Wie funktioniert DMARC?
DMARC funktioniert im Zusammenspiel mit SPF und DKIM. Damit kann der E-Mail-Absender angeben, dass seine Nachrichten durch SPF und/oder DKIM geschützt sind, und einem empfangenden Mailserver mitteilen, wie er reagieren soll, wenn keine dieser Authentifizierungsmethoden erfolgreich ist, zum Beispiel die Nachricht abzulehnen oder unter Quarantäne zu stellen. Die Richtlinie kann außerdem einen Berichtsmechanismus bereitstellen, über den der E-Mail-Empfänger dem Absender Nachrichten meldet, die die DMARC-Prüfung bestehen und/oder nicht bestehen.
Bestehen von SPF vs. DMARC
DMARC prüft nicht einfach, ob SPF oder DKIM bestanden wurde. Es prüft, ob eine der beiden Methoden für dieselbe Domain validiert wurde, die deine Kunden in der Absenderadresse sehen. Das nennt man Alignment.
SPF wird anhand der technischen Rücksendeadresse der Nachricht geprüft, nicht anhand der Absenderadresse. Wenn Regiondo über Amazon SES in deinem Namen sendet, gehört diese Rücksendeadresse Amazon. SPF wird daher für eine Amazon-Domain validiert und nicht für deine eigene. Deshalb können deine Berichte zeigen, dass SPF und DKIM für Amazon-Domains bestanden wurden, während DMARC für deine Domain trotzdem fehlschlägt.
Wie du DMARC für deine eigene Domain zum Bestehen bringst, erfährst du im Abschnitt Authentifizierung auf Domain-Ebene einrichten.
1. Amazon SES zu deinem SPF-Eintrag hinzufügen
In diesem Abschnitt erfährst du, wie du Amazon SES in deinem eigenen SPF-Eintrag autorisierst. Dadurch verbesserst du die Zustellbarkeit der E-Mails, die Regiondo in deinem Namen versendet.
So fügst du Amazon SES Schritt für Schritt zu deinem SPF-Eintrag hinzu:
1.1. DNS-Einstellungen aufrufen
Melde dich im Dashboard deines DNS-Hosting-Anbieters an. Wenn du deine DNS-Einstellungen nicht selbst verwaltest, wende dich bitte an dein Hosting- bzw. Webmaster-Unternehmen.
1.2. TXT-DNS-Eintrag bearbeiten
Suche in deinen DNS-Einstellungen nach dem DNS-Eintragstyp TXT. Hier musst du einen Eintrag hinzufügen oder bearbeiten.
1.3. Informationen unter Wert aktualisieren
Füge deinem aktuellen Eintrag Folgendes hinzu: include:amazonses.com
Wenn dein aktueller Eintrag zum Beispiel so aussieht:yourdomain.com. 0 IN TXT "v=spf1 mx include:mx.yourmailprovider.com include:spf.yourmailservice.com ~all"
Solltest du ihn wie folgt aktualisieren:yourdomain.com. 0 IN TXT "v=spf1 mx include:mx.yourmailprovider.com include:spf.yourmailservice.com include:amazonses.com ~all"
Hinweis:
Der letzte Teil des Eintrags lautet in der Regel ~all. Das ist ein Softfail: Wenn die SPF-Prüfung fehlschlägt, sollte der empfangende Server die Nachricht trotzdem annehmen, sie aber markieren.
Ändere dies nicht in eine Einstellung, bei der jeder Absender die Prüfung besteht, wie zum Beispiel ?all. Damit entfällt der Schutz, den SPF bieten soll, und es hilft auch nicht dabei, dass deine E-Mails im Posteingang ankommen.
1.4. Eintrag speichern und überprüfen
Sobald du den TXT-Eintrag aktualisiert hast, speichere deine Änderungen. Beachte, dass es einige Zeit dauern kann, bis sich DNS-Änderungen im Internet verbreitet haben.
2. Authentifizierung auf Domain-Ebene einrichten
Damit DMARC für deine eigene Domain bestanden wird, müssen deine E-Mails für diese Domain authentifiziert werden und nicht für eine Amazon-Domain. Regiondo kann dies für dich einrichten. Die DNS-Einträge werden von Amazon SES ausschließlich für deine Domain generiert und können daher nicht in diesem Artikel aufgeführt werden. Unser Team sendet sie dir stattdessen zu.
Du erhältst die folgenden Einträge:
3 CNAME-Einträge (DKIM): Damit werden deine E-Mails mit deiner eigenen Domain signiert.
1 MX-Eintrag und 1 TXT-Eintrag für eine benutzerdefinierte MAIL-FROM-Subdomain, zum Beispiel regiondo.yourdomain.com: Damit stimmt SPF mit deiner Domain überein.
2.1. Support kontaktieren
Kontaktiere unser Support-Team und bitte um die Authentifizierung auf Domain-Ebene für die Domain, von der du E-Mails versendest.
2.2. DNS-Einträge erhalten
Unser Team sendet dir die für deine Domain generierten Einträge zu.
2.3. Einträge zu deinem DNS hinzufügen
Melde dich im Dashboard deines DNS-Hosting-Anbieters an und füge die Einträge genau so hinzu, wie sie dir bereitgestellt wurden. Wenn du deine DNS-Einstellungen nicht selbst verwaltest, leite die Einträge bitte an dein Hosting- bzw. Webmaster-Unternehmen weiter.
Hinweis:
Ändere die Einträge in keiner Weise. Schon eine kleine Abweichung führt dazu, dass die Authentifizierungsprüfung fehlschlägt.
2.4. Support informieren
Sobald die Einträge hinzugefügt sind, gib unserem Support-Team Bescheid. Es kann bis zu 72 Stunden dauern, bis sich DNS-Änderungen verbreitet haben. Danach sendet unser Team eine E-Mail aus deinem Dashboard erneut an eine Testadresse, um zu bestätigen, dass alle Signaturen bestanden werden.
Zusammenfassung
DMARC, SPF und DKIM sind wesentliche Bestandteile der E-Mail-Sicherheit und Zustellbarkeit. Wenn du Amazon SES zu deinem SPF-Eintrag hinzufügst, autorisierst du Regiondo, in deinem Namen zu senden, und erhöhst die Wahrscheinlichkeit, dass deine E-Mails die vorgesehenen Empfänger erreichen. Damit DMARC für deine eigene Domain bestanden wird, zum Beispiel wenn deine Domain eine Quarantäne- oder Ablehnungsrichtlinie verwendet, kontaktiere den Support, um die Authentifizierung auf Domain-Ebene einzurichten.