KaiMail の公開登録ページは 2 段階の確認フローを採用している。訪問者がアドレスを入力して「登録する」を押し、その後メール内のリンクをクリックし、最後にウェブページ上の登録の確定ボタンを押す。
他社のサービスの多くは、メール内のリンクをクリックした時点で登録を確定させる。私たちはそうしない。その理由を説明する。
Microsoft Defender for Office 365 の Safe Links、Proofpoint、Barracuda など、企業向けメールセキュリティ製品は受信したメッセージ内の URL をすべて取得して危険性を検査する。しかも多くは配信時点で実行する。人間がメールを開くよりも前だ。
もしページを開いただけで登録が確定する設計なら、スキャナが購読者の代わりに確定してしまう。結果として、誰も同意していない「確認済み」アドレスがリストに載る。ダブルオプトインが防ごうとしていたのは、まさにこれである。
確認ページでボタンを押すことを必須にしておけば、自動取得ロボットがそのページに到達しても何も起きない。ロボットはページを見るだけで、ボタンは押さない。
フローは以下の通りだ:
[email protected] から、kaimail.net のキーで DKIM 署名済み）ステップ 6 が決定的な違いだ。スキャナはステップ 5 までを取得できるが、ステップ 6 を完了することはできない。
確認トークンは 48 時間で失効する。これも同じ目的だ。永久に有効な確認トークンは、転送され、アーカイブされ、8 か月後に「これは何だったっけ」という人にクリックされる。
トークンが失効することで古いリンクは機能しなくなり、購読者は再度登録ページにアクセスして新しいトークンを取得する必要がある。
ダブルオプトインは同意の確認だけではない。誰かがあなたのメルマガを迷惑メール報告した日に手元に残る記録であり、認証済みのメールが迷惑メールフォルダに落ちない理由の大きな部分でもある。
購読者がリンクを機械にクリックされただけでなく、ボタンを押して明示的にアドレスを確認している場合、あなたには意図の証明が残る。ISP があなたの送信元評価を判断する際、その証明が効いてくる。
詳しい話は公開登録ページのリリース記事を参照。