So funktioniert die Prüfung
Unser Server fragt den öffentlichen Resolver von Cloudflare nach den MX- und TXT-Einträgen der Domain, dem TXT-Eintrag bei _dmarc, DKIM-Schlüsseln, den Adressen der ersten sechs Mailserver und den SPF-Einträgen jedes Includes, bis zu 20 davon. Er verbindet sich nie mit den Mailservern. Jeder Eintrag wird dann nach den Regeln seines Standards gelesen: SPF (RFC 7208), DMARC (RFC 7489) und DKIM (RFC 6376).
SPF legt fest, welche Server senden dürfen, DKIM signiert jede Nachricht, und DMARC verknüpft beides mit dem Absender im Feld From, den Menschen sehen, und sagt Empfängern, was zu tun ist, wenn beides fehlschlägt. Große Postfachanbieter prüfen alle drei, daher landen E-Mails einer Domain ohne sie oft im Spam.
Beispiel
Ein Shop unter example.com versendet E-Mails über Google Workspace und einen Newsletter-Dienst. Sein SPF-Eintrag lautet „v=spf1 include:_spf.google.com include:servers.mcsv.net ~all“: zwei Includes, jeweils eine DNS-Abfrage, plus das, was sie selbst einbinden, weit unter 10. Sein DMARC-Eintrag lautet „v=DMARC1; p=none; rua=mailto:[email protected]“, daher kommen Berichte an, aber gefälschte E-Mails werden weiterhin zugestellt. Nach einigen Wochen mit Berichten, die nur die eigenen E-Mails zeigen, ändert der Shop p=none in p=quarantine.
Fragen
Was ist ein MX-Eintrag?
Ein MX-Eintrag nennt einen Server, der E-Mails für eine Domain empfängt, mit einer Prioritätszahl. Absender versuchen zuerst die niedrigste Zahl. Eine Domain kann mehrere MX-Einträge als Ersatz oder zur Lastverteilung haben; gibt es keinen, versuchen Absender die eigene Adresse der Domain.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF listet die Server auf, die für eine Domain senden dürfen. DKIM fügt jeder Nachricht eine Signatur hinzu, die Empfänger mit einem öffentlichen Schlüssel im DNS prüfen. DMARC verlangt, dass mindestens eines von beiden für die Domain in der From-Adresse besteht, und legt fest, was Empfänger mit durchfallenden E-Mails tun sollen: nichts, in den Spam-Ordner oder ablehnen.
Was bedeutet p=none bei DMARC?
p=none bedeutet nur beobachten: Empfänger senden Berichte an die Adresse rua, stellen durchfallende E-Mails aber wie gewohnt zu. Es ist der richtige erste Schritt, um zu sehen, welche Dienste E-Mails im Namen Ihrer Domain senden. Wechseln Sie zu p=quarantine und dann zu p=reject, sobald die Berichte zeigen, dass Ihre eigenen E-Mails bestehen.
Was ist das SPF-Limit von 10 DNS-Abfragen?
Die Prüfung eines SPF-Eintrags darf höchstens 10 DNS-Abfragen kosten. Jedes include, a, mx, ptr, exists und redirect zählt als eine, auch die innerhalb eingebundener Einträge. Über 10 brechen Empfänger mit einem dauerhaften Fehler ab, und SPF schlägt für Ihre gesamte E-Mail fehl. Entfernen Sie Includes, die Sie nicht mehr nutzen, oder ersetzen Sie eines durch die ip4- und ip6-Bereiche, für die es steht.
Sollte SPF auf ~all oder -all enden?
Beides schützt die Domain. -all sagt Empfängern, E-Mails von nicht aufgeführten Servern abzulehnen; ~all sagt ihnen, sie anzunehmen, aber als verdächtig zu behandeln. Mit DMARC folgen Empfänger ohnehin der DMARC-Richtlinie, daher ist ~all die übliche Wahl; -all passt zu einer Domain, die gar keine E-Mails sendet.