SPF, DKIM und DMARC prüfen: Ergebnisse, Fehler und Lösungen

Drei Prüfungen mit unterschiedlichen Aufgaben

SPF-Ergebnisse verstehen

Der SPF-Check bewertet zunächst den veröffentlichten Record. Beim tatsächlichen Mailversand prüft der Empfänger zusätzlich die sendende IP-Adresse und die für SPF verwendete Domain.

• pass: Die Quelle ist laut SPF autorisiert.
• fail: Die Quelle ist nicht autorisiert und der Record endet entsprechend streng.
• softfail: Die Quelle ist wahrscheinlich nicht autorisiert; das Ergebnis allein verlangt keine Ablehnung.
• neutral: Der Domaininhaber trifft keine Aussage zur Quelle.
• none: Es wurde keine anwendbare SPF-Richtlinie gefunden.
• temperror: Vorübergehender DNS- oder Verarbeitungsfehler; später erneut prüfen.
• permerror: Dauerhafter Syntax- oder Auswertungsfehler, etwa mehrere SPF-Records oder ein überschrittenes Lookup-Limit.

DKIM-Ergebnisse verstehen

Der DKIM-Check ruft den öffentlichen Schlüssel für einen konkreten Selector ab. Bei einer echten Nachricht vergleicht der Empfänger zusätzlich Signatur und signierte Inhalte.

• pass: Signatur und öffentlicher Schlüssel passen.
• fail: Signatur ungültig, Schlüssel unpassend oder signierter Inhalt verändert.
• none: Keine auswertbare DKIM-Signatur vorhanden.
• temperror: Schlüssel konnte vorübergehend nicht geladen oder verarbeitet werden.
• permerror: Dauerhafter Format-, Selector- oder Schlüsselproblem.

Kontrolliere bei Fehlern die Parameter d= für die signierende Domain und s= für den Selector. Mehrere Signaturen sind möglich; DMARC betrachtet nur ausgerichtete, bestandene Signaturen.

DMARC und Alignment

Der DMARC-Check zeigt die veröffentlichte Richtlinie. Das Ergebnis einer Nachricht hängt zusätzlich von SPF, DKIM und Alignment ab. DMARC besteht, wenn mindestens einer dieser Wege erfolgreich und ausgerichtet ist:

• SPF besteht und seine geprüfte Domain passt zur sichtbaren From-Domain.
• DKIM besteht und die Domain unter d= passt zur sichtbaren From-Domain.

Im entspannten Modus darf eine Subdomain derselben organisatorischen Domain genügen. Im strikten Modus muss die Domain exakt übereinstimmen. Die Tags aspf und adkim steuern diese Auswahl.

Was p=none, quarantine und reject bedeuten

• p=none: DMARC wird ausgewertet, der Domaininhaber fordert aber keine besondere Behandlung fehlgeschlagener Nachrichten.
• p=quarantine: Empfänger sollen fehlerhafte Nachrichten verdächtig behandeln, häufig im Spamordner.
• p=reject: Empfänger sollen Nachrichten mit fehlgeschlagenem DMARC ablehnen.

Die Richtlinie ist eine Anweisung des Domaininhabers, keine Garantie für eine identische Behandlung bei jedem Empfänger. Beginne mit Berichten, erfasse alle legitimen Versandquellen und verschärfe die Richtlinie kontrolliert.

Authentication-Results lesen

Im Header zeigt Authentication-Results, welche Prüfungen der empfangende Server durchgeführt hat. Suche nach SPF-, DKIM- und DMARC-Ergebnis, den jeweils bewerteten Domains und ergänzenden Gründen. Vertraue primär den Headern, die dein empfangender Maildienst selbst hinzugefügt hat; vorgeschaltete oder vom Absender mitgelieferte Felder sind nicht automatisch vertrauenswürdig.

Typische Kombinationen

Fehler systematisch beheben

1. Neue Testnachricht an ein externes Postfach senden.
2. Vollständigen Header öffnen und Ergebnisse dokumentieren.
3. Öffentliche Records mit den drei Checks kontrollieren.
4. Alle legitimen Versanddienste erfassen.
5. SPF zusammenführen, ohne das Lookup-Limit zu überschreiten.
6. DKIM pro Dienst aktivieren und Selector prüfen.
7. Alignment herstellen und erst danach DMARC verschärfen.

Authentifizierung mit einer echten Testmail nachvollziehen

Ein DNS-Check bewertet die veröffentlichten Records. Eine Testmail zeigt ergänzend, welche Identitäten beim tatsächlichen Versand verwendet werden und ob SPF, DKIM und DMARC einschließlich Alignment bestehen.

Häufige Fragen

Passende Anleitungen

• Zustellprobleme und Spamursachen systematisch prüfen
• TXT-Records für SPF, DKIM und DMARC verstehen
• DKIM Schritt für Schritt einrichten