DMARC-Tags erklärt: p, sp, pct, rua, ruf, fo, adkim, aspf

Was das bedeutet

Ein DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc.yourdomain.com. Er besteht aus Tags: kurzen Namen, gefolgt von = und einem Wert, getrennt durch Semikolons. Zum Beispiel:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r

Nur v und p sind Pflicht. Die anderen sind optional und haben Standardwerte.

Warum das wichtig ist

Ein falsches Tag kann deinen Eintrag nutzlos machen oder verhindern, dass Berichte ankommen. Ein missverstandenes Tag kann auch deine eigenen E-Mails blockieren. Wenn du weißt, was jeder Teil tut, kannst du deine Richtlinie sicher ändern.

Die Tags im Einzelnen

Pflicht

• v=DMARC1: die Version. Sie muss als Erstes stehen, genau so geschrieben.
• p: die Richtlinie für E-Mails, die bei DMARC durchfallen. none heißt nur beobachten, quarantine heißt in den Spam schicken, reject heißt die E-Mail ablehnen.

Berichte

• rua: wohin Sammelberichte (aggregate reports) gehen, tägliche Zusammenfassungen darüber, wer mit deiner Domain E-Mails gesendet hat. Beispiel: rua=mailto:dmarc@yourdomain.com. Sehr empfohlen.
• ruf: wohin Fehlerberichte (failure reports) gehen, Kopien einzelner E-Mails, die durchgefallen sind. Heute senden sie nur wenige Anbieter, und sie können personenbezogene Daten enthalten. Die meisten lassen es weg.
• fo: wann Fehlerberichte gesendet werden. 0 (Standard), wenn alles scheitert, 1, wenn irgendetwas scheitert. Nur zusammen mit ruf sinnvoll.

Geltungsbereich

• sp: die Richtlinie für Subdomains, etwa shop.yourdomain.com. Ohne dieses Tag folgen Subdomains p.
• pct: der Prozentsatz der durchgefallenen E-Mails, auf den die Richtlinie angewendet wird, von 0 bis 100 (Standard 100). Zum Beispiel stellt p=quarantine; pct=25 ein Viertel der durchgefallenen E-Mails unter Quarantäne. Nützlich für einen schrittweisen Umstieg, aber neuere DMARC-Versionen ersetzen es, also verlass dich nicht lange darauf.

Ausrichtung (Alignment)

• adkim: wie genau die DKIM-Domain zur From-Domain passen muss. r (relaxed, Standard) akzeptiert Subdomains; s (strict) verlangt eine exakte Übereinstimmung.
• aspf: dasselbe für die SPF-Domain (den Return-Path).

Lass beide auf relaxed, außer du hast einen guten Grund: Der strikte Modus macht oft Newsletter-Tools kaputt, die eine Subdomain nutzen.

So prüfst du es

• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deinen DMARC-Eintrag und seine Tags zu lesen.
• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht. Die DMARC-Zeile zeigt das Ergebnis und die angewendete Richtlinie.

Sichere Einträge für jede Phase

Am Anfang, nur beobachten:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Sobald die Berichte zeigen, dass alle deine Absender bestehen:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Voller Schutz, Subdomains eingeschlossen:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@yourdomain.com

Häufige Fehler

• mailto: vor der Berichtsadresse vergessen.
• Kommas statt Semikolons zwischen den Tags.
• Zwei DMARC-Einträge unter demselben Namen: Empfänger ignorieren beide.
• Berichte an eine andere als deine eigene Domain senden, ohne den Autorisierungseintrag, den das erfordert.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden. Starte den Domain-Scanner erneut: Der DMARC-Eintrag sollte ohne Fehler gelesen werden und die Tags zeigen, die du gesetzt hast.