E-Mail-Header selbst lesen: Authentication-Results, Received und DKIM-Signature

Was das bedeutet

Jede E-Mail enthält versteckte Zeilen, die Header heißen. Sie halten fest, woher die Nachricht kam, welche Server sie bearbeitet haben und welche Prüfungen der Empfänger durchgeführt hat. Du siehst nur Von, An, Betreff und Datum; der Rest ist versteckt, lässt sich aber leicht anzeigen.

Warum das wichtig ist

• Wenn eine E-Mail im Spam landet, zeigen die Header oft, warum: ein fehlgeschlagenes SPF, eine kaputte DKIM-Signatur, ein fehlgeschlagenes DMARC.
• Die Support-Teams der Anbieter verlangen „die vollständigen Header“, bevor sie dir helfen können.
• Du kannst jede E-Mail prüfen, die du bekommst, auch gefälschte, die mit deiner Domain gesendet wurden.

So prüfst du es

Delivmail liest diese Header für dich: Kopiere auf der Startseite (/) deine Testadresse, schick ihr eine E-Mail, und der Bericht erklärt SPF, DKIM und DMARC in einfachen Worten. So liest du sie selbst in deinem eigenen Postfach:

• Gmail: Öffne die E-Mail, klick auf die drei Punkte und wähle „Original anzeigen“.
• Outlook: Öffne die E-Mail, nutze das Menü mit den drei Punkten und such nach „Nachrichtenquelle anzeigen“ oder „Nachrichtendetails anzeigen“.
• Apple Mail und Thunderbird: Such nach „Rohquelle“ oder „Quelltext anzeigen“.

So behebst du es

Das Lesen der Header behebt von allein nichts, aber es sagt dir genau, was du beheben musst. Such nach diesen drei Headern.

1. Authentication-Results

Wird vom empfangenden Server hinzugefügt. Das ist das Urteil:

Authentication-Results: mx.google.com;
  dkim=pass header.d=yourdomain.com header.s=s1;
  spf=pass smtp.mailfrom=bounces.yourdomain.com;
  dmarc=pass header.from=yourdomain.com

• spf= zeigt das Ergebnis und welche Domain geprüft wurde (smtp.mailfrom).
• dkim= zeigt das Ergebnis und welche Domain signiert hat (header.d).
• dmarc= besteht nur, wenn eine dieser Domains zu deiner Absender-Domain passt.

Wenn header.d oder smtp.mailfrom die Domain deines Anbieters statt deiner eigenen zeigen, authentifiziere deine Domain bei diesem Anbieter.

2. Received

Jeder Server fügt eine Received-Zeile über den anderen hinzu. Lies sie von unten nach oben: Die unterste ist der erste Server, meist dein Anbieter oder dein eigener Server. Hier findest du die Versand-IP-Adresse, nützlich, um Blacklists unter /blacklists zu prüfen, und Verzögerungen zwischen zwei Stationen.

3. DKIM-Signature

Wird vom Absender hinzugefügt. Zwei Teile sind wichtig:

• d=: die signierende Domain. Das sollte deine Domain sein.
• s=: der Selektor. Der Schlüssel ist unter s._domainkey.d veröffentlicht, zum Beispiel s1._domainkey.yourdomain.com.

Gar keine DKIM-Signature heißt, dass die E-Mail nicht signiert wurde: Schalte DKIM in deinem Versanddienst ein.

Vorsicht bei alten oder gefälschten Zeilen

Vertraue nur der Authentication-Results-Zeile, die dein eigener Postfach-Anbieter hinzugefügt hat (der obersten). Weiter unten stehende Zeilen können von früheren Servern stammen oder von Spammern gefälscht sein.

Prüfe, ob es behoben ist

Sende nach dem Ändern deiner Einstellungen eine neue E-Mail an dich selbst und an eine frische Delivmail-Testadresse. In den Headern sollten spf, dkim und dmarc alle pass mit deiner Domain zeigen, und der Delivmail-Bericht sollte dasselbe sagen.