Kurze Antwort
SPF legt fest, welche Server E-Mails für Ihre Domain senden dürfen, DKIM fügt eine Signatur hinzu, die Manipulation erkennbar macht, und DMARC verknüpft beides mit der angezeigten Absenderadresse und bestimmt, was Empfänger bei Fehlern tun. DMARC besteht, wenn SPF oder DKIM im Alignment mit der From-Domain besteht. Gmail, Yahoo und Outlook.com erwarten alle drei von Absendern mit hohem Volumen.
Was prüft jeder Standard?
| Standard | Prüft | Liegt in | Schlägt fehl, wenn |
|---|---|---|---|
| SPF (RFC 7208) | Der sendende Server steht auf Ihrer Liste erlaubter Server | TXT-Eintrag Ihrer Domain | Ein Absender fehlt oder es gibt mehr als 10 DNS-Abfragen |
| DKIM (RFC 6376) | Die Signatur passt zu einem öffentlichen Schlüssel | TXT unter selector._domainkey | Nachricht verändert, falscher Schlüssel oder keine Signatur für Ihre Domain |
| DMARC | SPF oder DKIM bestanden für eine zur From-Adresse passende Domain | TXT unter _dmarc | Keines von beiden besteht im Alignment |
Wie führen Sie die Standards ein?
- Veröffentlichen Sie genau einen SPF-Eintrag, der alle Dienste abdeckt, die in Ihrem Domainnamen senden.
- Richten Sie DKIM bei jedem Anbieter ein und nutzen Sie die Authentifizierung mit eigener Domain, damit die Signatur Ihre Domain trägt.
- Veröffentlichen Sie DMARC mit p=none und einer rua-Adresse für Berichte.
- Beheben Sie die in den Berichten gezeigten Fehler und wechseln Sie dann zu p=quarantine und p=reject.
Was verlangen die Mailbox-Anbieter?
- Google: SPF oder DKIM für alle Absender; SPF, DKIM und DMARC für Massenversender mit mehr als 5.000 Nachrichten pro Tag an Gmail.
- Yahoo: Authentifizierung für alle Absender, bei Massenversendern zusätzlich DMARC und Abmeldung mit einem Klick.
- Microsoft: SPF und DKIM müssen bestehen und DMARC mindestens p=none bei Domains mit über 5.000 E-Mails pro Tag.
- Die aktuelle DMARC-Referenz ist RFC 9989, die RFC 7489 ablöst.