På denne sidenSlik sender WordPress e-post som standard
Et WordPress-nettsted sender mer e-post enn eieren tror. Varslingen fra kontaktskjemaet. Tilbakestillingen av passordet. Velkomstmeldingen til nye brukere, varselet om kommentarmoderering og, i en nettbutikk, alle ordrebekreftelser, fakturaer og leveringsoppdateringer fra WooCommerce. De fleste av disse meldingene er det ingen som har utformet, og ingen kontrollerer dem før en kunde skriver at e-posten om bestillingen aldri kom frem.
Når en av disse havner i spam, bør du se på hvordan meldingen forlater serveren før du endrer ordlyden. I WordPress er dette som standard satt til alternativet med dårligst leveringsevne.
Slik sender WordPress e-post som standard
WordPress selv og nesten alle programtillegg som sender e-post, inkludert WooCommerce og programtillegg for skjemaer, bruker én funksjon, wp_mail(). Den sender meldingen videre til PHPMailer, som som standard overfører den til PHPs mail(). Denne overfører den igjen til e-postprogrammet som finnes på webhotellets server. Det brukes ingen innlogging hos en e-postleverandør, ingen signering og ingenting i DNS som angir at denne serveren kan sende e-post for domenet ditt.
Avsenderadressen som velges, er wordpress@ etterfulgt av domenet til nettstedet ditt (WordPress fjerner en innledende www.). Hvis du aldri har endret den, er dette adressen kundene dine ser i Fra-feltet, og på mange nettsteder har ingen noen gang opprettet denne innboksen.
På delt webhotell sendes meldingen deretter fra webhotellets server via en IP-adresse som deles med mange andre nettsteder. Hvis ett av dem sender til en kjøpt liste, eller blir hacket og begynner å sende ut spam, får adressen et dårlig omdømme. E-postene dine for tilbakestilling av passord sendes fra samme adresse som deres.
En standardinstallasjon av WordPress sender derfor e-post der SPF ikke samsvarer med domenet ditt. Returadressen blir vanligvis værende på webhotellets eget servernavn, og hvis adressen din brukes der i stedet, mislykkes SPF fullstendig. Det finnes heller ingen DKIM-signatur for domenet ditt, så DMARC mislykkes. Gmail og Yahoo innførte avsenderkravene sine i februar 2024. Microsoft gjorde det samme i mai 2025 for domener som sender mer enn 5 000 meldinger om dagen til Outlook.com. Siden november 2025 har Gmail avvist mer av e-posten som bryter reglene, i stedet for å legge den i spam.
Send via en ekte e-posttjeneste
Det viktigste tiltaket er å slutte å bruke mail(). Installer en SMTP-utvidelse (WP Mail SMTP, FluentSMTP og Post SMTP er de vanligste, og alle har en gratisversjon), og koble den til en tjeneste som sender e-post på riktig måte: din egen e-postleverandør, for eksempel Google Workspace eller Microsoft 365, eller en transaksjonell tjeneste som Amazon SES, Brevo, SendGrid eller Mailgun.
Utvidelsen erstatter transporten under wp_mail(), slik at all e-post fra alle utvidelser sendes på den nye måten uten at du trenger å endre selve utvidelsene. Bruk leverandørens API-alternativ der utvidelsen tilbyr dette, i stedet for vanlig SMTP med passord. WP Mail SMTP påpeker at API-metoden fungerer selv når webhotellet blokkerer SMTP-porter.
Mange hopper over neste del. Autentiser domenet hos leverandøren. Alle gir deg DNS-oppføringer som skal publiseres, vanligvis to eller tre CNAME-oppføringer for DKIM og en SPF-inkludering eller et egendefinert returdomene. Frem til disse oppføringene finnes i DNS, bruker leverandøren sitt eget navn i signaturen, og DMARC mislykkes der akkurat som på webhotellet.
From-adressen i kontaktskjemaer
Skjemautvidelser, blant annet Contact Form 7 og WPForms, lar deg velge hva som skal stå i From-linjen i varselet du mottar. I mange oppsett brukes den besøkendes adresse der, slik at et trykk på Svar sender svaret til den besøkende. Det virker smart, men det er nettopp dette DMARC er laget for å stoppe.
Tenk deg at en besøkende som heter Anna, skriver fra anna@yahoo.com. Nettstedet ditt sender nå en melding som hevder å komme fra yahoo.com, via en server Yahoo aldri har autorisert. yahoo.com publiserer en DMARC-policy med p=reject, så en mottaker som følger den, avviser varselet som forfalsket. Med en besøkende som bruker Gmail, er policyen mindre streng, og meldingen havner oftere i spam. WPForms advarer om akkurat dette i dokumentasjonen sin.From er deg, Reply-To er den besøkende
Konfigurer det heller slik:
- From: en adresse på ditt eget domene, for eksempel
forms@yourdomain.com, på samme domene som SMTP-utvidelsen din er autentisert for. - Reply-To: den besøkendes adresse fra skjemafeltet. Et trykk på Svar sender fortsatt svaret til Anna.
- To: innboksen du faktisk leser.
I Contact Form 7 finner du dette under fanen Mail: Legg inn din egen adresse i From, og legg til Reply-To: [your-email] under Additional headers. De andre skjemautvidelsene har et Reply-To-felt i varslingsinnstillingene.
WooCommerce-e-poster
WooCommerce har egne avsenderinnstillinger: WooCommerce, deretter Settings og Emails. I delen Email Sender Options finner du et "From"-navn og en "From"-adresse. Som standard er adressen nettstedets administratoradresse. Hvis personen som installerte nettbutikken, brukte en Gmail-adresse til dette, sendes hver ordrebekreftelse med påstand om at den kommer fra gmail.com, og den får DMARC-feil av samme grunn som kontaktskjemaet ovenfor. Bruk en adresse på det autentiserte domenet ditt der. Butikkens navn er et godt avsendernavn. (For ordrevarslene som sendes til deg, plasserer WooCommerce allerede kunden i Reply-To, som er riktig oppsett.)
To ting kan gå galt med e-post fra nettbutikker som ikke er et problem med kontaktskjemaer.
Det første er volum. Hvis et salgs- eller nyhetsbrevtillegg sender til kunder gjennom samme kanal som ordrebekreftelsene, blandes markedsførings- og transaksjonsmeldinger under samme omdømme. Hvis nyhetsbrevet får klager, rammer det også kvitteringene. Ved å sende de to typene gjennom forskjellige tjenester holder du dem adskilt. Et eget underdomene for markedsføring hjelper litt, men mottakerne legger fortsatt noe vekt på hoveddomenets omdømme.
Det andre gjelder avmelding. Ordrebekreftelser og tilbakestilling av passord er transaksjonsmeldinger, og Gmail og Yahoo sitt krav om avmelding med ett klikk gjelder ikke for dem. En forespørsel om en anmeldelse, en påminnelse om en forlatt handlekurv eller en e-post med «dette kan du også like» som sendes til tidligere kjøpere, er markedsføring. Hvis du sender slike meldinger i stort volum, gjelder kravet fullt ut. Det betyr at meldingen må ha en List-Unsubscribe-header med mulighet for avmelding med ett klikk. Kontroller om tillegget som sender dem, legger til denne headeren. Testen nedenfor viser det uansett.
DNS-siden, enkelt forklart
Uansett hvilken tjeneste du sender gjennom, trenger domenet ditt tre ting i DNS for at e-posten skal være klarert. Du finner en fullstendig gjennomgang i SPF, DKIM og DMARC forklart. Her er hva dette betyr for et WordPress-nettsted.
- SPF. Én TXT-oppføring på domenet ditt som angir hvem som kan sende på vegne av det. Mange utsendingstjenester krever ingen endringer her, fordi de oppnår samsvar via sitt eget returdomenet. Hvis tjenesten din ber om en
include:og domenet allerede har en oppføring for e-postleverandøren din, legger du den til i denne oppføringen. Ikke opprett en ny. To SPF-oppføringer er en feil, og begge slutter å virke. Kontroller resultatet med SPF-kontrollen. - DKIM. Oppføringene du fikk fra utsendingstjenesten. Når de er aktive, signerer tjenesten hver melding med domenet ditt. Det er denne signaturen DMARC ser etter.
- DMARC. En TXT-oppføring på
_dmarc.yourdomain.com. Start medv=DMARC1; p=none; rua=mailto:og en adresse du leser, og stram deretter inn når rapportene viser at ingen av meldingene dine mislykkes. DMARC-kontrollen leser oppføringen du har.
Husk at webserveren fortsatt kan sende noe på egen hånd, for eksempel en cron-jobb eller en gammel plugin som kaller mail() direkte i stedet for wp_mail(). Disse meldingene omgår SMTP-pluginen, og DMARC-rapportene viser dem som en kilde du ikke forventet.
Test de faktiske e-postene, ikke en testmelding
Alle SMTP-utvidelser har en knapp for å sende en test-e-post, og det eneste den beviser, er at tilkoblingen fungerer. Den viser deg ikke ordrebekreftelsen slik WooCommerce bygger den, skjemavarselet med riktig Reply-To eller e-posten for tilbakestilling av passord med lenken WordPress legger inn.
Derfor får jeg WordPress til å sende de faktiske e-postene. En testadresse fra forsiden tar imot én melding, så hent en ny adresse for hver e-post du vil kontrollere. For skjemaet setter du adressen som mottaker av varselet et øyeblikk og sender inn skjemaet. For WooCommerce legger du inn en testbestilling med adressen som kundens e-postadresse. For tilbakestilling av passord gir du en testbruker adressen og ber om en tilbakestilling. Hver melding får sin egen rapport med SPF, DKIM og DMARC og tilordningen deres, 21 blokkeringslister, innhold og lenker samt reglene for masseutsendere. For å finne ut hvilken mappe meldingen havner i hos Gmail, Outlook, Yahoo og andre leverandører, må den samme meldingen sendes til en liste med innbokser og ha en markør i emnefeltet. Et skjema eller en butikkbestilling kan ikke gjøre dette, så spar den delen til e-poster du sender selv.
Hvis du helst vil slippe å opprette testbestillinger manuelt, sender den gratis WordPress-utvidelsen disse meldingene gjennom nettstedets egen wp_mail(), den samme ruten som kundenes e-post følger, og viser resultatet i kontrollpanelet. Den oppdager også når nettstedet begynner å sende en type e-post den ikke har sett før.
Når e-posten fortsatt havner i spam
Hvis autentiseringen godkjennes, From-adressen er på domenet ditt og e-posten fortsatt havner i spam, bør du kontrollere omdømmet til infrastrukturen du sender gjennom. En IP-adresse fra delt webhotell som står på en blokkeringsliste, er en vanlig årsak når du fortsatt bruker mail(), og kontrollen av blokkeringslister viser om den gjør det. Innholdet spiller en mindre rolle enn mange forventer. Et skjemavarsel med én lenke og tre tekstlinjer utløser sjelden et filter alene. En WooCommerce-e-post med en tung HTML-mal, ett stort bilde og en lenkeforkorter kan gjøre det.
Kontroller én melding, rett opp det rapporten viser, og send den på nytt til en ny adresse.