
function unsubToken(subscriberId: string, campaignId: string) {
  const payload = `${subscriberId}:${campaignId}`;
  const sig = createHmac("sha256", process.env.UNSUB_SECRET!)
    .update(payload)
    .digest("base64url");
  return Buffer.from(`${payload}:${sig}`).toString("base64url");
}

async function sendCampaignMessage(sub: { id: string; email: string }, campaignId: string) {
  const token = unsubToken(sub.id, campaignId);
  const unsubUrl = `https://mail.example.com/u/${token}`;

  await emailClient.send({
    to: sub.email,
    from: "Acme News <news@mail.example.com>",
    subject: "Your weekly digest",
    html: renderCampaign(unsubUrl), // link w stopce treści wskazuje ten sam unsubUrl
    headers: {
      "List-Unsubscribe": `<${unsubUrl}>, <mailto:unsub@example.com?subject=unsubscribe:${sub.id}>`,
      "List-Unsubscribe-Post": "List-Unsubscribe=One-Click",
    },
  });
}

Odbierający endpoint, w kształcie niezależnym od frameworka:

// POST /u/:token  (cel jednoklikowy RFC 8058, bez auth, akceptuje bota dostawcy)
async function handleOneClickUnsubscribe(req: Request): Promise<Response> {
  const body = await req.text(); // oczekiwane "List-Unsubscribe=One-Click"
  const token = req.url.split("/u/")[1];

  const verified = verifyUnsubToken(token); // sprawdza HMAC, zwraca {subscriberId, campaignId} | null
  if (!verified) return new Response("Invalid token", { status: 400 });

  // Idempotentne: drugi POST dla już zsupresowanego subskrybenta to sukces bez efektu (no-op).
  await suppressionList.add(verified.subscriberId, {
    reason: "unsubscribe",
    campaignId: verified.campaignId,
    at: new Date().toISOString(),
  });

  // RFC 8058 oczekuje 200; niektórzy dostawcy ponawiają przy odpowiedzi spoza 2xx.
  return new Response("Unsubscribed", { status: 200 });
}

Jak zweryfikować, że nagłówki faktycznie są wysyłane?

Nie ufaj panelowi, przejrzyj prawdziwą surową wiadomość. Wyślij sobie kampanię i obejrzyj źródło albo przepuść kopię przez kontrolowaną przez siebie skrzynkę i sprawdź skryptem:

# Obejrzyj surowe nagłówki zapisanego .eml i potwierdź, że oba nagłówki istnieją.
grep -i '^List-Unsubscribe' message.eml

# Oczekiwane wyjście:
# List-Unsubscribe: <https://mail.example.com/u/...>, <mailto:unsub@example.com?subject=...>
# List-Unsubscribe-Post: List-Unsubscribe=One-Click

Następnie przetestuj ścieżkę POST tak, jak robi to dostawca, bez cookies i bez nagłówka auth:

curl -i -X POST \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data "List-Unsubscribe=One-Click" \
  "https://mail.example.com/u/<token>"

# Musi zwrócić 2xx, a subskrybent musi być zsupresowany po fakcie.

Jednoklikowy wypis: częste błędy

• Wysyłanie tylko List-Unsubscribe bez List-Unsubscribe-Post. Bez nagłówka POST Gmail/Yahoo nie renderują natywnego przycisku jednoklikowego; nie spełniasz wymogu z 2024 roku, choć nagłówek jest obecny.
• URL jednoklikowy wymaga logowania lub sesji. Bot dostawcy nie potrafi się uwierzytelnić; POST zawodzi po cichu, a użytkownik zamiast tego klika „Zgłoś spam”.
• Wykonywanie usunięcia na GET linku z treści. Skanery linków przychodzących pobierają go z wyprzedzeniem i „wypisują” zaangażowanych użytkowników bez ich wiedzy.
• Użycie odgadywalnego tokenu (sekwencyjne ID, czysty adres e-mail, hash bez soli). Każdy może wypisać każdego; gorzej, skanery mogą masowo wypisać Twoją listę.
• Zwracanie odpowiedzi spoza 2xx z handlera POST. Niektórzy dostawcy ponawiają lub flagują niepowodzenie; tak czy inaczej intencja użytkownika może nie zostać uhonorowana, podnosząc przyszłe skargi.
• List-Unsubscribe zawierający tylko mailto:. Mailto spełnia starszy nagłówek, lecz nie włącza jednego kliknięcia; do zasad z 2024 roku potrzebujesz URI HTTPS plus nagłówka POST.

Czym jest centrum preferencji i czy mimo to potrzebuję jednoklikowego wypisu?

Centrum preferencji pozwala użytkownikom ograniczyć kontakt, zamiast zniknąć. Zamiast binarnego wyboru „zostań / odejdź” oferuje:

• Częstotliwość: opcje dzienna, tygodniowa lub miesięczna.
• Rodzaje treści: pozwól wybrać tematy lub linie produktowe, które ich interesują.
• Całkowity wypis: zawsze dostępny jako jasna opcja.

Dobre centrum preferencji odzyskuje subskrybentów zmęczonych liczbą wiadomości, a nie marką. Ważne: centrum preferencji jest uzupełnieniem prawdziwego jednoklikowego wypisu, nigdy jego zastępstwem. Zmuszanie kogoś do przejścia przez centrum preferencji, zanim będzie mógł całkowicie odejść, narusza ducha (a często i literę) zasad jednoklikowego wypisu, i konkretnie łamie RFC 8058, które oczekuje, że jednoklikowy POST usunie odbiorcę od razu, a nie wyląduje go na wielokrokowym formularzu. Więcej o tym rozróżnieniu w Zgodność prawna.

Checklista wypisu

• Link do wypisu obecny i widoczny w każdym mailu marketingowym
• Działa bez wymogu logowania lub opłaty
• Jednoklikowy, gdy to możliwe
• Nagłówek List-Unsubscribe obecny z URI HTTPS (i opcjonalnie mailto)
• List-Unsubscribe-Post: List-Unsubscribe=One-Click obecny przy wysyłkach masowych (RFC 8058)
• Endpoint jednoklikowego POST akceptuje nieuwierzytelniony POST i zwraca 2xx
• Token wypisu jest nieodgadywalny i powiązany z subskrybentem + wysyłką
• Żądanie uhonorowane w ciągu dwóch dni (lepiej natychmiast)
• Usunięcie jest idempotentne i zapisuje się do globalnej listy supresji
• Pokazane użytkownikowi potwierdzenie, że został usunięty
• Centrum preferencji oferowane jako alternatywa (opcjonalnie, lecz zalecane)

Jak pisać tematy, które są otwierane?

Temat to pojedynczy element o największej dźwigni w całym mailu. Większość odbiorców decyduje o otwarciu na jego podstawie.

• Jasny i konkretny. Celuj w 50 znaków lub mniej, by nie został ucięty na mobile.
• Wzbudzaj ciekawość bez wprowadzania w błąd. Intryga jest dobra; przynęta i podmiana niszczą zaufanie i wywołują skargi.
• Regularnie testuj A/B. Drobne zmiany słów potrafią zauważalnie zmienić wskaźnik otwarć.

Dobrze: „Your weekly digest: 5 productivity tips” („Twoje cotygodniowe zestawienie: 5 porad na produktywność”)

Źle: „You won't believe what happened!” („Nie uwierzysz, co się stało!”)

Dobry temat jest konkretny i ustawia trafne oczekiwania. Zły to clickbait: obiecuje za dużo, dostarcza za mało i uczy odbiorców, by Ci nie ufali (i Cię zgłaszali).

Uwaga o pomiarze wskaźnika otwarć po Apple Mail Privacy Protection

Wskaźniki otwarć są zniekształcone, odkąd Apple Mail Privacy Protection (MPP) zaczęło w 2021 roku z wyprzedzeniem pobierać piksele śledzące. Dla użytkowników Apple Mail MPP wczytuje Twój piksel śledzenia otwarć niezależnie od tego, czy wiadomość została faktycznie otwarta, zawyżając otwarcia i odrywając je od realnego zachowania. Praktyczne konsekwencje dla programu prowadzonego inżyniersko:

• Nie uzależniaj supresji wyłącznie od otwarć. Subskrybent, który „otwiera” każdy mail przez MPP, ale nigdy nie klika, może być całkowicie niezaangażowany. Używaj kliknięć i sygnałów po stronie serwera (zakupy, logowania, odwiedziny stron) jako wiarygodnej osi zaangażowania.
• Testuj A/B na kliknięciach i konwersjach, nie na otwarciach, dla każdej grupy z istotnym udziałem Apple Mail.
• Testy tematów nadal działają w skali zbiorczej, jeśli porównujesz klikalność i konwersję, bo zadaniem tematu jest zapracować na otwarcie prowadzące do kliknięcia.

A co z tekstem podglądu i nazwą nadawcy?

Dwa elementy sąsiadują z tematem w skrzynce i często są marnowane:

• Tekst podglądu (preheader): fragment widoczny po temacie. Ustaw go świadomie, by rozwijał obietnicę tematu, a nie pokazywał „Zobacz w przeglądarce” czy tekstu alternatywnego.
• Nazwa nadawcy: rozpoznawalna, spójna nazwa nadawcy napędza otwarcia bardziej niż jakakolwiek sztuczka w temacie. Unikaj skakania między „Firma”, „Firma News” i imieniem osoby, co rozbija rozpoznawalność.

Częsty błąd: preheader przecieka pierwszy tekst z ciała HTML, często ukryty link „Zobacz w przeglądarce” lub tekst alternatywny obrazu, bo nie ustawiono jawnego tekstu podglądu. Ustaw jawny, ukryty blok tekstu podglądu jako pierwszy element ciała, dopełniony ciągiem znaków o zerowej szerokości, żeby skrzynka nie doklejała za nim przypadkowego tekstu z treści:

<!-- Ukryty preheader: pokazuje się w podglądzie skrzynki, nie w wyrenderowanej treści. -->
<div style="display:none;max-height:0;overflow:hidden;mso-hide:all;">
  5 ways to ship faster this week, plus a reader question answered.
  &#847;&zwnj;&nbsp;&#847;&zwnj;&nbsp;&#847;&zwnj;&nbsp;&#847;&zwnj;&nbsp;
</div>

Jak zbudować strukturę maila marketingowego?

Projektuj pod przeglądanie wzrokiem. Większość ludzi skanuje; bardzo niewielu czyta od góry do dołu.

Powyżej linii zgięcia (widoczne bez przewijania):

• Jasna propozycja wartości: dlaczego ten mail ma znaczenie.
• Główne CTA: jedno działanie, na którym najbardziej Ci zależy.
• Angażująca grafika: wspiera przekaz, nie zastępuje go.

Treść:

• Skanowalna: krótkie akapity i listy punktowane.
• Czytelna hierarchia: nagłówki i wyróżnienia prowadzą wzrok.
• Kilka CTA: wzmacniają główne działanie, nie przytłaczając.

Stopka:

• Link do wypisu: zawsze.
• Dane firmy i fizyczny adres pocztowy: wymagane przez CAN-SPAM.
• Linki do social mediów: opcjonalnie.

Praktyczna zasada: jedno główne CTA na maila. Dodanie drugiego konkurencyjnego celu zwykle obniża wskaźnik kliknięć na obu.

Jak sprawić, by maile działały na mobile?

Duża część maili otwierana jest na telefonach, więc projektuj najpierw pod mobile i pozwól projektowi skalować się na desktop.

• Układ jednokolumnowy. Projekty wielokolumnowe rozpadają się na małych ekranach.
• Przyciski min. 44x44 px. Wystarczająco duże, by pewnie trafić kciukiem.
• Tekst min. 16 px. Czytelny bez przybliżania.
• Testuj na iOS, Androidzie i w trybie ciemnym. Renderowanie różni się między klientami; zwłaszcza tryb ciemny potrafi odwrócić kolory i ukryć logo, jeśli tego nie sprawdzisz.

Jakie błędy projektowe najczęściej szkodzą dostarczalności?

• Maile złożone wyłącznie z obrazka. Jeśli cały mail to jeden obrazek, wygląda na pusty, gdy obrazy są blokowane, a filtry spamowe mu nie ufają. Zachowaj realny balans tekstu do obrazów.
• Brak tekstu alternatywnego. Zawsze ustawiaj alt text, by przekaz przetrwał zablokowane obrazy.
• Drobne lub niewidoczne linki do wypisu. Ukrywanie linku napędza skargi, czyli odwrotność tego, czego chcesz.
• Brak wersji tekstowej. Wysyłaj wieloczęściowo (HTML plus zwykły tekst); brak alternatywy tekstowej to sygnał spamowy.
• Linki przez skracacze URL lub z niezgodną domeną. Gołe skracacze URL i domeny śledzące, które nie pasują do Twojej domeny wysyłkowej, wyglądają dla filtrów jak phishing. Używaj domeny śledzącej/kliknięć będącej subdomeną Twojej uwierzytelnionej domeny wysyłkowej, by dziedziczyła Twoją reputację i była zgodna z DKIM/DMARC.

Jak treść i nagłówki łączą się z uwierzytelnianiem?

Treść marketingowa sama się nie uwierzytelnia; robią to koperta i nagłówki. Ale dwa wybory bliskie treści wchodzą w interakcję z dostarczalnością:

• Widoczna domena From musi być zgodna (align) ze SPF (RFC 7208) lub DKIM (RFC 6376), żeby DMARC (RFC 7489) przeszedł. Jeśli wysyłasz marketing z news@mail.example.com, ta domena (lub jej domena organizacyjna) musi być tą, która podpisuje. Niezgodność to najczęstszy powód, dla którego z pozoru uwierzytelniona poczta i tak nie przechodzi DMARC.
• Domeny śledzenia kliknięć i obrazów powinny być na Twoich własnych uwierzytelnionych subdomenach. Kontrolowana przez Ciebie click.example.com, dla której skonfigurowałeś SPF/DKIM, utrzymuje całą wiadomość spójną dla filtrów.

Pełną konfigurację uwierzytelniania, generowanie kluczy DKIM, publikowanie SPF, budowanie polityki DMARC oraz opcjonalne warstwy MTA-STS (RFC 8461), TLS-RPT (RFC 8460), ARC (RFC 8617) i BIMI, znajdziesz w Dostarczalność. Poczta marketingowa w całości zależy od tego, by ten fundament był na miejscu.

Checklista treści i projektu

• Temat ≤ 50 znaków, konkretny, nie wprowadza w błąd
• Ustawiony jawny ukryty preheader (nie przeciekający tekst z treści)
• Spójna, rozpoznawalna nazwa nadawcy (From name)
• Propozycja wartości i główne CTA powyżej linii zgięcia
• Treść skanowalna (krótkie akapity, punkty, czytelna hierarchia)
• Układ jednokolumnowy, mobile-first
• Przyciski ≥ 44x44 px, tekst ≥ 16 px
• Przetestowane na iOS, Androidzie i w trybie ciemnym
• Stopka z linkiem do wypisu, danymi firmy i adresem fizycznym
• Realna treść tekstowa, nie sam obrazek; alt text na wszystkich obrazach
• Wiadomość wieloczęściowa z alternatywą tekstową
• Linki używają Twojej własnej uwierzytelnionej domeny, nie gołych skracaczy

Jak segmentować listę?

Wysyłka tego samego maila do całej listy marnuje jej potencjał. Segmentacja to podział odbiorców na grupy i wysyłanie każdej z nich treści najbardziej dla niej trafnej.

Najczęstsze kryteria segmentacji:

• Zachowanie: wcześniejsze zakupy, aktywność na stronie, użycie produktu.
• Dane demograficzne: lokalizacja, branża, rola.
• Preferencje: tematy lub linie produktowe, które wybrali.
• Poziom zaangażowania: subskrybenci bardzo aktywni versus uśpieni.
• Źródło zapisu: który formularz lub kampania ich pozyskała.

Dlaczego to działa:

• Wyższe wskaźniki otwarć i kliknięć: trafna poczta angażuje.
• Niższe wskaźniki wypisów: ludzie odchodzą, gdy treść przestaje być trafna.
• Lepsze ogólne doświadczenie: odbiorcy czują się rozumiani, a nie spamowani.

Nawet podstawowa segmentacja (np. aktywni versus nieaktywni albo według zainteresowania produktem) zwykle bije pojedynczy, niezróżnicowany blast. Najcenniejszym segmentem dla dostarczalności jest zaangażowanie: wysyłka najpierw do najbardziej zaangażowanych subskrybentów podczas rozgrzewania (warm-up) domeny lub IP sygnalizuje dostawcom skrzynek jakość.

Segmentacja po zaangażowaniu jako narzędzie dostarczalności

Zaangażowanie to nie tylko dźwignia trafności; to główna kontrola, jaką masz nad miejscem w skrzynce odbiorczej. Dostawcy skrzynek wnioskują o „chcianości” poczty z tego, jak odbiorcy ją traktują. Zdefiniuj jawne poziomy zaangażowania na podstawie sygnałów po stronie serwera (kliknięcia, konwersje, logowania, nie zawyżonych przez MPP otwarć) i traktuj je jako politykę wysyłki, a nie tylko targetowanie:

Przy rozgrzewaniu nowej domeny lub dedykowanego IP zwiększaj wolumen, wysyłając najpierw do najbardziej zaangażowanego poziomu i rozszerzając się na zewnątrz dopiero w miarę kumulowania się pozytywnych sygnałów. To najbezpieczniejsza droga do budowania reputacji; harmonogram rozgrzewania oraz decyzję IP dedykowane vs współdzielone omówiono w Niezawodność wysyłki. Przycinanie poziomu uśpionych chroni Twoje zbiorcze metryki zaangażowania, czyli to, co dostawcy faktycznie oceniają.

Jak personalizować bez wywoływania dyskomfortu?

Personalizacja dopasowuje treść do konkretnej osoby. Zrobiona dobrze podnosi zaangażowanie; zrobiona niezgrabnie wydaje się natrętna.

Najczęstsze opcje:

• Imię w temacie lub powitaniu.
• Treść zależna od lokalizacji: lokalne wydarzenia, regionalne oferty.
• Rekomendacje na bazie zachowania: „bo oglądałeś X”.
• Historia zakupów: trafne uzupełnienia, ponowne zakupy lub ulepszenia.

Zasada: używaj wyłącznie danych, na które masz wyraźne pozwolenie, i tylko w sposób, który odbiorca uzna za pomocny, a nie niepokojący. Imię w powitaniu jest mile widziane; odwołanie do czegoś, co ktoś raz obejrzał i nigdy nie kupił, może zostać odebrane jako inwigilacja. Odwoływanie się do danych, o których użytkownik nie wiedział, że je masz, może wydać się natrętne, więc stawiaj na oczywiste, oczekiwane zastosowania zamiast na te sprytne.

Personalizacja defensywna: obsłuż przypadek brakujących danych

Najszybszy sposób, by wyjść na nieprofesjonalnego, i wywołać skargę, to token personalizacji, który renderuje się pusto albo błędnie: „Hi {{first_name}},” albo „Hi ,”. Każde pole dynamiczne potrzebuje wartości zastępczej (fallback) i zabezpieczenia w czasie renderowania. Nigdy nie wypuszczaj szablonu, w którym null daje zepsute powitanie.

function greeting(firstName?: string | null): string {
  const name = (firstName ?? "").trim();
  // Odrzuć placeholderowe śmieci i oczywiście nieprawidłowe wartości.
  const looksReal = name.length > 0 && name.length <= 40 && !/^(null|undefined|n\/a)$/i.test(name);
  return looksReal ? `Hi ${escapeHtml(name)},` : "Hi there,";
}

Zabezpieczenia do wyegzekwowania w dowolnym potoku personalizacji:

• Zawsze zapewnij neutralny fallback („Hi there,”) dla każdego tokenu.
• Escape'uj wartości od użytkownika w HTML, by zapisane imię nie wstrzyknęło znaczników.
• Waliduj przed wysyłką, nie po. Próbny przebieg przed wysyłką na próbce powinien zablokować kampanię, jeśli dla któregokolwiek odbiorcy brakuje wymaganego pola.
• Ogranicz personalizację do danych z udokumentowaną zgodą i oczywistym związkiem z wiadomością, zgodnie z zakresem zgody zapisanym przy zapisie.

Jak często i kiedy wysyłać?

To, jak często i kiedy wysyłasz, kształtuje zaangażowanie i wskaźnik wypisów w nie mniejszym stopniu niż treść.

Częstotliwość:

• Zacznij zachowawczo. Łatwiej dodać wolumen niż odzyskać zirytowanych subskrybentów.
• Zwiększaj na podstawie zaangażowania. Pozwól, by pozytywne sygnały (otwarcia, kliknięcia) zasłużyły na częstsze wysyłki.
• Pozwól użytkownikom ustawiać preferencje. Centrum preferencji umożliwia samodzielny wybór częstotliwości.
• Monitoruj wskaźnik wypisów. Skok po zmianie częstotliwości to sygnał, by się wycofać.

Czas wysyłki:

• Poranki w dni robocze (9 do 11 lokalnego czasu) zwykle wypadają dobrze.
• Wtorek do czwartku to często najsilniejsze dni.
• Zawsze testuj swoją konkretną grupę odbiorców. To punkty wyjścia, nie prawa. Odbiorcy B2B i odbiorcy konsumenccy mogą zachowywać się zupełnie inaczej. Doszlifuj wnioski na podstawie danych o porach wysyłki z własnych kampanii.

Jak wyegzekwować limit częstotliwości w kodzie?

Limit częstotliwości to inżynierska kontrola stojąca za „szanuj preferencje”. Egzekwuj go w momencie wysyłki względem dziennika wysyłek per subskrybent, tak by żadna kampania, automatyzacja ani jednorazowy blast nie przekroczył limitu, niezależnie od tego, kto go zaplanował.

interface FrequencyPolicy {
  maxPerWindow: number;   // np. 3
  windowDays: number;     // np. 7
}

async function mayReceiveMarketing(
  subscriberId: string,
  policy: FrequencyPolicy,
): Promise<boolean> {
  if (await suppressionList.has(subscriberId)) return false; // unsub/skarga/twarde odbicie
  const since = new Date(Date.now() - policy.windowDays * 86_400_000);
  const recentCount = await sendLog.countMarketingSince(subscriberId, since);
  return recentCount < policy.maxPerWindow;
}

// W rozsiewie kampanii przefiltruj grupę odbiorców PRZEZ tę bramkę przed wysyłką.
async function buildSendable(audience: string[], policy: FrequencyPolicy) {
  const checks = await Promise.all(
    audience.map(async (id) => ((await mayReceiveMarketing(id, policy)) ? id : null)),
  );
  return checks.filter((id): id is string => id !== null);
}

Ta bramka daje Ci też jedno miejsce, by uhonorować kadencję z centrum preferencji per subskrybent (nadpisz maxPerWindow dla subskrybenta) oraz wyegzekwować okres ciszy po skardze lub odbiciu.

Czy istnieje częstotliwość obiektywnie zbyt wysoka?

Nie ma uniwersalnej liczby, ale obserwuj zależność między częstotliwością a wskaźnikami wypisów i skarg. Jeśli zwiększenie kadencji winduje wskaźnik wypisów powyżej około 0,5% na wysyłkę albo wskaźnik skarg w stronę 0,1%, wysyłasz zbyt często do tej grupy. Pora dnia ma mniejsze znaczenie niż trafność i częstotliwość; trafna wiadomość o „złej” godzinie bije nietrafną o „właściwej”.

Jak utrzymać czystą listę?

Czysta lista to fundament zarówno dostarczalności, jak i wiarygodnych metryk. Wysyłka na martwe lub niechętne adresy obniża reputację i zanieczyszcza dane. Pełne ujęcie tematu znajdziesz w Zarządzanie listą.

Usuwaj natychmiast:

• Twarde odbicia (hard bounces): adresy trwale nieważne.
• Wypisy: honorowane bez zwłoki.
• Skargi: każdy, kto oznaczył Cię jako spam.

Usuwaj po okresie nieaktywności:

• Najpierw przeprowadź kampanię reaktywacyjną („Tęsknimy, chcesz nadal otrzymywać nasze wiadomości?”).
• Następnie usuń osoby, które nie odpowiedziały. Trzymanie uśpionych adresów tylko obniża metryki zaangażowania i grozi trafieniem w pułapki spamowe (spam traps).

Jak odbicia i skargi wracają do mojego systemu?

Higiena listy jest tylko tak dobra, jak Twoja pętla zwrotna. Dwa kanały dostarczają sygnałów, na które musisz reagować:

• Webhooki odbić i skarg od Twojego dostawcy raportują każde twarde odbicie, miękkie odbicie (soft bounce) i skargę na spam jako zdarzenie. Przetwarzaj je i automatycznie zapisuj do listy supresji.
• Pętle zwrotne (Feedback Loops, FBL) u dostawców skrzynek raportują kliknięcia „to jest spam”. Większość ESP agreguje je i pokazuje jako zdarzenia skarg; jeśli prowadzisz własną infrastrukturę, rejestrujesz FBL bezpośrednio u każdego dostawcy.

Weryfikuj ładunki webhooków, zanim na nich zadziałasz, nieuwierzytelniony endpoint, który supresuje na dowolny POST, to wektor ataku typu denial-of-service. Wielu dostawców podpisuje webhooki schematem Standard Webhooks (HMAC nad znacznikiem czasu i ciałem). Weryfikuj surowym crypto, bez SDK dostawcy:

import { createHmac, timingSafeEqual } from "node:crypto";

// Weryfikacja w stylu Standard Webhooks: sygnatura to base64 HMAC-SHA256
// nad `${id}.${timestamp}.${rawBody}` z użyciem sekretu endpointu.
function verifyWebhook(
  rawBody: string,
  headers: { id: string; timestamp: string; signature: string },
  secretBase64: string,
): boolean {
  const signedPayload = `${headers.id}.${headers.timestamp}.${rawBody}`;
  const key = Buffer.from(secretBase64, "base64");
  const expected = createHmac("sha256", key).update(signedPayload).digest();
  // Nagłówek może nieść kilka wartości `v1,<sig>` oddzielonych spacją; sprawdź każdą.
  return headers.signature.split(" ").some((part) => {
    const sig = part.includes(",") ? part.split(",")[1] : part;
    const given = Buffer.from(sig, "base64");
    return given.length === expected.length && timingSafeEqual(given, expected);
  });
}

Odrzucaj zdarzenia, których znacznik czasu wykracza poza okno tolerancji (np. pięć minut), by zapobiec replay. Następnie skieruj zdarzenie do supresji. Pełną obsługę webhooków, idempotencję, ponawianie, taksonomię zdarzeń, opisano w Webhooki i zdarzenia.

Jakie wskaźniki odbić i skarg są zbyt wysokie?

Monitoruj te progi i każde przekroczenie traktuj jako wczesny sygnał, by poprawić pozyskiwanie lub treść, zanim dostawcy skrzynek zaczną Cię filtrować.

Dwie kolejne liczby warte śledzenia względem zasad Gmaila/Yahoo z 2024 roku: utrzymuj wskaźnik skarg stale poniżej 0,3% (twardy pułap), a najlepiej poniżej 0,1%. Okno reaktywacji od 90 do 180 dni bez otwarć lub kliknięć to częsty wyzwalacz kampanii win-back przed supresją.

Rozwiązywanie problemów: moja poczta marketingowa zaczęła trafiać do spamu

Gdy miejsce w skrzynce odbiorczej spada, rozpracowuj problem w tej kolejności, najtańsze i najczęstsze przyczyny najpierw:

1. Sprawdź wskaźnik skarg u dostawcy. Otwórz Google Postmaster Tools (oraz odpowiedniki Yahoo/Microsoft) i przyjrzyj się wskaźnikowi skarg na spam według domeny. Jeśli przekracza 0,1% i zmierza ku 0,3%, to niemal na pewno przyczyna. Wstrzymaj kampanie o najwyższej liczbie skarg i przytnij uśpionych subskrybentów.
2. Potwierdź, że uwierzytelnianie nadal przechodzi. Zrotowany klucz DKIM, zmieniona subdomena wysyłkowa lub przekroczenie limitu wyszukań SPF (RFC 7208 ogranicza SPF do 10 wyszukań DNS) mogą po cichu zepsuć zgodność DMARC. Zweryfikuj przez dig:

   dig +short TXT example.com | grep -i spf          # SPF (RFC 7208)
   dig +short TXT default._domainkey.mail.example.com # DKIM (RFC 6376)
   dig +short TXT _dmarc.example.com                  # DMARC (RFC 7489)
   

   Zobacz Dostarczalność, by odczytać i naprawić te rekordy.
3. Potwierdź, że nagłówki jednoklikowego wypisu są obecne i działają. Regresja gubiąca List-Unsubscribe-Post pogorszy miejsce w Gmailu/Yahoo, nawet jeśli reszta jest w porządku. Powtórz sprawdzenia grep i curl z sekcji o jednym kliknięciu.
4. Sprawdź zmianę wzorca wysyłki. Nagły skok wolumenu, nowe IP, które nie zostało rozgrzane, lub świeżo zaimportowany segment, wszystko to czyta się jako ryzyko. Cofnij się do poziomu zaangażowanych i rozgrzej ponownie stopniowo.
5. Poszukaj sygnałów pułapek spamowych lub jakości listy. Skok twardych odbić albo stagnujący nieznany segment sugerują zły import lub postarzałe adresy. Zsupresuj i ponownie pozyskaj zgodę, zamiast dalej wysyłać.
6. Przejrzyj zmiany treści. Nowe szablony przeładowane obrazami, nowa domena śledzenia kliknięć, która nie jest uwierzytelniona, lub linki przez skracacze wprowadzone w ostatniej kampanii mogą przeważyć szalę filtrów.

Wprowadzaj jedną zmianę naraz i pozwól, by miejsce w skrzynce odbudowało się przez kilka wysyłek, zanim wyciągniesz wniosek, co pomogło; reputacja to średnia ruchoma, a nie przełącznik.

Higiena listy: częste błędy

• Traktowanie miękkich odbić jak twardych (lub odwrotnie). Twarde odbicia usuwaj natychmiast; miękkie ponawiaj ograniczoną liczbę razy, a potem supresuj.
• Ponowna wysyłka do wypisanych po tym, jak synchronizacja CRM zaimportuje ich z powrotem. Lista supresji musi wygrywać z każdym importem; nigdy nie pozwól, by synchronizacja wskrzesiła zsupresowany adres.
• Trzymanie uśpionych subskrybentów „na wszelki wypadek”. Obniżają średnie zaangażowania i kumulują ryzyko pułapek spamowych, gdy porzucone adresy są recyklowane na pułapki.
• Działanie na niezweryfikowanych webhookach. Zawsze weryfikuj sygnaturę przed supresją, inaczej atakujący może zsupresować Twoich prawdziwych subskrybentów lub sfałszować zaangażowanie.

Co musi zawierać każdy mail marketingowy?

Każdy wysyłany mail marketingowy musi zawierać co najmniej:

• Jasną identyfikację nadawcy: odbiorca od razu wie, od kogo to jest.
• Fizyczny adres pocztowy: wymagany przez CAN-SPAM (USA).
• Mechanizm wypisu: widoczny i działający.
• Wskazanie, że to marketing: wymagane przez RODO; nie ukrywaj promocji pod inną postacią.

Traktuj to jako bezwzględną checklistę przed wysyłką:

• Nadawca jasno zidentyfikowany (nazwa i adres „From”)
• Fizyczny adres pocztowy w stopce
• Działający, widoczny link do wypisu w treści
• Wiadomość rozpoznawalna jako marketing
• Nagłówek List-Unsubscribe ustawiony z URI HTTPS (nadawcy masowi)
• List-Unsubscribe-Post: List-Unsubscribe=One-Click ustawiony (RFC 8058, nadawcy masowi)
• SPF, DKIM i DMARC przechodzą ze zgodnością (alignment) From
• Wysyłka wyłącznie do odbiorców, którzy wyrazili zgodę i nie są zsupresowani

Uzasadnienie prawne każdego z tych punktów oraz konkretne kary za ich naruszenie opisano w Zgodność prawna.

Skonsolidowana bramka przed wysyłką

Zamiast polegać na człowieku przechodzącym checklistę, zakoduj twarde wymogi jako funkcję, którą potok wysyłki musi wywołać dla każdego odbiorcy. Jeśli rzuci wyjątek, wiadomość nie wychodzi.

async function assertSendable(msg: {
  to: string;
  subscriberId: string;
  headers: Record<string, string>;
  html: string;
  text?: string;
}) {
  if (await suppressionList.has(msg.subscriberId)) {
    throw new Error("recipient suppressed");
  }
  if (!(await consentStore.hasMarketingConsent(msg.subscriberId))) {
    throw new Error("no marketing consent on record");
  }
  if (!msg.headers["List-Unsubscribe"]?.includes("https")) {
    throw new Error("missing HTTPS List-Unsubscribe (RFC 8058)");
  }
  if (msg.headers["List-Unsubscribe-Post"] !== "List-Unsubscribe=One-Click") {
    throw new Error("missing List-Unsubscribe-Post (RFC 8058)");
  }
  if (!msg.text) {
    throw new Error("missing plain-text alternative");
  }
  if (!/unsubscribe/i.test(msg.html)) {
    throw new Error("no visible unsubscribe link in body");
  }
  // Obecność fizycznego adresu, etykieta marketingu, zgodność From itd. sprawdzane analogicznie.
}

Bramka taka jak ta jest różnicą między programem, który jest zgodny w dobry dzień, a takim, który jest zgodny już na poziomie konstrukcji.

Co przeczytać dalej?

• Zgodność prawna: szczegółowe wymogi prawne według regionu (CAN-SPAM, RODO, CASL)
• Pozyskiwanie adresów: właściwe zbieranie zgód, double opt-in, maile weryfikacyjne
• Zarządzanie listą: listy supresji, higiena, reaktywacja, retencja
• Dostarczalność: uwierzytelnianie i reputacja nadawcy, od których zależy poczta marketingowa
• Niezawodność wysyłki: rozdzielenie strumieni, rozgrzewanie IP i infrastruktura wysyłkowa
• Webhooki i zdarzenia: przetwarzanie zdarzeń odbić, skarg i wypisów
• Typy maili: transakcyjne vs marketingowe: kluczowe rozróżnienie i dlaczego ma znaczenie
• Katalog transakcyjnych: inwentarz jednoznacznie transakcyjnych typów wiadomości
• Spis treści