SPF, DKIM und DMARC je Versandweg prüfen
Prüfen Sie den tatsächlichen Mailversand Ihrer Anwendung. Ein konstruiertes Beispiel trennt DNS-Freigabe, Signatur und Zuordnung zur Absenderdomain.
Wenn eine Anwendung E-Mails über einen externen Dienst verschickt, reicht der Blick auf die Firmenadresse im Mailprogramm nicht aus. Erfassen Sie den tatsächlichen Versandweg und prüfen Sie eine freigegebene Testnachricht am vorgesehenen Empfangspunkt. DNS-Einträge und Nachrichtenprüfung beantworten unterschiedliche Fragen.
Mit einem konkreten Versandweg beginnen
Im erfundenen Entwurf sendet ein Kundenportal Statusmeldungen. Im sichtbaren Absender steht hinweis@firma.example; der externe Dienst verwendet versand.example als Domain für den SMTP-Absender und seine Signatur. Die Namen dienen nur diesem Entwurf. Es wurde keine Nachricht verschickt und kein DNS-Eintrag abgefragt.
Klären Sie zunächst, welche Anwendung die Mail auslöst, welcher Dienst sie überträgt und wer dessen Domainkonfiguration betreut. Erfassen Sie weitere Wege getrennt, etwa Benachrichtigungen aus einem Supportsystem. Die Konfiguration eines Dienstes belegt nicht die eines anderen.
DNS und tatsächliche Nachricht zusammen prüfen
SPF beschreibt die berechtigten Server für SMTP-Identitäten. Ordnen Sie den veröffentlichten Eintrag der tatsächlich verwendeten SMTP-Domain zu. Ein vorhandener TXT-Eintrag allein ist noch kein erfolgreicher Befund für den konkreten Versandweg.
DKIM verbindet signierte Nachrichtenteile mit der Signierdomain. Prüfen Sie deshalb auch, ob der Versanddienst tatsächlich signiert und die Signatur am vorgesehenen Empfangspunkt gültig ist. Die Bereitstellung eines öffentlichen Schlüssels im DNS bestätigt dies nicht allein. Berücksichtigen Sie Dienste, die die Nachricht nach der Signierung bearbeiten.
DMARC verlangt eine erfolgreiche SPF- oder DKIM-Prüfung mit passender Domainzuordnung zum sichtbaren Absender. Diese Zuordnung heißt Alignment. Ermitteln Sie daher auch den anwendbaren DMARC-Eintrag und die dort vorgesehenen Alignment-Bedingungen.
Einen positiven Einzelbefund richtig bewerten
Die folgende Tabelle enthält bewusst konstruierte Annahmen für denselben Entwurf, keine gemessenen Ergebnisse.
Prüfschritt | Angenommener Befund | Bedeutung für die Freigabe |
|---|---|---|
SPF | Der sendende Server ist für die SMTP-Domain des Dienstes berechtigt. | Belegt diese Domainberechtigung, noch nicht die sichtbare Firmenadresse. |
DKIM | Die Nachricht trägt eine gültige Signatur der Dienst-Domain. | Belegt diese Signatur, noch nicht das erforderliche Alignment. |
DMARC | Ein anwendbarer Eintrag besteht; weder die SPF- noch die DKIM-Domain ist zur sichtbaren Absenderdomain passend zugeordnet. | Die beiden positiven Einzelbefunde ergeben für diese Annahmen keinen erfolgreichen DMARC-Befund. |
Für eine Freigabe muss der konkrete Dienst eine passende Domainkonfiguration und den zugehörigen Versand unterstützen. Welche Änderung dafür nötig ist, hängt vom Dienst ab. Einen beliebigen bestehenden DNS-Eintrag zu kopieren oder eine Richtlinie vorschnell auf Ablehnung zu stellen, löst das Zuordnungsproblem nicht.
Den kontrollierten Versand als Nachweis festhalten
Dokumentieren Sie für den Test den Versandweg, die verwendeten Domains, die geprüfte Nachricht und die Ergebnisse. Bei Verarbeitung über weitere Dienste braucht auch dieser Weg einen passenden Prüffall. Wiederholen Sie die Prüfung nach Änderungen an Dienst, Domain oder Nachrichtenverarbeitung.
Google behandelt Authentifizierung als Teil seiner Versandanforderungen. Selbst der erfolgreiche technische Prüffall belegt weder die Ablage im Posteingang noch das Lesen. Halten Sie die Empfangsbeobachtung separat fest und benennen Sie, wer fehlgeschlagene Prüfungen und Zustellrückmeldungen bearbeitet.
Quellen
Weiterlesen
Alle Beiträge
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.