Ein empfangender Server stellt drei Fragen zu Ihrer Mail: Kam sie von einer Maschine, die für diese Domain senden darf, wurde sie unterwegs verändert, und was soll geschehen, wenn die Antworten nein lauten. SPF, DKIM und DMARC sind diese drei Antworten, und alle sind DNS-Einträge.

SPF - wer senden darf

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all
  • Ein SPF-Eintrag je Domain. Zwei sind ein dauerhafter Fehler und keine Zusammenführung - und der häufigste Fehler der drei.
  • Höchstens zehn DNS-Abfragen. Jedes include zählt, und die includes darin zählen ebenfalls. Über zehn ist ein Fehlschlag.
  • -all heißt ablehnen; ~all heißt als verdächtig behandeln. Beginnen Sie mit ~all und ziehen Sie es an, sobald die Berichte sauber sind.

DKIM - wurde sie verändert

dig +short selector1._domainkey.yourdomain.com TXT

Ihr Server signiert jede Nachricht; der öffentliche Schlüssel wohnt im DNS unter einem Selektor. Fehlt der Eintrag oder ist er abgeschnitten - lange Schlüssel werden oft schlecht eingefügt und gekappt -, scheitert jede Nachricht an der Prüfung.

DMARC - was mit Fehlschlägen geschehen soll

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; pct=100

Beginnen Sie bei p=none. Es ändert nichts an der Zustellung und lässt die Berichte eintreffen, die Ihnen sagen, wer in Ihrem Namen sendet. Gehen Sie auf quarantine und dann auf reject, sobald die Berichte sauber sind.

Prüfen, was Sie tatsächlich haben

dig +short yourdomain.com TXT | grep spf1
dig +short _dmarc.yourdomain.com TXT
# then send a message to a checker and read the headers it returns

Alignment: der Teil, über den man stolpert

DMARC verlangt, dass die sichtbare From-Domain zu der Domain passt, die SPF oder DKIM bestanden hat. Über einen Dritten mit dessen Bounce-Domain zu senden besteht SPF und scheitert trotzdem an DMARC, weil das Alignment nicht stimmt. Richten Sie den Versender mit Ihrer eigenen Domain ein, oder verlassen Sie sich auf ein DKIM, das mit Ihrer signiert ist.

Landet die Mail trotz aller drei bestandenen Prüfungen im Spam, siehe Mail landet im Spam und Reverse DNS für einen Mailserver.