Kommt die Firmenpost überhaupt im Posteingang an?
Über das meiste entscheiden vier DNS-Einträge. Fügen Sie Ihre Domain ein und sehen Sie, was Empfänger sehen: welche Server in Ihrem Namen senden dürfen, was mit Mails passiert, die die Prüfung nicht bestehen, und ob Ihre Signaturen überhaupt existieren.
Welche DNS-Einträge dieser Check liest und wie das Urteil gezählt wird.
Die eingegebene Domain geht an unseren Server, der öffentliche DNS-Einträge über den DNS-over-HTTPS-Resolver von Cloudflare abfragt. Er fragt die MX-Einträge ab, die TXT-Einträge der Domain (gesucht wird einer, der mit v=spf1 beginnt), den TXT-Eintrag unter _dmarc vor der Domain sowie TXT-Einträge unter zwölf gängigen DKIM-Selektoren: default, google, selector1, selector2, k1, s1, s2, mail, dkim, zoho, mandrill und pm. Sie können auch eine vollständige E-Mail-Adresse oder eine URL einfügen, der Domain-Teil wird daraus entnommen. Es wird keine Nachricht verschickt und kein Postfach kontaktiert. Eine angegebene E-Mail-Adresse wird mit Domain und Urteil gespeichert.
Das Urteil ist eine Zählung von Problemen. Als je ein Problem zählt: kein MX-Eintrag, kein SPF-Eintrag, mehr als ein SPF-Eintrag, ein SPF-Eintrag mit ?all oder +all, kein DMARC-Eintrag, eine DMARC-Richtlinie none und kein DKIM-Schlüssel unter einem der zwölf Selektoren. Null Probleme ergeben Sieht gut aus, ein oder zwei ergeben Sollte behoben werden, drei oder mehr ergeben Post geht verloren. Ein SPF-Eintrag, der auf ~all endet oder gar keinen all-Term hat, wird in seiner Zeile beschrieben, zählt aber nicht gegen das Urteil. Die DKIM-Zeile nennt die Selektoren, unter denen ein Schlüssel gefunden wurde.
Einiges Wichtige liegt außerhalb von DNS. Der Check folgt keinen include-Ketten in SPF und zählt keine Abfragen gegen die Grenze von zehn, er prüft nicht, ob ein veröffentlichter DKIM-Schlüssel zu den Signaturen Ihrer Mails passt, und er testet nicht das DMARC-Alignment zwischen der sichtbaren From-Domain und der signierenden Domain. Aus dem DMARC-Eintrag liest er nur das p-Tag, nicht die Subdomain-Richtlinie und nicht den Prozentwert. Absenderreputation, Sperrlisten und Nachrichteninhalt sind nicht Teil der Prüfung. Eine leere DKIM-Zeile kann lediglich einen eigenen Selektor bedeuten: Öffnen Sie die Header einer von Ihnen gesendeten Nachricht und suchen Sie s= in der Zeile DKIM-Signature.
- Was ist der Unterschied zwischen SPF, DKIM und DMARC?
- SPF ist ein DNS-Eintrag mit den Servern, die für eine Domain Mails senden dürfen. DKIM versieht jede Nachricht mit einer kryptografischen Signatur, die Empfänger mit einem im DNS veröffentlichten öffentlichen Schlüssel prüfen. DMARC bindet beides an die Adresse im From-Header und sagt Empfängern, was geschehen soll, wenn keines von beiden passend zu ihr besteht: nichts, Quarantäne oder Ablehnung. Außerdem nennt es eine Adresse für Sammelberichte.
- Warum landen meine E-Mails im Spam?
- Die üblichen Ursachen sind fehlende oder fehlschlagende Authentifizierung (SPF, DKIM, DMARC), eine sendende Adresse oder Domain mit schlechter Reputation, ein plötzlicher Anstieg des Volumens von einer neuen Domain, Empfänger, die frühere Nachrichten als Spam markiert haben, und Inhalte oder Links, die Filter mit Missbrauch verbinden. Bei der Authentifizierung fängt man an, weil große Postfachanbieter sie von Massenversendern erwarten und sie ganz in Ihrer Hand liegt.
- Soll ein SPF-Eintrag auf ~all oder -all enden?
- Ein Ende auf -all bittet Empfänger, Mails von nicht gelisteten Servern durchfallen zu lassen; ~all kennzeichnet sie als Softfail, der meist angenommen, aber misstrauischer behandelt wird. Wo eine DMARC-Richtlinie veröffentlicht ist, werten Empfänger DMARC zusätzlich zu beiden Ergebnissen aus, der Unterschied wiegt dann weniger. Ein üblicher Weg ist ~all, solange geprüft wird, ob jeder legitime Absender gelistet ist, und danach der Wechsel zu -all.
Wenn eine Prüfung nicht die ganze Arbeit ist.
Der Inbox-Desk beantwortet, was dort landet, und der Outreach-Guard stellt sicher, dass Ausgehendes diese Checks auch besteht.