Kontaktformular-E-Mails, die „von“ der Adresse des Besuchers gesendet werden

Was das bedeutet

Viele Kontakt-, Buchungs- oder Angebotsformulare auf Websites sind so eingerichtet, dass sie dir eine E-Mail schicken, die aussieht, als käme sie vom Besucher: Füllt Anna das Formular mit anna@gmail.com aus, kommt die E-Mail mit „From: anna@gmail.com“ an.

Tatsächlich wird die E-Mail aber vom Server deiner Website gesendet, nicht von Gmail. Für den empfangenden Server sieht genau so eine gefälschte E-Mail aus:

• SPF scheitert: Dein Webserver darf nicht für gmail.com senden.
• DKIM kann nicht für gmail.com signiert werden.
• DMARC scheitert, und gmail.com, yahoo.com oder outlook.com veröffentlichen strikte DMARC-Richtlinien, also wird die E-Mail abgelehnt oder landet im Spam.

Warum das wichtig ist

• Du verlierst echte Nachrichten von Kunden, ohne es zu merken.
• Die Reputation deines Webservers sinkt, weil er ständig E-Mails sendet, die gefälscht aussehen.
• Automatische Antworten, die „von“ Besuchern gesendet werden, können sogar missbraucht werden, um über dein Formular Spam zu verschicken.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Sende die E-Mail hier über dein Formular: Trag deine Delivmail-Testadresse in den Formulareinstellungen als Empfänger ein oder vorübergehend als deine Benachrichtigungsadresse. Der Bericht zeigt die Absender-Domain (From) und ob SPF, DKIM und DMARC für sie bestehen.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um den SPF-Eintrag zu prüfen, in dem der Versandserver deiner Website stehen muss.

So behebst du es

Die Regel

Die Absenderadresse (From) muss immer deine sein. Die Adresse des Besuchers gehört in Reply-To. Wenn du auf „Antworten“ klickst, antwortet dein Mailprogramm automatisch dem Besucher.

From: Website <forms@yourdomain.com>
Reply-To: anna@gmail.com
Subject: New contact request from Anna

Schritte

1. Öffne die Einstellungen deines Formulars. In WordPress-Plugins (Contact Form 7, WPForms, Gravity Forms…) such nach „E-Mail“ oder „Benachrichtigungen“. In eigenem Code such nach der Zeile, die den From-Header setzt.
2. Setz From auf eine Adresse deiner Domain, etwa forms@yourdomain.com oder noreply@yourdomain.com.
3. Setz Reply-To auf das E-Mail-Feld des Formulars. Die meisten Plugins bieten dafür einen Platzhalter wie [your-email] oder {field:email}.
4. Sende über einen authentifizierten Server. Am besten per SMTP über deinen echten Postfach-Anbieter oder einen Transaktions-E-Mail-Dienst, mit SPF und DKIM für deine Domain. Ein einfaches PHP-mail() auf Shared Hosting hat oft keins von beiden.
5. Schick keine Bestätigungs-E-Mails an beliebige Adressen, die ein Besucher eintippt, ohne Schutz (Captcha, Ratenbegrenzung), sonst nutzen Spammer dein Formular, um andere Leute zu erreichen.

Prüfe, ob es behoben ist

Füll dein Formular mit deiner Delivmail-Testadresse als Ziel aus. Der Bericht sollte deine eigene Domain in From zeigen, mit bestandenem SPF, DKIM und DMARC. Klick dann bei einer echten Formular-E-Mail auf „Antworten“, um zu bestätigen, dass die Antwort an den Besucher geht.