Testowanie wiadomości z Amazon SES

Najpierw sprawdź środowisko sandbox, ponieważ od niego zależy, czy całość w ogóle zadziała. Nowe konto SES zaczyna w środowisku sandbox w każdym Regionie. Dopóki w nim pozostaje, SES dostarcza wiadomości tylko na zweryfikowane adresy, do zweryfikowanych domen oraz do własnego symulatora skrzynek pocztowych. Dodatkowo obowiązują limity 200 wiadomości na 24 godziny i jednej wiadomości na sekundę.

Zweryfikowanie adresu Email Spam Tester nie pozwoli ci tego obejść. SES weryfikuje odbiorcę, wysyłając do niego wiadomość e-mail z linkiem. Ponieważ nasze adresy przyjmują dokładnie jedną wiadomość przed zamknięciem, wykorzystałaby ją wiadomość weryfikacyjna. W praktyce potrzebujesz więc dostępu produkcyjnego w Regionie, z którego wysyłasz. AWS deklaruje wstępną odpowiedź na taki wniosek w ciągu 96 godzin.

Status środowiska sandbox jest przypisany do Regionu, więc konto działające produkcyjnie w eu-west-1 nadal może być w środowisku sandbox w us-east-1. Tożsamości również są przypisane do Regionu, a każda z nich ma własne rekordy DKIM.

Pobierz adres i wyślij jedną wiadomość

Otwórz email-spam-tester.com i skopiuj wyświetlony adres. Nie wymaga on konta ani klucza API i ma postać test-, po którym następuje dwadzieścia znaków, w domenie t.email-spam-tester.com. Masz godzinę i możesz wysłać jedną wiadomość, więc przygotuj polecenie wysyłania, zanim pobierzesz adres.

Najprostszy sposób wysyłania korzysta z CLI. Poniższe polecenie dostosowano na podstawie przykładu AWS ze strony dotyczącej dzierżawców SES, pomijając flagi dzierżawcy i zestawu konfiguracji:

aws sesv2 send-email \
  --from-email-address "sender@yourdomain.com" \
  --destination "ToAddresses=test-xxxxxxxxxxxxxxxxxxxx@t.email-spam-tester.com" \
  --content "Simple={Subject={Data='Test Subject',Charset=utf-8},Body={Text={Data='Test email body',Charset=utf-8}}}"

Adres w polu From musi być zweryfikowaną tożsamością, nawet w środowisku produkcyjnym. Wiadomość zawierająca tylko tekst wystarczy do przetestowania uwierzytelniania i adresu IP, ale prawie nic nie powie o treści. Aby uzyskać miarodajny wynik, wyślij wiadomość, którą faktycznie wysyła twoja aplikacja, wraz z częścią HTML i nagłówkami. Użyj też tej samej ścieżki kodu, niezależnie od tego, czy jest to send_email z boto3, biblioteka SMTP, czy coś innego. Jeśli wysyłka produkcyjna korzysta z zestawu konfiguracji, dodaj tutaj również --configuration-set-name, aby test przeszedł przez te same ustawienia.

Test skrzynek odbiorczych można dodać do tego samego polecenia. Adresy skrzynek u dostawców dodaj do ToAddresses obok adresu testowego, a znacznik testu do danych Subject. Jedno wywołanie wypełni wtedy dwa raporty. Drugi pokaże folder, do którego trafiła wiadomość w Gmail, Outlook, Yahoo i u innych dostawców. Te skrzynki również nie są zweryfikowane, więc ten test także wymaga dostępu produkcyjnego.

Możesz też skorzystać z konsoli. Otwórz Configuration > Identities, kliknij tożsamość i wybierz Send test email. Wybierz Raw, jeśli chcesz wkleić pełną wiadomość MIME z własnymi nagłówkami. AWS opisuje konsolę jako narzędzie używane zwykle tylko do wiadomości testowych, a dokumentacja nie opisuje żadnego prefiksu testowego ani innej modyfikacji wiadomości. W środowisku sandbox pole Custom recipient wymaga zweryfikowanego adresu, co prowadzi z powrotem do opisanego wyżej problemu.

Jak świeża tożsamość SES wygląda w raporcie

DKIM. Easy DKIM jest ustawieniem domyślnym dla tożsamości domenowych i podpisuje każdą wiadomość 2048-bitowym kluczem. Konfiguracja składa się z trzech rekordów CNAME o nazwach token._domainkey.yourdomain.com, wskazujących na token.dkim.<region>.amazonses.com. Jeśli kontrola DKIM nie przechodzi, najpierw sprawdź dwie rzeczy: czy zmiany DNS zdążyły się rozpropagować (AWS dopuszcza do 72 godzin) oraz czy dostawca DNS nie dołączył domeny do nazwy i nie utworzył token._domainkey.yourdomain.com.yourdomain.com. W przypadku BYODKIM publikujesz zamiast tego jeden rekord TXT we własnym selektorze. Podczas przełączania między tymi rozwiązaniami SES może wysyłać wiadomości bez żadnego podpisu, co raport oznaczy jako brak DKIM. Narzędzie do sprawdzania DKIM przyjmuje token jako selektor.

SPF i ścieżka zwrotna. Domyślnie SES używa subdomeny amazonses.com jako MAIL FROM. SPF przechodzi, ale dla amazonses.com, dlatego raport pokazuje SPF jako niezgodny z twoim polem From. Gdy DKIM jest zgodny, kosztuje to niewiele (2 punkty w skali 100-punktowej zamiast 5), a DMARC nadal przechodzi dzięki DKIM. Aby zapewnić również zgodność SPF, skonfiguruj niestandardową subdomenę MAIL FROM z dokładnie jednym rekordem MX, 10 feedback-smtp.<region>.amazonses.com, oraz rekordem TXT v=spf1 include:amazonses.com ~all. Nie wybieraj subdomeny, która odbiera pocztę, i nie umieszczaj aspf=s w rekordzie DMARC, ponieważ według AWS zgodność SPF z SES nie działa przy rygorystycznej polityce SPF.

DMARC. SES nie publikuje go za ciebie. Przykład AWS to v=DMARC1;p=quarantine;rua=mailto:my_dmarc_report@example.com. Jeśli nikt jeszcze nie czyta twoich raportów DMARC, zacznij od p=none, a później zaostrz politykę. Narzędzie do sprawdzania DMARC pokazuje twoją obecną konfigurację, a strona DMARC fail opisuje typowe problemy.

List-Unsubscribe. SES dodaje List-Unsubscribe oraz List-Unsubscribe-Post tylko wtedy, gdy wysyłasz z ListManagementOptions wskazującym listę kontaktów i temat. Nawet wtedy robi to tylko dla wiadomości do jednego odbiorcy i tylko z Easy DKIM, a ponadto SES zastępuje wszystkie ustawione przez ciebie nagłówki rezygnacji z subskrypcji. Wszystkie pozostałe wiadomości są wysyłane bez takich nagłówków. W przypadku newslettera oznacza to nieudaną kontrolę List-Unsubscribe i nieudaną kontrolę rezygnacji jednym kliknięciem, chyba że dodasz nagłówki samodzielnie. Od marca 2024 API v2 przyjmuje niestandardowe nagłówki bez surowego MIME. Na podstawie wpisu AWS o rezygnacji jednym kliknięciem te dwa nagłówki wyglądają tak:

"Headers": [
  { "Name": "List-Unsubscribe",
    "Value": "<https://yourdomain.com/unsub?address=x&topic=x>, <mailto:unsubscribe@yourdomain.com>" },
  { "Name": "List-Unsubscribe-Post",
    "Value": "List-Unsubscribe=One-Click" }
]

Twój endpoint musi następnie obsłużyć żądanie POST. Resetowanie haseł i potwierdzenia bez nagłówków listy to inny przypadek. Dla takich wiadomości raport oznacza grupę nadawcy masowego jako pominiętą. Więcej informacji o nagłówku znajdziesz na naszej stronie List-Unsubscribe.

Adresy IP i listy blokujące

Nowe konta wysyłają wiadomości z adresów IP współdzielonych z innymi użytkownikami SES. AWS zaleca pozostanie przy nich, chyba że twój wolumen wysyłki jest duży i regularny. Raport sprawdza adres IP nadawcy na 21 listach blokujących. W przypadku adresów współdzielonych wpis na liście dotyczy całej puli. Dedykowane adresy IP są dostępne w wariancie Standard, w którym samodzielnie je rozgrzewasz, lub Managed, w którym SES obsługuje rozgrzewanie. Wtedy wpis na liście jest powiązany z twoją własną wysyłką. Każdy adres IP znaleziony w karcie nagłówków możesz od razu sprawdzić za pomocą narzędzia do sprawdzania list blokujących.

AWS monitoruje również twoje konto. W FAQ dotyczącym egzekwowania zasad zaleca testowanie z użyciem prawdziwych adresów, które mogą odbierać pocztę, lub symulatora, aby nieistniejący odbiorcy nie zwiększali współczynnika odrzuceń. Konto trafia do weryfikacji przy współczynniku odrzuceń wynoszącym 5% lub współczynniku skarg wynoszącym 0,1%.

Plan naprawczy na dole zawiera maksymalnie osiem zmian. Każda z nich obejmuje rekord DNS do skopiowania, jeśli ma zastosowanie, a punkty podane przy każdej poprawce odpowiadają bieżącym karom za kontrole, których ta poprawka dotyczy. Model wybiera i objaśnia poprawki. Nie wycenia ich. Jeśli nazwa kontroli nic ci nie mówi, dokumentacja objaśnia każdą z 42 kontroli.