SPF, DKIM und DMARC richtig einrichten

Was jeder Eintrag macht

• SPF legt fest, welche Server E-Mails für deine Domain versenden dürfen.
• DKIM fügt eine Signatur hinzu, die belegt, dass eine Nachricht nicht verändert wurde und von deiner Domain stammt.
• DMARC sagt empfangenden Servern, was sie tun sollen, wenn eine Nachricht die Prüfung nicht besteht, und schickt dir Berichte.

Prüfe zuerst mit dem Email DNS Checker, welche der drei Einträge Handlungsbedarf haben. Google und Yahoo verlangen diese Einträge mittlerweile von Massenversendern. Fehlen sie, kann das die Zustellung beeinträchtigen.

SPF beheben

SPF ist ein einzelner TXT-Eintrag auf deiner Hauptdomain. Er listet jeden Dienst auf, der deine E-Mails verschickt:

v=spf1 include:_spf.google.com ~all

Verwende den include-Wert, den dir dein Anbieter nennt. Typische Fehler sind:

• Zwei SPF-Einträge. Eine Domain darf nur einen haben. Führe sie zusammen: v=spf1 include:_spf.google.com include:sendgrid.net ~all.
• Zu viele Abfragen. SPF erlaubt 10 DNS-Abfragen. Jedes include zählt mit, ebenso alles, was darin verschachtelt ist. Entferne Dienste, die du nicht mehr nutzt.
• Ein vergessener Absender. Newsletter, Rechnungen und Kontaktformulare werden oft über andere Dienste verschickt. Trage jeden einzelnen ein.

DKIM beheben

DKIM schreibst du nicht selbst. Dein E-Mail-Anbieter erzeugt einen Schlüssel, und du veröffentlichst ihn unter einer Adresse wie dieser:

selector._domainkey.example.com

Finde die DKIM-Einstellung im Admin-Bereich deines Anbieters, kopiere den Eintrag, den er dir gibt, und aktiviere dort die Signierung. Wenn ein Check meldet, dass DKIM fehlt, braucht es vielleicht nur den richtigen Selector, und der ist je nach Anbieter unterschiedlich. Zur Kontrolle schickst du dir selbst eine E-Mail und liest ihre Header mit dem Email Header Analyzer. Achte auf dkim=pass.

DMARC beheben

Lege einen TXT-Eintrag unter _dmarc.example.com an. Starte im Überwachungsmodus, der an der Zustellung nichts ändert:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Steigere die Strenge schrittweise, sobald die Berichte zeigen, dass deine echten E-Mails die Prüfung bestehen:

1. p=none: Beobachte die Berichte ein paar Wochen lang.
2. p=quarantine: Fehlgeschlagene E-Mails landen im Spam.
3. p=reject: Fehlgeschlagene E-Mails werden abgelehnt.

Spring nicht direkt zu p=reject. Wenn ein Dienst, den du nutzt, noch nicht durch SPF und DKIM abgedeckt ist, verschwinden seine E-Mails.

Ergebnis prüfen

DNS-Änderungen brauchen manchmal Zeit, bis sie sich verbreitet haben. Prüfe deshalb zuerst mit dem DNS Propagation Checker und führe danach den Email DNS Checker erneut aus. Für den abschließenden Test schickst du eine echte E-Mail und prüfst in ihren Headern, ob SPF, DKIM und DMARC alle bestehen.