Weryfikacja email za bramką bezpieczeństwa (SEG)

Jeśli w eksporcie raportu weryfikacji widzisz, że podejrzanie wiele twoich najlepszych kontaktów z dużych firm wróciło z wynikiem nieznany, całkiem możliwe, że na drodze stała secure email gateway. Nie domena catch-all, choć objaw wygląda identycznie. Bramka.

To rozróżnienie ma znaczenie, bo rozwiązanie jest inne. Ma też znaczenie dlatego, że kontakty za bramkami to zwykle te, na których naprawdę ci zależało. Małe firmy rzadko mają bramkę. Banki, ubezpieczyciele, szpitale, uczelnie i większość firm z listy Fortune 500 ją mają.

Co robi weryfikator, gdy zawodzi

Standardowa weryfikacja to krótka rozmowa. Twój weryfikator łączy się z serwerem pocztowym wskazanym w rekordach MX domeny, przedstawia się, podaje nadawcę, potem podaje odbiorcę i czeka. Serwer, który prowadzi prawdziwą listę swoich skrzynek, odpowiada uczciwie. Mówi „tak” adresowi, który istnieje, i „nie” adresowi, który nie istnieje, a twój weryfikator zapisuje odpowiedź.

Secure email gateway, czyli bramka bezpieczeństwa poczty, to warstwa filtrująca ustawiona przed prawdziwym serwerem pocztowym. Każda wiadomość do domeny trafia najpierw do bramki. Tam jest skanowana pod kątem złośliwego oprogramowania, phishingu i naruszeń zasad, a dopiero potem przekazywana dalej. Proofpoint, Mimecast, Barracuda, Cisco i kilkunastu mniejszych dostawców działa właśnie tak.

Bramka nie ma powodu wiedzieć, które skrzynki istnieją. Jej zadaniem jest filtrowanie, a nie sprawdzanie katalogu użytkowników. Gdy twój weryfikator pyta o konkretnego odbiorcę, bramka go przyjmuje. Przyjmuje prawdziwe adresy, przyjmuje literówki, przyjmuje nazwiska osób, które odeszły w 2019 roku. Przyjęcie dzieje się na brzegu sieci. Decyzja, czy skrzynka istnieje, zapada gdzieś za bramką, a tam twój weryfikator nigdy nie dociera.

Z zewnątrz takiego zachowania nie da się odróżnić od domeny catch-all. Ta sama rozmowa, ta sama odpowiedź, ten sam bezużyteczny wynik.

Dlaczego „ryzykowny” to złe miejsce, by się zatrzymać

Większość weryfikatorów reaguje na to, oznaczając adres etykietą. Etykieta zależy od dostawcy. Zobaczysz risky, unknown, accept-all, catch-all albo ok_for_all, zależnie od tego, czyj eksport czytasz. W każdym przypadku znaczenie jest to samo: nie udało się tego ustalić.

To uczciwa odpowiedź, ale tylko do pewnego stopnia. Problem leży w tym, co dzieje się potem. Narzędzia do wysyłki zwykle traktują te etykiety jak miękkie „nie”, a większość ludzi robi to samo. Nikt nie chce ryzykować reputacji nadawcy dla „może”. Adresy wypadają więc z kampanii i zostają po cichu zapomniane.

Na liście B2B to mniej więcej 30% twoich kontaktów. Na liście z przewagą dużych firm jest ich więcej. Płacisz za zdobycie tych kontaktów i płacisz jeszcze raz za ich weryfikację, a w wyniku nie dostajesz żadnej odpowiedzi.

Co robi inaczej sprawdzenie, które rozpoznaje bramki

W skrócie: przestajesz zadawać bramce pytanie, na które nie umie odpowiedzieć, i znajdujesz inne pytanie, na które umie.

Bramki nie milczą. Zachowują się według powtarzalnych wzorców, zależnie od produktu, konfiguracji i konkretnego adresu. Czas odpowiedzi różni się dla adresu, który bramka w końcu przekaże dalej, i dla adresu, który w końcu odrzuci. Kody błędów i ich dokładne brzmienie różnią się między dostawcami i między wersjami. Niektóre bramki ujawniają odrzucenie później w trakcie wymiany niż w miejscu, w którym większość weryfikatorów przestaje słuchać. Niektóre zachowują się inaczej dla prawdziwej skrzynki niż dla losowego ciągu znaków w tej samej domenie, jeśli wiesz, co porównać.

Odczytanie tych sygnałów oznacza, że najpierw trzeba rozpoznać bramkę, a potem zastosować sprawdzenie zbudowane dla tego konkretnego produktu zamiast ogólnego. Dlatego zasięg obsługi bramek zwykle podaje się jako liczbę. Giggal.ai wykrywa piętnaście bramek, w tym Proofpoint, Mimecast i Barracuda. Inne narzędzia, które próbują to robić, wymieniają trzy albo pięć. Weryfikator, który nie wymienia żadnej, prawie na pewno zwraca ogólny wynik i oznacza go jako ryzykowny.

Warto uczciwie powiedzieć o ograniczeniach. To wnioskowanie z obserwowanego zachowania, a nie odczyt z katalogu użytkowników. Nie jest więc nieomylne i żaden uczciwy dostawca nie powie ci, że jest. Niezawodnie robi jedno: zamienia duży, bezużyteczny fragment listy w fragment w większości użyteczny. To inna i skromniejsza obietnica niż doskonałość.

Jak ustalić, jakiej części twojej listy to dotyczy

Nie potrzebujesz narzędzia, żeby sprawdzić, czy twoim problemem są bramki. Potrzebujesz rekordów MX dla domen z twojej listy.

Weź część domenową każdego adresu, usuń duplikaty i sprawdź rekordy MX (po angielsku) dla każdej domeny. Domena za Proofpoint wskazuje na nazwy hostów zawierające pphosted albo ppe-hosted. Domeny Mimecast wskazują na hosty mimecast.com, zwykle z kodem regionu. Barracuda pojawia się jako barracudanetworks.com. Cisco pojawia się jako iphmx.com. Domeny Microsoft 365 i Google Workspace wskazują odpowiednio na hosty outlook.com i google.com. To nie są bramki, choć takie domeny nadal mogą być ustawione jako catch-all.

Porównaj tę listę z adresami, przy których twój weryfikator się poddał. Jeśli część wspólna jest duża, przyczyną są bramki. Ponowne uruchamianie tego samego narzędzia nie zmieni wyniku.

Jak wybrać do tego narzędzie

Trzy pytania odróżniają weryfikator, który sobie z tym radzi, od takiego, który sobie nie radzi.

Czy wymienia bramki, które wykrywa? Dostawca, który naprawdę wykonuje tę pracę, opublikuje listę albo przynajmniej liczbę, bo właśnie to sprzedaje. Ogólne hasła o zaawansowanym wykrywaniu bez nazw produktów zwykle oznaczają wykrywanie, a nie rozstrzyganie. Narzędzie może ci powiedzieć, że jest bramka, a mimo to nie powie, czy skrzynka jest prawdziwa.

Czy zwraca wynik prawidłowy albo nieprawidłowy, czy tylko etykietę? Zapytaj konkretnie, jak wygląda wynik dla adresu za Mimecast. Jeśli odpowiedź brzmi, że dostaniesz flagę ryzykowny i wskaźnik pewności, kupujesz tylko trochę lepszą etykietę.

Ile kosztuje sprawdzenie adresów, które wymagają tej pracy? Rozstrzyganie adresów za bramkami i adresów catch-all kosztuje dostawcę więcej, więc większość wycenia je inaczej. Niektórzy pobierają wielokrotność standardowego kredytu. Inni liczą je z osobnej, mniejszej puli, która kończy się przed standardową. Żadna z tych opcji nie jest nierozsądna, ale chcesz to wiedzieć, zanim wgrasz listę, w której 40% to domeny dużych firm. Giggal.ai rozlicza każdą weryfikację po stałej stawce 1 kredytu za adres, z tej samej puli co wszystko inne.

Kolejność w praktyce

Przepuść listę przez narzędzie, którego używasz teraz, i zachowaj eksport. Wyciągnij każdy wiersz, który wrócił jako ryzykowny, nieznany albo accept-all. Sprawdź rekordy MX tych domen, żeby zobaczyć, ile z nich to bramki, a ile zwykłe domeny catch-all. Potem przepuść sam ten fragment przez narzędzie zbudowane do tego celu i porównaj oba eksporty obok siebie.

Właśnie o to porównanie chodzi. Każdy dostawca w tej kategorii, łącznie z nami, deklaruje dokładność, która w cenniku brzmi podobnie. Jedyna liczba, która coś znaczy, to ile twoich spisanych na straty kontaktów dostało wynik prawidłowy i czy te oznaczone jako prawidłowe naprawdę przyjęły pocztę po wysyłce.

Jeśli chcesz to sprawdzić, Giggal.ai daje 1000 darmowych kredytów bez karty płatniczej. Działają one przy masowym wgrywaniu pliku, a nie tylko dla pojedynczych adresów. Tylko w ten sposób ten test coś ci powie. Pojedynczy adres możesz sprawdzić w weryfikatorze email. Możesz też przeczytać więcej o tym, jak weryfikujemy domeny catch-all i accept-all, albo szczegółowo o naszym podejściu do weryfikacji SEG (po angielsku).