Hamnar WordPress-mejl i skräppost? Så åtgärdar du kontaktformulär, aviseringar och WooCommerce-mejl

En WordPress-webbplats skickar mer e-post än ägaren tror. Aviseringen från kontaktformuläret. Lösenordsåterställningen. Välkomstmeddelandet till nya användare, aviseringen om kommentarsmoderering och, i en webbutik, alla orderbekräftelser, fakturor och leveransuppdateringar som WooCommerce har. De flesta av dessa meddelanden har ingen utformat, och ingen kontrollerar dem förrän en kund skriver och säger att ordermeddelandet aldrig kom fram.

När ett av dessa meddelanden hamnar i skräpposten bör du kontrollera hur det lämnar servern innan du ändrar formuleringarna. I WordPress används som standard det alternativ som ger sämst leveransbarhet.

01Så skickar WordPress e-post som standard

WordPress självt och nästan alla tillägg som skickar e-post, inklusive WooCommerce och formulärtillägg, använder en enda funktion, wp_mail(). Den lämnar meddelandet till PHPMailer, som som standard skickar det vidare till PHP:s mail(), som i sin tur lämnar det till det e-postprogram som finns på webbhotellets server. Ingen inloggning hos en e-postleverantör, ingen signering och ingenting i din DNS som anger att den här servern får skicka från din domän.

Avsändaradressen som väljs är wordpress@ följt av webbplatsens domän (WordPress tar bort ett inledande www.). Om du aldrig har ändrat den är det vad dina kunder ser i Från-fältet, och på många webbplatser har ingen någonsin skapat den postlådan.

På ett delat webbhotell skickas meddelandet sedan från webbhotellets server via en IP-adress som delas av många andra webbplatser. Om någon av dem skickar till en köpt lista, eller blir hackad och börjar pumpa ut spam, får adressen dåligt anseende. Dina lösenordsåterställningar skickas från samma adress som deras meddelanden.

En standardinstallation av WordPress skickar alltså e-post vars SPF inte stämmer överens med din domän. Studsadressen ligger vanligtvis kvar på webbhotellets eget servernamn, och om din adress används där i stället misslyckas SPF helt. Det finns inte heller någon DKIM-signatur för din domän, så DMARC misslyckas. Gmail och Yahoo införde sina avsändarregler i februari 2024. Microsoft gjorde samma sak i maj 2025 för domäner som skickar mer än 5 000 meddelanden per dag till Outlook.com. Sedan november 2025 har Gmail avvisat mer av den e-post som bryter mot reglerna i stället för att lägga den i skräpposten.

02Skicka via en riktig e-posttjänst

Den viktigaste åtgärden är att sluta använda mail(). Installera ett SMTP-tillägg (WP Mail SMTP, FluentSMTP och Post SMTP är vanliga alternativ, och alla har en gratisversion) och anslut det till en tjänst som skickar e-post korrekt: din egen e-postleverantör, till exempel Google Workspace eller Microsoft 365, eller en transaktionell tjänst som Amazon SES, Brevo, SendGrid eller Mailgun.

Tillägget ersätter transporten under wp_mail(), så att all e-post från alla tillägg skickas den nya vägen utan att du behöver ändra själva tilläggen. Använd leverantörens API-alternativ när tillägget har ett sådant, i stället för vanlig SMTP med lösenord. WP Mail SMTP påpekar att API-vägen fungerar även när ditt webbhotell blockerar SMTP-portar.

Många hoppar över nästa steg. Autentisera domänen hos leverantören. Varje leverantör ger dig DNS-poster som du ska publicera, vanligtvis två eller tre CNAME-poster för DKIM och en SPF-include eller en anpassad returvägsdomän. Tills dessa poster finns i din DNS använder leverantören sitt eget namn i signaturen, och DMARC misslyckas där precis som på webbhotellet.

03From-adressen i kontaktformulär

Formulärtillägg, bland annat Contact Form 7 och WPForms, låter dig välja vad som ska stå på From-raden i aviseringen du får. I många konfigurationer anges besökarens adress där, så att ett klick på Reply skickar svaret till besökaren. Det verkar smart, men det är precis detta som DMARC är utformat för att stoppa.

Anta att en besökare som heter Anna skriver från anna@yahoo.com. Din webbplats skickar då ett meddelande som påstår sig komma från yahoo.com, via en server som Yahoo aldrig har auktoriserat. yahoo.com publicerar en DMARC-policy med p=reject, så en mottagare som följer den avvisar aviseringen som förfalskad. För en Gmail-besökare är policyn mindre strikt och meddelandet hamnar oftare i skräpposten. WPForms varnar för just detta i sin dokumentation.From är du, Reply-To är besökaren

Konfigurera det så här i stället:

• From: en adress på din egen domän, till exempel forms@yourdomain.com, samma domän som ditt SMTP-tillägg är autentiserat för.
• Reply-To: besökarens adress från formulärfältet. Ett klick på Reply skickar fortfarande svaret till Anna.
• To: postlådan du faktiskt läser.

I Contact Form 7 gör du detta på fliken Mail: ange din egen adress i From och lägg till Reply-To: [your-email] under Additional headers. De andra formulärtilläggen har ett Reply-To-fält i sina aviseringsinställningar.

04WooCommerce-mejl

WooCommerce har egna avsändarinställningar: WooCommerce, sedan Settings, sedan Emails, i avsnittet Email Sender Options, med ett "From"-namn och en "From"-adress. Som standard används webbplatsens administratörsadress. Om personen som installerade butiken använde en Gmail-adress där skickas varje orderbekräftelse med gmail.com som påstådd avsändardomän och underkänns av DMARC av samma skäl som kontaktformuläret ovan. Ange i stället en adress på din autentiserade domän. Butikens namn fungerar bra som avsändarnamn. (För orderaviseringarna som skickas till dig anger WooCommerce redan kunden i Reply-To, vilket är rätt upplägg.)

Två saker kan gå fel med butiksmejl som inte gäller för ett kontaktformulär.

Det första är volymen. Om en kampanj eller ett nyhetsbrevsplugin skickar till kunder via samma kanal som orderbekräftelser blandas marknadsföringsmejl och transaktionsmejl under samma avsändarrykte. Om nyhetsbrevet får klagomål påverkas även kvittona. Genom att skicka de två typerna via olika tjänster håller du dem åtskilda. En separat underdomän för marknadsföring hjälper också lite, även om mottagarna fortfarande väger in huvuddomänens rykte.

Det andra gäller avregistrering. Orderbekräftelser och lösenordsåterställningar är transaktionsmejl, och Gmail och Yahoo kräver inte avregistrering med ett klick för dem. En begäran om omdöme, en påminnelse om en övergiven kundvagn eller ett mejl av typen "du kanske också gillar" som skickas till tidigare köpare är marknadsföring. Om du skickar sådana mejl i stora volymer gäller regeln fullt ut, vilket innebär ett List-Unsubscribe-huvud med möjlighet att avregistrera sig med ett klick. Kontrollera om tillägget som skickar dem lägger till det huvudet. Testet nedan visar det oavsett.

05DNS-delen, enkelt förklarad

Oavsett vilken tjänst du skickar via behöver din domän tre saker i DNS för att e-posten ska betraktas som betrodd. En fullständig genomgång finns i Förklaring av SPF, DKIM och DMARC. Här är vad det innebär för en WordPress-webbplats.

• SPF. En TXT-post på din domän som anger vilka som får skicka e-post åt den. Många sändningstjänster kräver ingen ändring här, eftersom de använder sin egen returdomän för anpassning. Om din tjänst kräver en include: och domänen redan har en post för din e-postleverantör ska du lägga till den i samma post. Skapa inte en andra post. Två SPF-poster är ett fel och båda slutar fungera. Kontrollera resultatet med SPF-kontrollen.
• DKIM. Posterna som du fick från din sändningstjänst. När de är aktiva signerar tjänsten varje meddelande med din domän, och det är den signaturen som DMARC letar efter.
• DMARC. En TXT-post på _dmarc.yourdomain.com. Börja med v=DMARC1; p=none; rua=mailto: och en adress som du läser. Skärp sedan policyn när rapporterna visar att ingen av dina försändelser misslyckas. DMARC-kontrollen läser den post du har.

Tänk på att webbhotellets server fortfarande kan skicka något på egen hand, till exempel ett cron-jobb eller ett gammalt tillägg som anropar mail() direkt i stället för wp_mail(). Dessa meddelanden går förbi SMTP-tillägget, och DMARC-rapporterna visar dem som en källa du inte förväntade dig.

06Testa riktiga e-postmeddelanden, inte ett testmeddelande

Varje SMTP-tillägg har en knapp för att skicka ett testmeddelande, och det enda den bevisar är att anslutningen fungerar. Den visar inte orderbekräftelsen så som WooCommerce bygger den, formuläraviseringen med dess Reply-To eller lösenordsåterställningen med länken som WordPress lägger in.

Därför låter jag WordPress skicka de riktiga meddelandena. En testadress från startsidan tar emot ett meddelande, så hämta en ny adress för varje e-postmeddelande du vill kontrollera. För formuläret anger du adressen tillfälligt som mottagare av aviseringen och skickar in formuläret. För WooCommerce lägger du en testorder med adressen som kundens e-postadress. För lösenordsåterställningen ger du en testanvändare adressen och begär en återställning. Varje meddelande får en egen rapport med SPF, DKIM och DMARC samt deras linjering, 21 blockeringslistor, innehåll och länkar samt reglerna för massutskick. För att kontrollera mappen hos Gmail, Outlook, Yahoo och andra leverantörer måste samma meddelande skickas till en lista med inkorgar och ha en markör i ämnesraden. Det går inte att göra med ett formulär eller en butiksorder, så spara den delen till e-postmeddelanden som du skickar själv.

Om du inte vill skapa testordrar manuellt skickar det kostnadsfria WordPress-tillägget dessa meddelanden via webbplatsens egen wp_mail(), samma väg som kundernas e-post tar, och visar resultatet i kontrollpanelen. Det upptäcker också när webbplatsen börjar skicka en typ av e-postmeddelande som det inte har sett tidigare.

07När det fortfarande hamnar i skräpposten

Om autentiseringen lyckas, Från-adressen finns på din domän och e-postmeddelandet ändå hamnar i skräpposten, kontrollera ryktet för den infrastruktur du skickar genom. En IP-adress för delat webbhotell som finns på en blockeringslista är en vanlig orsak när du fortfarande använder mail(), och verktyget för kontroll av blockeringslistor visar om så är fallet. Innehållet spelar en mindre roll än många tror. Ett formulärmeddelande med en enda länk och tre textrader utlöser sällan ett filter på egen hand. Ett WooCommerce-meddelande med en tung HTML-mall, en stor bild och en länkförkortare kan göra det.

Kontrollera ett meddelande, åtgärda det som rapporten visar och skicka det igen till en ny adress.