アダルト掲示板のメール到達率:認証コードがいつまでも届かない理由

誰にも警告が届かない障害

新規ユーザーが登録し、メールアドレスを入力し、年齢確認を完了させるための六桁のコードを待つ。届くはずの時間に届かない。十分後に迷惑メールフォルダに現れることもある、そのころにはユーザーはとっくに諦めてタブを閉じている。あるいは受信側のメールサーバーが送信の瞬間に直接拒否し、誰も見ていないログの中をバウンスメッセージが流れていくだけのこともある。どちらの場合も、この体験のどこにも運営者に何かがおかしいと伝えるものはない。登録ファネルはただ、メールアドレスを入力して二度と戻ってこなかった訪問者が一人増えたことを示すだけで、単に気が変わった人と見分けがつかない。

この曖昧さこそが、個々の技術的原因よりも本当の問題だ。ほとんどのサイトはメールが送信されたかどうか、ダッシュボード上の緑のチェックマークを監視しているのであって、それが実際に人間の目の前に置かれたかどうかを監視しているわけではない。これは別々の出来事であり、その両者の間の隙間こそが、到達率の問題が何か月も隠れ続ける場所だ。ホスティングの停止や決済代行会社の口座凍結を一度も経験したことのない運営者でも、気づく手立てのないメールの問題によって、新規登録の実質的な割合を失い続けていることがある。事故もなく、サポートチケットもなく、赤くなるダッシュボードもないからだ。

これは署名した日から誰も読み返していない条項を引用した通知でホスティングアカウントを閉鎖する種類のリスクとは異なる種類のベンダーリスクだ。停止されたホストは騒々しい。サイトは真っ暗になり、運営者は数分以内にそれを知る。顧客がそう言うし、ダッシュボードもそう示すからだ。到達率の問題は設計上静かだ。送信アカウントは開いたままで、月々の請求書は届き続け、唯一目に見える症状は、最後のステップで人を失う登録ファネルで、その理由は運営者側からは、修正可能な技術的不具合ではなく、ごく普通の離脱に見える。

根本の原因は、ホスト、銀行、決済代行会社のところで現れるのと同じ種類のカテゴリー単位の摩擦だ。受信箱を提供する側とメール送信サービスの両方が、この業種を大半の業種より高リスクと評価しており、中には名指しで明示的にそうしているところもある。送信履歴のない新しいドメインは、メッセージの内容とは何の関係もない不利な状態から、すべてのメッセージを始めることになる。

この業種がとりわけ厳しくフィルタリングされる理由

スパムフィルターとメールサービスプロバイダーは、すべての業種を同じように扱っているわけではなく、その違いはアカウントがフラグを立てられた後ではなく登録する前に読んでおく価値がある。SendGridが公開している禁止コンテンツのポリシーは、別々の項目として「ポルノまたは性的に露骨なコンテンツ」と、それとは別に「エスコートサービス、通信販売による花嫁や配偶者の斡旋、国際結婚仲介、および類似のサービス」を挙げている。この二つ目のカテゴリーは、メールが何を含んでいるかとは関係がない。事業そのものを除外の理由として名指ししており、つまりエスコートディレクトリが送るごく淡々とした平文の認証コードでも、メッセージがどれほど控えめであっても、カテゴリーだけを理由にポリシーの対象外になりうるということだ。

Mailgunの利用規約はまったく別の場所に線を引いている。その禁止コンテンツの条項は、児童搾取、獣姦、非同意の行為を構成または助長する素材に限定されており、アダルト業種やエスコートサービスをカテゴリーとして名指しする独立した条項はない。これはSendGridよりもかなり狭い制限であり、どの業種が送信しているかではなく、何が違法かを対象にしている。同じような登録フォームからアクセスできる二つの大手汎用プロバイダーが、実際にはまったく異なる場所に線を引いており、価格ページの先を読まずにどちらかを選んだ運営者には、審査でフラグが立つまで、自分のアカウントがその線のどちら側にあるのか知る術がない。

これは、読んだことのないホスティングやCDNの解約条項に運営者が不意打ちを食らうのと同じデューデリジェンスの盲点が、スタックのもう一段下で現れているにすぎない。メールプロバイダーを選ぶ前に問うべき質問は、この種の事業一般に対して技術的にメール送信を許可しているかどうかではない。プロバイダーの書面によるポリシーが、その事業カテゴリーを具体的に名指ししているかどうかを、書面で、最初の認証コードが送られる前に確認することであり、不正利用審査で発覚した後ではない。

新しい送信ドメインは、プロバイダーが許可している内容の上に、さらにこれを悪化させる。フィルターはドメインの履歴と送信量のパターンを重く評価しており、最近現れて即座に大量の自動コードを送り始めたドメインは、他に手がかりのないフィルターにとっては、狭い目的のために作られフラグが立てられた途端に放棄されるアカウントのパターンのように見える。これは事業に対する判断ではない。アダルト掲示板であろうとなかろうと、真新しいドメインならどれでも引き起こすパターンマッチであり、時間と一貫した送信行動によってしか薄れていかない。

いまやすべての受信箱プロバイダーが課している技術的な最低ライン

アカウントを無条件に受け入れるポリシーのプロバイダーであっても、それだけではメールを受信箱に届けることはできない。2024年2月1日以降、Googleは量にかかわらず、Gmailアドレスにメールを送るすべての送信者に対して、文書化された最低基準を満たすことを求めている。最低限、送信ドメインにSPFまたはDKIMのどちらかを正しく設定することだ。SPFはどのサーバーがそのドメインを代表して送信を許可されているかを列挙し、DKIMは各メッセージに署名して、受信側サーバーが転送中に改ざんされていないことを確認できるようにする。特にGmailアドレス宛てに1日5000通に達する送信者は、より高いハードルに直面する。SPFとDKIMの両方を揃えたうえで、最低でも監視モードでドメインにDMARCを公開することだ。実際の規模で年齢確認コード、パスワードリセット、支払い領収書を送るアダルト掲示板サイトは、そのそれぞれが合計に加算されるため、5000通というこの基準をすぐに超えてしまう。

Googleが公開しているガイドライン自体が、認証の上にさらに厳格な数字を設定している。どんな規模の送信者でも、Googleのポストマスターツールで報告される苦情率を0.30パーセント未満に保たなければならず、同じガイドラインは0.30パーセントを近づいても安全な目標として扱うのではなく、実質的な安全マージンとして0.10パーセント未満にとどまることを勧めている。違反は、あいまいな一つの罰則としてではなく、別々に文書化された二つの異なる障害として現れる。SPF、DKIM、DMARCのいずれかに失敗したメールはスパムとしてマークされるか、SMTPエラー5.7.26で直接拒否されることがある。Googleが許可する送信枠を超えた送信者は、別の壁、4.7.28のレート制限エラーにぶつかる。どちらも「この業種はここでは歓迎されない」とは告げない。どちらも開発者のダッシュボードからは普通の技術的不具合のように見え、まさにそのために、発生した当日に修正されるのではなく、何週間も経ってから気づかれる傾向がある。

AOLアドレスにもサービスを提供しているYahooのインフラは、独立して同じ種類の要件を公開している。SPFとDKIMの両方、少なくともp=noneで検証に合格しなければならないDMARCポリシー、そして同じ0.30パーセントという苦情率の上限が、2024年2月以降Googleと同じ時期から施行されている。Gmail向けにこれを解決し、YahooとAOLも追随するだろうと想定する運営者は、仕組みについては大抵正しい。二社がほぼ同一の数字に収れんしているからだ。しかし二つのシステムは依然として別々に測定し規則を適用しており、片方で良好な状態にあるドメインが、もう片方でも自動的に良好な状態にあるとは限らない。

この要件群の中の一つは、意図的に狭く書かれている。List-Unsubscribeヘッダーを使ったワンクリック解除は、Google自身の文言によれば、マーケティングメッセージと購読メッセージに特化して適用される。認証コードや支払い領収書はそのどちらでもないので、この特定の項目が狙っているものではない。その上にあるSPF、DKIM、DMARC、苦情率上限といった認証と評判に関する要件は、そのように限定されていない。トランザクションメールを含め、ドメインが送るすべてのメッセージに適用される。

重要なメールまで一緒に引きずり下ろす間違い

運営者が自分自身の認証メールを台無しにする最も一般的な方法は、認証コードと支払い領収書を送るのと同じドメインからマーケティングメールを送ることだ。評判は主に送信ドメインとサブドメインのレベルで追跡されており、これがストリームを分けることが役立つ理由だが、サブドメイン間の隔離は絶対的なものではない。両方のストリームが裏で同じDKIM署名アイデンティティを共有している場合はとくに、あるサブドメインでの苦情の急増が親ドメインにも反映されることがある。新機能や季節限定オファーを告知するプロモーションメールを、古くなったリストに送ると、共有ドメインの評判を押し下げかねない種類の苦情急増がまさに生じ、その損害の一部が、今まさに登録したばかりのユーザーが待っている認証コードにまで及ぶ。問題を引き起こしたマーケティング送信とは何の関係もないメッセージにもかかわらずだ。

まさにここで、年齢確認をめぐって築かれた運用上の規律が、見落としやすい形で純粋に技術的なメール配信の問題と絡み合う。コードが受信箱に届くことに依存する確認フローは、そのコードが送られる日の送信ドメインの評判と同程度にしか信頼できず、運営者が意図的に切り離さない限り、評判は関連するインフラを使うすべてのメッセージ種別の間で共有されるリソースだ。

解決策は構造的なものであり、苦情の急増がすでに起きた後で切り替える設定ではない。トランザクションメール、認証コード、支払い確認、パスワードリセットは、他の何にも使われていない専用のサブドメインから送り、たとえば裸のドメインや共有のマーケティング用サブドメインではなくmail.example.comのようなものを使い、すべてのストリームで使い回す鍵ではなく専用のDKIM鍵で署名する。マーケティングコンテンツやニュースレターは、news.example.comのような完全に分離したサブドメインから送り、独自の認証レコードと独自の評判を持たせ、必ず届かなければならないメールを道連れにすることなく、苦情の多い一週間を吸収できるようにする。この二つのストリームは同じプロバイダーアカウントを経由してもよいが、受信側のメールサーバーから見て、明確に異なる送信者として見え、また署名されている必要がある。

今週実際に確認すべきこと

まず、現在サイトのトランザクションメールを送信しているサービスの利用規約を取り出し、それが事業カテゴリーを具体的に名指ししているかどうかを、書面で確認することから始めよう。これは、インフラベンダーに対するホスティングやCDNの契約書の以前の点検が機能したのと同じやり方だ。ポリシーがすでにそのカテゴリーを名指しで除外しているプロバイダーは、これまでどれほど信頼できたとしても、確認フローを構築する土台にすべきプロバイダーではない。アカウント審査は、何の予告もなくその信頼性を終わらせることができるからだ。

いま実際に確認メールと領収書メールを送っているドメインで、SPF、DKIM、DMARCが本当に公開され、検証を通過しているかを確認しよう。誰かが何年も前に一度設定したからといって正しいと思い込むのではなく。書かれた時点では正しかったDNSレコードは、プロバイダーの移行後に古くなることがあり、認証を欠いたドメインは、メッセージの内容にかかわらず、Googleとヤフーが2024年2月から施行している規則のもとで、すべてのメッセージを実際の拒否の可能性を抱えたまま始めることになる。

トランザクションメールとマーケティングメールをまだ分けていなければ、それぞれ別の署名鍵を持つ別々のサブドメインに分け、これをマーケティングチームの判断ではなくインフラの仕事として扱おう。ここで間違えることの代償は、逃した売上ではなく、失敗した本人確認だからだ。

プロバイダー自身のレポートかGoogleのポストマスターツールを通じて、決まったスケジュールで実際の苦情率を監視し、調査すべき地点として0.30パーセントではなく0.10パーセントへの接近を扱おう。0.30パーセントは問題が始まる地点というより、メールが拒否され始める地点に近いからだ。そして、時々個人のGmailアドレスと個人のYahooアドレスに実際のテスト登録を送り、コードが届くまでの時間と届く場所を計測しよう。送信成功を報告するダッシュボードが報告しているのは、サーバーを離れたものであって、ユーザーが実際に目にしたものではないからだ。