Toestemming, afmelden en een schone lijst

Module 7: Nieuwsbrieven en mail vanaf je website · Leestijd: 12 minuten

Leerdoel: Na deze les kun je een adressenlijst opbouwen en onderhouden die zowel de wet als de spamfilters vertrouwen, en kun je controleren of een nieuwsbrief een werkende afmelding met één klik heeft.

Kernbegrippen: toestemming vooraf (opt-in), bevestigde opt-in (double opt-in), uitzondering voor eigen klanten (soft opt-in), artikel 11.7 Telecommunicatiewet, AVG, afmeldlink, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post en afmelden met één klik (RFC 8058), klachtenpercentage, harde en zachte bounces, inactieve adressen, spamtrap, gekochte lijst

Techniek is niet genoeg

In les 7.1 heb je je domein bij een verzenddienst geauthenticeerd. SPF, DKIM en DMARC kloppen. Toch kan je nieuwsbrief in de spam belanden. Ontvangers als Gmail, Yahoo en Outlook.com kijken namelijk ook naar hoe hun gebruikers op je mail reageren. Klikken mensen op "Dit is spam", openen ze je mail nooit, of stuur je naar adressen die al jaren niet bestaan? Dan zakt je reputatie, hoe goed je techniek ook is.

Gmail noemt in zijn richtlijnen voor afzenders een grens: houd het spampercentage (het deel van je mail dat ontvangers als spam markeren, gemeten in Google Postmaster Tools) onder de 0,1% en kom nooit op 0,3% of hoger. Yahoo hanteert ook 0,3%. Dat is één klacht per 333 mails. Met een lijst van mensen die niet weten waarom ze je mail krijgen, haal je dat nooit.

Een schone lijst begint dus bij de vraag: wil deze persoon mijn mail echt?

Wat zegt de wet?

In Nederland staan de regels voor ongevraagde elektronische berichten (spam) in artikel 11.7 van de Telecommunicatiewet. De Autoriteit Consument & Markt (ACM) legt ze op haar site uit. Voor persoonsgegevens geldt daarnaast de AVG. Dit is geen juridisch advies, maar de hoofdlijnen zijn helder:

• Toestemming vooraf (lid 1). Reclame per e-mail, en ook berichten voor ideële of charitatieve doelen, mag alleen naar iemand die daar vooraf toestemming voor gaf. Je moet die toestemming kunnen aantonen. De ACM schrijft dat de toestemming bewust gegeven moet zijn: geen vooraf aangevinkt hokje, niet verstopt in de algemene voorwaarden, en de keuze moet duidelijk over reclame gaan.
• Uitzondering voor eigen klanten (lid 4), vaak soft opt-in genoemd. Heb je het mailadres gekregen bij de verkoop van een product of dienst, dan mag je die klant mailen over eigen, gelijksoortige producten of diensten. Voorwaarde: je hebt bij het verzamelen van het adres duidelijk de kans gegeven om nee te zeggen, en je doet dat in elke mail opnieuw.
• Zakelijke adressen (lid 3). Ook voor rechtspersonen geldt in principe toestemming vooraf. De uitzondering is smal: adressen die het bedrijf zelf bekend heeft gemaakt om reclame op te ontvangen, gebruikt voor dat doel. Een adres van een website plukken is dus geen toestemming.
• Afmelden en afzender. Bij elk bericht moet de ontvanger kosteloos en eenvoudig kunnen afmelden. Je vermeldt altijd de werkelijke identiteit van de afzender en een geldig adres waar de ontvanger een stopverzoek heen kan sturen.

Er bestaan dus geen "gekochte lijsten met toestemming" waar je zomaar naar kunt mailen: de toestemming moet voor jou en jouw berichten gegeven zijn.

Bevestigde opt-in: bewijs en kwaliteit tegelijk

Bij een gewone opt-in vult iemand zijn adres in een formulier in en staat hij meteen op je lijst. Het probleem: iedereen kan elk adres invullen, ook dat van een ander, en tikfouten (jan@gmial.com) komen ook op je lijst.

Bij bevestigde opt-in (double opt-in) krijgt het adres eerst een mail met een bevestigingslink. Pas na de klik staat het op de lijst. Dat heeft drie voordelen:

1. Je bewijst dat de eigenaar van het adres zelf toestemming gaf (bewaar datum, tijd en IP van de bevestiging). De ACM schrijft dat je toestemming nog jaren na verzending moet kunnen aantonen.
2. Je lijst bevat alleen adressen die bestaan en gelezen worden.
3. Je voorkomt dat kwaadwillenden of bots je formulier vullen met adressen van anderen. Die mensen klagen later, en dat raakt jou.

Veel hostingaanbieders stellen bevestigde opt-in als voorwaarde als je via hun servers mailings verstuurt. Bij WebOké staat dat bijvoorbeeld in kennisbankartikel 18; bij andere aanbieders staat het in het beleid voor acceptabel gebruik.

Afmelden met één klik

Een afmeldlink onderaan de mail is wettelijk nodig. Grote ontvangers willen daarnaast een afmeldknop in hun eigen programma: Gmail en Yahoo tonen dan bovenaan de mail "Afmelden". Dat werkt via twee kopregels.

List-Unsubscribe (RFC 2369) geeft een of twee manieren om af te melden, tussen punthaken:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) zegt dat de https-link met één klik werkt, zonder dat de ontvanger nog op een pagina hoeft te bevestigen:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Klikt de ontvanger in Gmail op Afmelden, dan stuurt Gmail een POST-verzoek met precies List-Unsubscribe=One-Click naar die URL. Je server meldt het adres dan meteen af. Een paar regels uit RFC 8058:

• de URL moet https zijn;
• de link moet uniek zijn per ontvanger (er staat een code in), zodat de server weet wie zich afmeldt;
• de List-Unsubscribe- en List-Unsubscribe-Post-kopregels moeten onder de DKIM-handtekening vallen, anders kan iemand ze onderweg vervangen;
• een GET-verzoek op dezelfde URL mag niet meteen afmelden (virusscanners en voorbeeldweergaven volgen links), alleen de POST.

Gmail eist voor bulkverzenders (meer dan zo'n 5.000 mails per dag naar Gmail-adressen) afmelden met één klik in marketingmail, plus een zichtbare afmeldlink in de tekst. Yahoo eist hetzelfde en wil dat je een afmelding binnen 2 dagen verwerkt. Ook als je kleiner bent: elke goede verzenddienst zet deze kopregels er automatisch in. Controleer het wel (zie de opdracht).

Je lijst schoon houden

Een lijst veroudert. Mensen wisselen van baan, mailboxen worden opgeheven, interesse verdwijnt. Zonder onderhoud stijgen je bounces en klachten, en dalen je opens. Vijf vaste gewoonten:

1. Harde bounces direct eraf. Een harde bounce (een 5xx-fout zoals 550 5.1.1 "adres bestaat niet", les 6.2) betekent dat het adres niet werkt. Blijf je ernaar sturen, dan zien ontvangers je als slordige of spammende verzender. Verzenddiensten doen dit automatisch.
2. Zachte bounces in de gaten houden. Een tijdelijke fout (4xx, bijvoorbeeld een volle mailbox) mag een paar keer, maar faalt een adres bij elke verzending, haal het dan weg.
3. Klachten verwerken. Wie op "Dit is spam" klikt, moet van je lijst. Grote ontvangers sturen een melding via een feedbackloop; verzenddiensten verwerken die.
4. Inactieven opruimen. Iemand die al een jaar niets opent of aanklikt, geeft een slecht signaal. Stuur eerst een herbevestigingsmail ("Wil je onze nieuwsbrief nog ontvangen?"), en haal wie niet reageert van de lijst. Let op: sinds Apple Mail Privacy Protection (les 2.3) zijn opens onbetrouwbaar; kijk ook naar klikken.
5. Nooit lijsten kopen, huren of plukken. Naast het wettelijke probleem zitten in zulke lijsten vaak spamtraps: adressen die beheerders van blocklists en ontvangers juist bijhouden om spammers te vangen. Er zijn oude adressen die na jaren stilte als val heropend zijn, en adressen die nooit ergens zijn ingeschreven. Wie daarnaar mailt, bewijst dat hij geen toestemming heeft. Eén treffer kan je op een blocklist zetten (les 5.2).

In de praktijk

Voorbeeld: je hebt een webwinkel en wilt klanten na een aankoop een nieuwsbrief sturen over vergelijkbare producten. Dan zet je bij het afrekenen een niet vooraf aangevinkt vakje "Ik wil de nieuwsbrief ontvangen", of je maakt gebruik van de uitzondering voor eigen klanten: je meldt bij het afrekenen duidelijk dat je klanten mailt over gelijksoortige producten, met de keuze "nee, liever niet", en elke nieuwsbrief heeft een afmeldlink. Alle mail gaat via een verzenddienst met geauthenticeerd domein (les 7.1). De dienst haalt bounces en klachten automatisch weg, en je ruimt twee keer per jaar inactieve adressen op.

Bij een vereniging met een mailinglijst op het hostingpakket (bij WebOké heet dat Mailing Lijsten in DirectAdmin; andere panelen hebben vergelijkbare lijsten) gaat het om leden die de mail verwachten. Ook daar: zet in elke mail hoe iemand zich afmeldt, en neem oud-leden van de lijst.

Samenvatting

• Ontvangers kijken naar klachten: blijf onder 0,1% en kom nooit op 0,3%.
• Volgens artikel 11.7 Telecommunicatiewet mail je reclame alleen met aantoonbare toestemming vooraf, met een uitzondering voor eigen klanten over gelijksoortige producten. Altijd met afzender en afmeldmogelijkheid.
• Bevestigde opt-in geeft bewijs en een lijst zonder tikfouten en valse inschrijvingen.
• List-Unsubscribe met https-link en List-Unsubscribe-Post: List-Unsubscribe=One-Click, onder de DKIM-handtekening, en afmeldingen binnen 2 dagen verwerken.
• Harde bounces en klagers eruit, inactieven opruimen, nooit lijsten kopen (spamtraps).

Quiz

Opdracht

Opdracht Z7.2: Afmeldkopregels controleren. Plak de kopregels van een nieuwsbrief die je zelf verstuurt (of van een nieuwsbrief die je ontvangt, of het voorbeeldbestand nieuwsbrief-kopregels-2.txt). Vul in: staat er een List-Unsubscribe met een https-link (ja/nee), staat er een mailto:-variant (ja/nee), is afmelden met één klik aangezet (ja/nee) en vallen die kopregels onder de DKIM-handtekening (ja/nee, zie h= in de DKIM-Signature). Het programma ontleedt de kopregels en vergelijkt.

Opdracht O7.2: Je toestemmingsproces nalopen. Beschrijf hoe mensen op jouw lijst komen (formulier, afrekenen, aanmelding bij een evenement) en beantwoord de checklist: is het vakje leeg tot iemand het zelf aanvinkt, bevestigt iemand zijn adres, bewaar je datum en tijd van de toestemming, staat in elke mail een afmeldlink en je bedrijfsnaam met adres, en hoe vaak ruim je inactieve adressen op? Je krijgt daarna het modelantwoord met de punten waar je op moet letten.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Mag ik een mailing versturen via mijn hostingpakket bij WebOké?
• Sommige berichten gestuurd aan maillinglist komen niet aan
• DirectAdmin handleiding 7.10: Mailing Lijsten
• ACM, Spam (regels voor het versturen van reclame per e-mail): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, artikel 11.7: https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (afmelden met één klik): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, richtlijnen voor afzenders: https://senders.yahooinc.com/best-practices/