SPF, DKIM und DMARC: Einträge, Alignment und Zustellung

Mit den tatsächlichen Nachrichtenidentitäten beginnen

Die sichtbare From-Adresse ist nicht unbedingt die SPF-Identität. SPF prüft normalerweise die Domain des SMTP-Umschlagabsenders; DKIM verwendet d= als Signaturdomain und s= als Selektor. DMARC prüft das Alignment mit der sichtbaren From-Domain: Eine erfolgreiche, ausgerichtete SPF- oder DKIM-Prüfung kann die Authentifizierung erfüllen. Nutzen Sie die Originalheader einer Nachricht aus einem Postfach unter Ihrer Kontrolle.

Die richtigen DNS-Namen abfragen

Ersetzen Sie example.com und selector1 durch die Angaben Ihres Mailanbieters. Die drei Beispielbefehle setzen voraus, dass die Domains übereinstimmen; fragen Sie bei Abweichungen jede tatsächliche Domain separat ab. dig benötigt ein Paket mit DNS-Werkzeugen. Ohne Selektor versucht unser Tool nicht, DKIM-Einträge zu finden.

dig +short TXT example.com
dig +short TXT selector1._domainkey.example.com
dig +short TXT _dmarc.example.com

Befunde innerhalb der Prüfgrenzen lesen

check.uk.app untersucht nur den eingegebenen Hostnamen. Es löst keine SPF-include-Ketten auf, wendet keine DMARC-Vererbung der übergeordneten Domain an, prüft keine Nachrichtensignaturen und testet kein Alignment. Ein fehlender _dmarc-Eintrag an einer Subdomain belegt daher nicht, dass keine DMARC-Richtlinie gilt.

Mehrere SPF-Einträge mit v=spf1 unter demselben Namen sind ein Konfigurationsfehler; andere TXT-Einträge sind erlaubt. Mehrere Zeichenfolgen in Anführungszeichen innerhalb eines TXT-Eintrags sind nicht mehrere SPF-Einträge. Bei DKIM widerruft ein leeres p= den Schlüssel; ein veröffentlichter Schlüssel allein belegt keine korrekte Signierung ausgehender Nachrichten.

Einträge anhand der Anbieterangaben ändern

Erfassen Sie vor einer SPF-Änderung alle legitimen Absender. Pflegen Sie einen SPF-Eintrag pro geprüfter Domain und berücksichtigen Sie das DNS-Abfragelimit des Standards. Veröffentlichen Sie DKIM genau wie für den Selektor ausgegeben; ersetzen Sie aktiv genutzte Schlüssel nicht blind.

Beginnen Sie DMARC-Änderungen mit der Beobachtung und Analyse legitimer Versandquellen. p=none fordert weder Quarantäne noch Ablehnung durch DMARC an, garantiert aber keinen Posteingang. Richten Sie ein eigenes Postfach für Berichte ein und bestätigen Sie erforderliche Genehmigungen für externe Berichte. Verschärfen Sie die Richtlinie erst nach der Alignment-Prüfung.

Zustellung über DNS hinaus untersuchen

Suchen Sie bei einer fehlenden Registrierungsmail das Anwendungsereignis, den Warteschlangeneintrag und die SMTP-Antwort zum selben Zeitpunkt. Eine SMTP-Annahme belegt keine Zustellung im Posteingang. Prüfen Sie Rückläufer, Spamordner und vertrauenswürdige Authentication-Results des empfangenden Anbieters. Vertrauen Sie keinen beliebigen vom Absender eingefügten Authentifizierungsheadern.

Sichern Sie vor Änderungen die DNS-Werte und TTLs. Prüfen Sie nach der Veröffentlichung autoritative und rekursive Antworten und senden Sie eine kontrollierte Nachricht an Ihr eigenes Postfach. Vergleichen Sie die Authentifizierung vorher und nachher; DNS-Caches können Änderungen verzögern. Stellen Sie die Einträge wieder her, wenn legitime Absender scheitern. check.uk.app versendet bei diesem Test keine E-Mails.