CAN-SPAM 法案详解：邮件营销的合规要求、罚款与检查清单
依据 FTC 官方指南，讲清 CAN-SPAM 对商业邮件的要求、罚款标准、商业邮件与交易邮件的区别，附检查清单，并对比 GDPR 和 CASL。
只要你给美国的收件人发营销邮件，就要遵守 CAN-SPAM 法案。不管你是两个人经营的 Shopify 小店，还是有上百万用户的 SaaS 公司，也不管收件人是个人消费者还是企业，这部法律都适用。它为每一封商业邮件定了规矩，每一封违规邮件都可能被单独罚款。
好在 CAN-SPAM 并不难遵守。这篇指南依据美国联邦贸易委员会（FTC）发布的官方文件 CAN-SPAM Act: A Compliance Guide for Business，讲清楚法律要求什么、哪些邮件受管、罚款多少，最后给出一份检查清单。文末还会把 CAN-SPAM 和欧盟（GDPR 与 ePrivacy 指令）、加拿大（CASL）更严格的「先同意」规则做个对比。
CAN-SPAM 法案是什么？
CAN-SPAM 全称是「Controlling the Assault of Non-Solicited Pornography And Marketing」，是美国 2003 年通过的联邦法律，由 FTC 负责执法。按 FTC 的说法，它为商业邮件设定规则、规定商业信息必须满足的要求、赋予收件人要求你停止发信的权利，并对违规行为规定了严厉的处罚。
有两点常让人意外：
- 它不只管群发。 FTC 的指南写明，这部法律覆盖「所有商业信息」，不仅仅是批量邮件。给一个人发的一封推销邮件也算。
- B2B 不例外。 发给企业邮箱的邮件同样要合规。
还要知道 CAN-SPAM *不*要求什么：和下文的欧盟、加拿大法律不同，它不要求你在发第一封营销邮件之前取得对方许可。它是「退订制（opt-out）」：你可以发，但要如实表明身份，对方要求停止时就必须停止。不过实际操作中你仍然需要征得同意，因为 Gmail、Yahoo 和 Outlook 会看投诉率，而从没订阅过你的人最容易点「垃圾邮件」。这些规则见 Gmail、Yahoo 和 Outlook 发件人要求。
CAN-SPAM 的各项要求
FTC 合规指南列出了主要要求，下面用大白话逐条说明。
1. 邮件头信息不能虚假或误导
发件人（From）、收件人（To）、回复地址（Reply-To）以及路由信息（包括发信域名和邮箱地址）必须准确，并且能识别出发信的个人或公司。
举个例子：如果你的品牌叫 Northwind Coffee，发件人写成 Northwind Coffee <[email protected]> 没问题；但一封促销邮件把发件人名写成「你的银行」或「订单更新」，就不行。
2. 主题行不能误导
主题行必须反映邮件的真实内容。反面例子：主题写着「你的退款已处理」，打开却是促销公告。「本周末冷萃咖啡 8 折」这样的主题就既真实又合规。
3. 表明这是广告
你必须清楚、显著地表明这封邮件是广告。FTC 说法律在形式上给了很大空间，没有规定必须用哪句话。常见做法是让品牌和优惠一目了然，一看就知道是促销。
4. 告诉收件人你在哪里
每封商业邮件都必须包含有效的实际邮寄地址。FTC 说明，可以是你当前的街道地址、在美国邮政局（USPS）登记的邮政信箱，或在商业邮件代收机构登记的私人信箱。大多数发件人把它放在邮件页脚。
5. 告诉收件人如何退订
邮件里必须清楚、显著地说明如何不再接收你的邮件，普通人要能一眼认出、读懂。你可以提供选项菜单，比如「少发一点」或「只收新品通知」，但 FTC 要求菜单里必须有「停止接收所有营销邮件」这一项。
FTC 还特别指出，订阅用户和会员同样有权退订你的营销邮件。仅凭会员关系，并不能让一封促销邮件变成交易邮件。
另外，别让你的垃圾邮件过滤器拦截退订回复或退订请求。
6. 及时处理退订
这一条的数字最明确：
- 退订机制在邮件发出后至少 30 天内必须能正常处理请求。
- 收到退订请求后，必须在 10 个工作日内生效。
- 不能收费，除了邮箱地址不能要求对方提供其他个人信息，也不能要求对方做回复邮件或访问一个网页以外的任何操作。
- 对方退订后，你不能出售或转让他的邮箱地址（哪怕是作为名单的一部分），除非是交给你雇来协助合规的公司。
Gmail 和 Yahoo 的实际要求更严：它们希望批量发件人在大约两天内处理退订，并支持一键退订邮件头。
7. 盯紧替你发信的人
责任无法通过合同转嫁。如果你请代理商、联盟推广方或邮件平台替你发信，被推广产品的公司和实际发信的公司都可能承担法律责任。
特殊规定：色情内容
含有色情内容的邮件，主题行必须以「SEXUALLY-EXPLICIT:」开头，并遵守 FTC 指南中的额外格式要求。
商业邮件与交易邮件：CAN-SPAM 管哪些邮件？
CAN-SPAM 按邮件的主要目的（primary purpose）来区分。FTC 把邮件内容分成三类：
- 商业内容：宣传或推广商业产品或服务，包括以商业为目的运营的网站上的内容。
- 交易或关系内容：协助完成对方已同意的交易，或就进行中的交易向客户提供更新。
- 其他内容：两者都不是，比如纯粹的信息通知。
主要目的是商业的，就要遵守上面全部规则；主要目的是交易或关系的，基本可以豁免，但依然不能有虚假或误导性的路由信息。
哪些算交易或关系邮件
按 FTC 的说法，只有当邮件仅仅包含以下内容时，才算交易或关系邮件：
- 协助或确认收件人已同意的商业交易；
- 就收件人购买的产品或服务提供保修、召回、安全或安保信息；
- 就会员、订阅等持续关系，通知条款或功能变更，或提供账户余额信息；
- 提供雇佣关系或员工福利方面的信息；
- 按收件人已同意的交易交付商品或服务。
FTC 还强调，这几类要从严解释。订单确认、发货通知、密码重置、账单邮件通常符合；「好久不见」邮件、带选品推荐的简报、促销公告都不符合。
混合型邮件怎么判断
现实中很多邮件是混合的，比如订单确认里带一块「你可能还喜欢」。FTC 指南给出的判断方法是：
- 邮件同时含有商业内容和交易内容时，如果收件人合理理解主题行后很可能认为它在推销产品或服务，或者交易内容没有主要出现在邮件开头，就视为商业邮件。
- 邮件同时含有商业内容和其他（非交易）内容时，满足上面的主题行标准，或者收件人合理理解正文后很可能认为它的主要目的是商业推广，就视为商业邮件。考量因素包括商业内容出现的位置、占的篇幅，以及颜色、图片、字号和样式是否在突出它。
举个例子：一封收据，主题是「你的订单 #1042 已确认」，开头就是订单明细，底部有一小块「凑齐一套」推荐，大概率仍属交易邮件。同样的收据，如果主题改成「谢谢！下单再享 75 折」，订单明细上方还压着一张大促销横幅，就很可能被视为商业邮件，需要退订链接等全部要素。这些灰色地带在 交易邮件和营销邮件的区别 里有更详细的讨论。
CAN-SPAM 的罚款
FTC 指南写明，每一封违规邮件都可能被处以最高 53,088 美元的罚款。这个上限会随通胀不时调整，以 FTC 指南上的当前数字为准。如上文所说，同一封邮件可能有不止一方要承担责任。
指南还提到，抓取邮箱地址、字典攻击、用虚假信息注册账户或域名、未经许可通过他人电脑中转垃圾邮件等行为，可能被额外罚款，甚至承担刑事责任（包括监禁）。
FTC 还可以依据《FTC 法》第 19 条为消费者寻求补偿。
由于罚款按封计算，数字涨得很快。一次发给几千人的违规活动，就是几千次独立违规。
CAN-SPAM 合规检查清单
每次发营销活动或上线新的自动化流程前，对照检查一遍。
| 检查项 | 看什么 |
|---|---|
| 发件人和回复地址 | 真实品牌名，用你自己的域名 |
| 路由信息 | 通过已配置 SPF、DKIM、DMARC 的通道发送 |
| 主题行 | 与内容一致，不用假的「Re:」或「订单更新」 |
| 广告标识 | 一看就是你品牌的促销 |
| 邮寄地址 | 有效的街道地址、登记过的邮政信箱或私人信箱 |
| 退订 | 退订链接醒目，有「停止所有营销邮件」选项 |
| 退订时效 | 10 个工作日内生效（为满足 Gmail 和 Yahoo，争取 2 天内） |
| 退订有效期 | 链接在发出后至少 30 天可用 |
| 屏蔽名单 | 已退订地址不再导入、出售或分享 |
| 外包方 | 替你发信的代理和平台遵守同样规则 |
| 交易邮件 | 交易信息放最前面，促销内容少而次要 |
两个让合规更省事的习惯：所有工具共用一份屏蔽名单（包括单独的冷邮件工具），并检查导入的 CSV 里有没有在别处已退订的人。域名认证也能保证路由信息准确，见 SPF、DKIM 和 DMARC 详解。
CAN-SPAM 与 GDPR、ePrivacy、CASL 的对比
如果你有美国以外的订阅者，CAN-SPAM 只是底线，不是上限。欧盟、英国和加拿大都是先同意：一般来说，发营销邮件前需要先获得许可。下面是一个概括性的对比。
| CAN-SPAM（美国） | 欧盟：GDPR + ePrivacy | CASL（加拿大） | |
|---|---|---|---|
| 模式 | 退订制 | 同意制，老客户有窄例外 | 同意制（明示或默示同意） |
| 退订 | 10 个工作日内生效 | 每封邮件都能退订，提出即停 | 10 个工作日内生效 |
| 发件人信息 | 邮寄地址、真实邮件头 | 身份与隐私信息 | 名称、联系方式、邮寄地址 |
| 最高罚款 | 每封 53,088 美元（FTC） | GDPR 最高 2,000 万欧元或全球营业额 4% | 企业每次违规 1,000 万加元 |
欧盟：GDPR 与 ePrivacy 指令
在欧盟，两部法律配合起作用：
- ePrivacy 指令（Directive 2002/58/EC）第 13 条规定，用于直接营销的电子邮件只能发给事先同意的人。第 13(2) 条有一个例外：企业在销售过程中获得客户邮箱的，可以向其推广自家的类似产品或服务，前提是收集地址时以及之后每封邮件里，客户都有清楚、免费的退订机会。各成员国通过本国法律落实该指令，细节有差异。
- GDPR（Regulation (EU) 2016/679）管的是个人数据本身。同意必须是自由给出、具体、知情且明确的，而且你要能证明。个人对直接营销享有绝对的反对权，一旦提出，你必须停止。最严重的违规可被处以最高 2,000 万欧元或全球年营业额 4% 的罚款，以较高者为准。
英国的对应法规是 PECR，逻辑相同。英国监管机构 ICO 把老客户例外称为 「soft opt-in」，并说明它不适用于购买来的名单，也不适用于从未在你这里买过东西的潜在客户。
加拿大：CASL
加拿大反垃圾邮件法（CASL）适用于发往或发自加拿大计算机系统的商业电子信息。根据法律条文：
- 你需要同意：明示同意，或特定情形下的默示同意。基于现有业务关系的默示同意，覆盖发信前两年内的购买，或前六个月内的咨询或申请。
- 每封邮件都要表明发件人身份，联系方式在发出后至少 60 天内有效。
- 每封邮件都要有退订机制，退订请求须在 10 个工作日内生效。
- 行政罚款上限为每次违规个人 100 万加元、其他主体 1,000 万加元。
CASL 也列出了一些免于同意要求的信息类型，比如对方主动索要的报价、确认交易的信息，但这些信息仍需表明发件人身份并提供退订机制。
名单混合多国用户时的实用做法
如果你的名单覆盖多个国家，最省心的做法是：对所有人都征得同意，记录每个人何时、以何种方式同意，并让退订即时生效。这样既满足 CAN-SPAM，在 GDPR 和 CASL 下也站得住。征得同意的注册方式见 如何增长邮件名单。
EterMail 能帮上什么
EterMail 是我们自己的产品，一个 AI 邮件营销平台。它不能单凭自己让谁合规，但把几项检查做进了发送流程：营销活动在可以审批之前，会检查发信域名是否已验证、邮寄地址是否已填写，没有邮寄地址就无法发送。每封营销邮件都会自动带上包含该地址和退订链接的页脚。每封营销邮件都带一键退订，发送那一刻会再次核对订阅状态，每条订阅都记录了来源和时间。详见 EterMail 是什么。
常见问题
CAN-SPAM 要求发营销邮件前先取得同意吗？
不要求。CAN-SPAM 是退订制：只要遵守它的规则，并停止给退订的人发信，就可以在没有事先许可的情况下发送商业邮件。欧盟、英国和加拿大不同，一般要求先同意。邮箱服务商也会通过投诉率惩罚不受欢迎的邮件，所以征得同意仍然是更好的做法。
违反 CAN-SPAM 会被罚多少钱？
根据 FTC 合规指南，每一封违规邮件最高可罚 53,088 美元。同一封邮件可能有不止一家公司要负责，比如被推广的品牌和实际发信的公司。抓取邮箱地址等加重违规行为，还可能承担刑事责任。
CAN-SPAM 适用于 B2B 邮件吗？
适用。FTC 明确说这部法律对企业之间的邮件没有例外。发到公司邮箱的销售邮件，和发给消费者的一样，要有邮寄地址和退订方式等全部要素。
退订请求要多快处理？
按 CAN-SPAM，退订须在 10 个工作日内生效，退订机制在邮件发出后至少 30 天内保持可用。Gmail 和 Yahoo 希望批量发件人在大约两天内处理退订，所以实际操作中越快越好。
交易邮件需要退订链接吗？
在 CAN-SPAM 下，主要目的是交易或关系的邮件，比如收据、发货通知、密码重置，基本可以豁免，但不能有误导性的路由信息。如果你加的促销内容多到让邮件变成了商业邮件，就要遵守全部规则，包括退订。Gmail 的一键退订要求也只针对营销和促销邮件。