DKIM, SPF und DMARC: Eine vollständige Einrichtungsanleitung

Die Kurzfassung

1. Warum drei Einträge. SPF, DKIM und DMARC beantworten jeweils eine andere Frage.
2. SPF: festlegen, wer senden darf. SPF ist ein TXT-Eintrag auf Ihrer Domain, der die Server auflistet, die E-Mails dafür senden dürfen.
3. DKIM: jede Nachricht signieren. DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu.
4. DMARC: die Richtlinie festlegen. DMARC verbindet die beiden anderen miteinander.
5. Alignment in einfachen Worten. DMARC besteht, wenn entweder SPF oder DKIM besteht und die geprüfte Domain mit der Domain in Ihrer Absenderadresse übereinstimmt.
6. Prüfen und überwachen. Senden Sie eine Testnachricht an ein Postfach, das Sie kontrollieren, und lesen Sie die Authentifizierungsergebnisse in den Headern der empfangenen Kopie.

Warum drei Einträge

SPF, DKIM und DMARC beantworten jeweils eine andere Frage. SPF fragt, ob der sendende Server für die Domain senden darf. DKIM fragt, ob die Nachricht von der Domain signiert und unterwegs nicht verändert wurde. DMARC fragt, was der Empfänger tun soll, wenn diese Prüfungen fehlschlagen, und informiert Sie darüber.

Mailbox-Anbieter erwarten heute alle drei, besonders von Absendern mit hohem Volumen. Die Veröffentlichung schützt außerdem Ihre eigene Domain davor, bei Phishing-Versuchen gefälscht zu werden.

SPF: festlegen, wer senden darf

SPF ist ein TXT-Eintrag auf Ihrer Domain, der die Server auflistet, die E-Mails dafür senden dürfen. Veröffentlichen Sie pro Domain einen SPF-Eintrag und nehmen Sie den in Ihrem MigoSMTP-Dashboard angezeigten Wert mit hinein. Das abschließende ~all kennzeichnet andere Absender als verdächtig; manche Teams wechseln später zu -all, sobald sie sicher sind, dass jeder legitime Absender aufgeführt ist.

v=spf1 include:YOUR_SPF_HOST ~all

Halten Sie den Eintrag unter zehn DNS-Abfragen. Jedes include zählt zum Limit, entfernen Sie daher Anbieter, die Sie nicht mehr nutzen. Zwei getrennte SPF-Einträge auf einer Domain sind ein Fehler und lassen SPF fehlschlagen.

DKIM: jede Nachricht signieren

DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu. Der Empfänger prüft sie anhand eines öffentlichen Schlüssels, den Sie unter einem Selector-Namen im DNS veröffentlichen. MigoSMTP nennt Ihnen die genauen Einträge, die Sie hinzufügen müssen, meist ein oder mehrere CNAME- oder TXT-Einträge.

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

Fügen Sie die Einträge genau so hinzu, wie sie in Ihrem Dashboard stehen, und prüfen Sie sie dann. Verwenden Sie für jeden Versanddienst einen eigenen Selector, damit Sie einen rotieren oder entfernen können, ohne die anderen anzufassen.

DMARC: die Richtlinie festlegen

DMARC verbindet die beiden anderen miteinander. Es teilt Empfängern mit, was sie tun sollen, wenn eine Nachricht beim Alignment von SPF und DKIM mit Ihrer sichtbaren From-Domain durchfällt, und wohin Berichte darüber gesendet werden sollen.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Beginnen Sie mit p=none und aktivierten Berichten, lesen Sie die Berichte, um alle legitimen Absender zu finden, schließen Sie die Lücken und wechseln Sie dann zu quarantine und schließlich zu reject. Der direkte Sprung zu reject kann Ihre eigenen legitimen E-Mails blockieren.

Alignment in einfachen Worten

DMARC besteht, wenn entweder SPF oder DKIM besteht und die geprüfte Domain mit der Domain in Ihrer Absenderadresse übereinstimmt. Bei DKIM ist das die Domain in der Signatur. Bei SPF ist es die Domain des Envelope-Absenders, nicht die der From-Adresse.

Deshalb ist der Versand von Ihrer eigenen Domain mit einer für diese Domain erstellten DKIM-Signatur robuster, als sich auf eine gemeinsam genutzte Domain zu verlassen. Schlagen Ihre DMARC-Prüfungen fehl, obwohl SPF und DKIM bestehen, ist meist das Alignment die Ursache.

Prüfen und überwachen

Senden Sie eine Testnachricht an ein Postfach, das Sie kontrollieren, und lesen Sie die Authentifizierungsergebnisse in den Headern der empfangenen Kopie. Sie sollten spf=pass, dkim=pass und dmarc=pass sehen. Sie können Ihre Einträge auch direkt abfragen.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

Überwachen Sie weiter. DNS-Änderungen für andere Tools können Ihre Einträge unbemerkt beschädigen, und mit der Zeit kommen neue Absender hinzu. Prüfen Sie DMARC-Berichte regelmäßig.

Häufige Fehler

Zwei SPF-Einträge veröffentlichen, mehr als zehn DNS-Abfragen verursachen, den DMARC-Eintrag auf dem falschen Hostnamen anlegen, lange TXT-Werte vom DNS-Anbieter aufteilen oder verändern lassen und Subdomains vergessen, die ebenfalls E-Mails senden.

Schlägt die Prüfung fehl, führen Sie den Authentifizierungs-Checker für die Domain aus, um zu sehen, was der Rest des Internets sieht, und warten Sie, bis sich DNS-Änderungen verbreitet haben, bevor Sie es erneut versuchen.

Weiterführende Literatur und Quellen

• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• RFC 7489: DMARC
• Google: Richtlinien für E-Mail-Absender

In MigoSMTP umsetzen: Artikel im Help-Center

• Eine Absenderdomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC
• DKIM-Schlüsselrotation, Selectors und Schlüssellänge
• Ihre Absenderdomain verifizieren: DNS-Einträge und Propagierung

Verwandte Leitfäden und Tools

• Warmup-Leitfaden: Eine neue IP sicher hochfahren.
• Leitfaden zu Mailbox-Anbietern: Was jeder Anbieter prüft.
• DMARC-Generator: Ihren Eintrag erstellen.