Meng E-Maile landen am Spam: SPF, DKIM an DMARC an der Reiefolleg

D’Resultat am Header vun der Noriicht liesen

All E-Mail-Service, deen eng E-Mail kritt, kontrolléiert, wou se hierkënnt, a schreift d’Resultat an den Header vun der Noriicht. Fir et ze liesen, schéckt eng E-Mail vun Ärer professioneller Adress un eng Gmail-Adress, maacht se op, a klickt niewent „Antworten“ op Dreipunkt-Menü an duerno op „Original anzeigen“ (d’Formuléierunge vu Gmail op Däitsch). Sicht d’Zeil Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@meng-domain.com header.s=google;
       spf=pass (google.com: domain of kontakt@meng-domain.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@meng-domain.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=meng-domain.com

Dës dräi Astellunge sinn ongläich verbreet. Vun de 1.730 Domaine vu KMU, déi Post kréien, aus eiser monatlecher Erhiewung, publizéieren 96 % en SPF, an 71 % hu keng DMARC-Politik, déi op d’Resultat wierkt.

1. SPF: d’Lëscht vun den erlaabte Serveren

SPF ass eng TXT-Entrée um Root vum Domain. Si fänkt mat v=spf1 un, nennt d’Serveren, déi fir den Domain verschécken däerfen, an hält um Schluss fest, wat vun allen aneren ze halen ass. Déi zwee meescht verbreeten E-Mail-Servicer publizéieren de Wäert, deen Dir benotzt:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

All anere Service, deen mat Ärem Domain verschéckt, kënnt an déi selwecht Entrée: Newsletter-Tool, Fakturatiounssoftware, CRM, an de Server vun Ärer Websäit, wann hir Formulairen selwer verschécken. All Service seet a senger Dokumentatioun, wéi en include: derbäikënnt; e Server gëtt mat senger Adress deklaréiert, mat ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Eng eenzeg SPF-Entrée pro Domain. Zwou Entréeën, déi mat v=spf1 ufänken, maachen SPF ongëlteg (permerror): fusionéiert se zu enger.
• Héchstens zéng DNS-Ufroen. All include, a, mx, ptr, exists a redirect zielt, och déi, déi an den include stiechen. Iwwer zéng ass SPF ongëlteg. ip4 an ip6 zielen net.
• D’Enn vun der Entrée. -all erkläert all anere Server fir net erlaabt, ~all markéiert en, ouni en fir illegitim z’erklären. Google proposéiert ~all a senger Dokumentatioun, Microsoft -all. Soubal DMARC a Kraaft ass, entscheet seng Politik, wat mat enger Noriicht geschitt, déi duerchfält.

2. DKIM: d’Signatur vun all Noriicht

DKIM setzt eng Signatur op all Noriicht, déi den E-Mail-Service vum Empfänger mat engem ëffentleche Schlëssel kontrolléiert, deen an Ärem DNS publizéiert ass, ënner engem Numm vun der Form selektor._domainkey.meng-domain.com. D’Signatur gëtt beim Service generéiert, deen d’Noriicht verschéckt; Är Roll ass et, de Schlëssel ze publizéieren, deen en Iech gëtt.

• Google Workspace: an der Admin-Konsole, Dreistrich-Menü > Apps > Google Workspace > Gmail > „E-Mail authentifizieren“, an duerno „Neuen Eintrag erstellen“ (d’Formuléierunge vun der däitscher Versioun). De Standard-Selektor ass google, a Google recommandéiert e Schlëssel vun 2.048 Bit. Publizéiert d’TXT-Entrée google._domainkey, a klickt duerno op „Authentifizierung starten“.
• Microsoft 365: am Microsoft Defender-Portal, op der Säit „E-Mail-Authentifizierungseinstellungen“, Registerkaart DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM baut do op zwou CNAME-Entréeën, selector1._domainkey a selector2._domainkey, deenen hir genee Wäerter de Portal fir Äre Domain weist: kopéiert se sou, wéi se sinn, an aktivéiert duerno d’Signatur.
• Déi aner Servicer (Newsletter, Fakturatioun, CRM) hunn all eng Säit fir d’Authentifikatioun vum Domain, déi hir eege DKIM-Entréeë gëtt.

Gmail akzeptéiert Schlësselen ab 1.024 Bit; 2.048 Bit ass d’Längt, déi de Standard recommandéiert. Rechent mat bis zu 48 Stonnen, bis de publizéierte Schlëssel iwwerall siichtbar ass.

3. DMARC: d’Instruktioun un d’E-Mail-Servicer

DMARC verbënnt SPF an DKIM mat der Adress, déi den Empfänger gesäit, där am Feld From. Eng Noriicht besteet DMARC, wann SPF oder DKIM fir den Domain vun dëser Adress gëlteg ass: dat ass d’Alignement. D’Entrée seet och, wat mat enger Noriicht geschitt, déi duerchfält, a wouhin d’Rapporte geschéckt ginn.

v=DMARC1; p=none; rua=mailto:dmarc@meng-domain.com

1. Publizéiert p=none mat enger Adress rua. Déi grouss E-Mail-Servicer schécken do all Dag en aggregéierte Rapport hin, e kompriméierte XML-Fichier, deen d’Serveren oplëscht, déi mat Ärem Domain verschéckt hunn, an hiert Resultat.
2. Liest d’Rapporten zwou bis véier Woche laang. All legitim Quell, déi duerchfält (e vergiessent Newsletter-Tool, d’Fakturatiounssoftware), gëtt an SPF oder DKIM korrigéiert.
3. Gitt op p=quarantine, an no e puer Wochen ouni Verloscht op p=reject. Wann Är Equipen op Mailinglëschte schreiwen, bleift bei quarantine: de Standard rät vu reject fir esou Domainen of, well d’Lëschten d’Noriichten änneren, déi se weiderverdeelen.

Méi al Guiden proposéieren eng lues Steigerung mat dem Tag pct. Déi aktuell Versioun vum DMARC-Standard, den RFC 9989, deen am Mee 2026 publizéiert gouf, erkennt en net méi: d’Steigerung geschitt iwwer d’Politik selwer.

De Fall vum Kontaktformulaire

Vill Formulairen op Websäite verschécken d’Noriicht mat der Adress vum Besicher als Ofsender. De Server vun der Websäit huet keng Autorisatioun iwwer den Domain vun dësem Besicher: SPF an DKIM kënnen net alignéiert sinn, an DMARC fält duerch. Wann den E-Mail-Service vum Besicher eng strikt Politik publizéiert (yahoo.com publizéiert p=reject), gëtt d’Noriicht refuséiert oder am Spam aklasséiert, ier se bei Iech ukënnt.

• Ofsender: eng Adress vun Ärem Domain, zum Beispill formulaire@meng-domain.com.
• Äntwert un (Reply-To): d’Adress vum Besicher, fir datt de Knäppchen Äntwerten him direkt schreift.
• Versand: iwwer en authentifizéierte SMTP-Kont vun Ärem E-Mail-Service, deen am SPF deklaréiert an iwwer DKIM signéiert ass, amplaz iwwer d’Standard-Versandfunktioun vum Server.

Wann alles duerchgeet an d’Noriicht trotzdem am Spam landt

• D’Blocklëschten: d’Tool vu Spamhaus, https://check.spamhaus.org/, kontrolléiert gratis eng IP-Adress oder en Domain.
• Déi ëmgedréint DNS-Entrée: Gmail verlaangt vun allen Ofsender e Versandserver, deem seng IP-Adress e gëltegen ëmgedréinten Numm (PTR) huet, deen och erëm op dës Adress weist. Bei engem E-Mail-Service ass dat schonn erleedegt; op engem Server, deen Dir selwer geréiert, ass et nozekucken.
• Massenversand: iwwer ongeféier 5.000 Noriichten pro Dag un Gmail-Adresse verlaangt Google SPF an DKIM, DMARC op mannst op p=none, d’Alignement, d’Ofmeldung mat engem Klick, an e gemellte Spam-Taux ënner 0,3 %. Zanter November 2025 refuséiert Gmail en Deel vun den Noriichten, déi dës Reegelen net respektéieren. Yahoo applizéiert ähnlech Ufuerderungen, ouni e Schwellwäert ze publizéieren, an Outlook.com refuséiert zanter dem 5. Mee 2025 d’Noriichte vun Domainen, déi méi wéi 5.000 Noriichten pro Dag ouni SPF, DKIM an DMARC verschécken.
• Google Postmaster Tools (postmaster.google.com) weist de Ruff vun Ärem Domain an de Spam-Taux bei Gmail, soubal den Domain iwwer eng DNS-Entrée bestätegt ass. D’Tabelle ginn ab engem genuch héije Versandvolumen ausgefëllt.