DMARC

DMARC teilt empfangenden Servern mit, was zu tun ist, wenn eine Nachricht, die von deiner Domain zu stammen vorgibt, die SPF- und DKIM-Übereinstimmung nicht besteht, und wohin Reports geschickt werden sollen. Gmail und Yahoo verlangen es von allen, die in größeren Mengen senden, und es schützt deine Domain vor Spoofing.

SpacePost liefert mit jeder Domain einen empfohlenen Start-Eintrag:

Typ	Name	Wert
TXT	_dmarc	v=DMARC1; p=none;

Für die Verifizierung ist er nicht erforderlich, aber lege ihn trotzdem an.

So funktioniert die Übereinstimmung mit SpacePost

• DKIM: Nachrichten werden über deine drei Easy-DKIM-CNAMEs mit d=acme.com signiert. Das stimmt mit From: hello@acme.com überein.
• SPF: Der Envelope-Absender (Return-Path) ist send.acme.com, eine Subdomain deiner From-Domain, daher stimmt SPF im Relaxed-Modus überein. Deshalb sind die MX- und TXT-Einträge für send wichtig.

Es genügt, wenn eines von beiden übereinstimmt, damit DMARC besteht; beide zu haben ist am robustesten.

Richtlinien

Richtlinie	Wirkung	Wann
p=none	Nur beobachten. Nichts wird blockiert.	Beginne hier.
p=quarantine	E-Mails, die durchfallen, landen im Spam.	Wenn die Reports einige Wochen lang sauber sind.
p=reject	E-Mails, die durchfallen, werden abgelehnt.	Voller Schutz.

Ein typischer Verlauf mit Reporting:

v=DMARC1; p=none; rua=mailto:dmarc@acme.com; fo=1;
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@acme.com;
v=DMARC1; p=reject; rua=mailto:dmarc@acme.com;

rua gibt an, wohin aggregierte XML-Reports gehen. Nutze einen DMARC-Reporting-Dienst, um sie zu lesen.

Achtung

Bevor du zu quarantine oder reject wechselst, stelle sicher, dass jedes System, das als deine Domain sendet (dein Marketing-Tool, Support-Desk, CRM), korrekt ausgerichtet ist. Sonst blockierst du deine eigenen E-Mails.

Subdomains

Ein _dmarc-Eintrag auf acme.com gilt auch für Subdomains, sofern du nicht sp= hinzufügst. Wenn du von mail.acme.com sendest, kannst du einen separaten Eintrag _dmarc.mail veröffentlichen.