Mehrere E-Mail-Dienste auf einer Domain: SPF und DKIM richtig kombinieren

Was das bedeutet

Die meisten Unternehmen senden E-Mails von mehr als einer Stelle: einem Postfach-Anbieter (Google Workspace, Microsoft 365), einem Newsletter-Tool, einem Onlineshop, einem CRM, einem Rechnungstool oder dem Kontaktformular einer Website. Jeder davon sendet E-Mails „von“ deiner Domain, also muss jeder autorisiert und authentifiziert sein.

Die Regeln sind einfach, werden aber oft verletzt:

• SPF: Deine Domain darf nur einen SPF-Eintrag haben. Alle Absender kommen in diese eine Zeile.
• DKIM: Jeder Dienst bekommt seinen eigenen Schlüssel, gespeichert unter einem eigenen Namen (dem Selektor). Schlüssel ersetzen sich nie gegenseitig.
• DMARC: ein Eintrag für die ganze Domain, der jeden Dienst abdeckt.

Warum das wichtig ist

• Wenn für ein neues Tool ein zweiter SPF-Eintrag hinzugefügt wird, werden beide Einträge ungültig und SPF schlägt für jeden Dienst fehl.
• Ein Dienst, der nicht mit deiner Domain authentifiziert ist, besteht DMARC nicht, und seine E-Mails landen im Spam oder werden abgelehnt, sobald deine Richtlinie streng ist.
• Vergessene Absender sind der Hauptgrund, warum sich viele nie trauen, DMARC auf reject zu stellen.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF-, DMARC- und MX-Einträge zu lesen, ohne etwas zu senden.

Wiederhole den Test einmal für jeden Dienst, der E-Mails für dich sendet.

So behebst du es

1. Mach eine Bestandsaufnahme. Schreib jedes Tool auf, das mit deiner Domain E-Mails sendet: Postfach, Newsletter, Shop, Rechnungen, Support-Tool, Website. Schau in deine DMARC-Berichte, um vergessene zu finden.
2. Fasse SPF in einer Zeile zusammen. Setz jedes include: oder ip4: hinter ein einziges v=spf1 und beende die Zeile mit einem einzigen all:

   v=spf1 include:_spf.google.com include:spf.newsletter-example.com ip4:203.0.113.10 ~all

3. Achte auf die Grenze von 10 Abfragen. Jedes include: zählt als mindestens eine DNS-Abfrage, und SPF erlaubt insgesamt 10. Entferne Dienste, die du nicht mehr nutzt. Manche Tools brauchen gar kein Include mehr, sobald ihr eigener Return-Path eingerichtet ist.
4. Füge pro Dienst einen DKIM-Eintrag hinzu. Jedes Tool gibt dir einen Selektor-Namen, zum Beispiel:

   google._domainkey.yourdomain.com     TXT    (Google key)
   s1._domainkey.yourdomain.com         CNAME  (newsletter tool)
   shop._domainkey.yourdomain.com       CNAME  (online shop)

   Wenn zwei Tools denselben Selektor-Namen verlangen, wende dich an eines von ihnen: Ein Name kann nur einen Schlüssel enthalten.
5. Bestätige in jedem Tool. Klick in jedem Dienst auf „Verify“ oder „Authenticate“, sobald die Einträge veröffentlicht sind.
6. Behalte einen einzigen DMARC-Eintrag. Beginne mit p=none und einer Berichtsadresse und verschärfe ihn, sobald jeder Dienst besteht.

Tipp: Verlege Vielversender auf eine Subdomain

Wenn du viele Tools hast, sende Newsletter von news.yourdomain.com. Die Subdomain hat ihren eigenen SPF-Eintrag, so bleibt dein Haupt-SPF kurz.

Prüfe, ob es behoben ist

Starte den Domain-Scanner: Du solltest genau einen gültigen SPF-Eintrag und einen DMARC-Eintrag sehen. Sende dann von jedem Dienst eine Test-E-Mail an eine neue Delivmail-Testadresse. Jeder Bericht sollte zeigen, dass SPF oder DKIM für deine Domain besteht und DMARC besteht. Mit der DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard taucht jeder vergessene Absender in den täglichen Berichten auf.