Return-Path, Envelope-Absender und From: Warum sie zu deiner Domain passen müssen

Was das bedeutet

Eine E-Mail ist ein bisschen wie ein Brief in einem Umschlag. Sie hat zwei Absenderadressen:

• Die From-Adresse, auf den Brief gedruckt. Sie ist das, was der Leser sieht, zum Beispiel news@yourdomain.com.
• Der Envelope-Absender, auf den Umschlag geschrieben. Ihn nutzen Server, vor allem um Bounces (Benachrichtigungen über nicht zugestellte E-Mails) zurückzuschicken. Nach der Zustellung wird er im Header Return-Path gespeichert. Er heißt auch „MAIL FROM“ oder „Bounce-Adresse“.

Die beiden können unterschiedlich sein. Newsletter-Tools nutzen oft ihren eigenen Envelope-Absender, etwa bounce-123@mail.sendingtool.com, damit sie Bounces für dich verarbeiten können.

Warum das wichtig ist

• SPF prüft den Envelope-Absender, nicht das From. Wenn der Return-Path auf der Domain des Tools liegt, besteht SPF für das Tool, nicht für dich.
• DMARC prüft das From. Es besteht nur, wenn SPF für eine Domain besteht, die zur From-Domain passt, oder DKIM für eine Domain besteht, die zu ihr passt. Das nennt man Alignment (Ausrichtung).
• Mit dem Return-Path eines Tools und der eigenen DKIM-Signatur des Tools ist also alles „bestanden“, aber DMARC scheitert für deine Domain.

So prüfst du es

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht. Vergleiche im Authentifizierungsabschnitt die von SPF geprüfte Domain, die DKIM-Signaturdomain (d=) und die From-Domain. Der Bericht zeigt, ob jede davon ausgerichtet ist. Sieh dir im Abschnitt „Raw headers“ die Zeile Return-Path an.

Return-Path: <bounce-123@mail.sendingtool.com>   (not aligned)
Return-Path: <bounces@mail.yourdomain.com>       (aligned)
From: News <news@yourdomain.com>

Eine Subdomain deiner Domain, wie mail.yourdomain.com, gilt im standardmäßigen „relaxed“-Modus als ausgerichtet.

So behebst du es

1. Richte zuerst DKIM mit deiner eigenen Domain ein. Such in jedem Versand-Tool nach „Domain-Authentifizierung“ oder „Custom DKIM“. Füge die Einträge hinzu, die es dir gibt. Ausgerichtetes DKIM reicht, damit DMARC besteht, und es übersteht Weiterleitungen besser als SPF.
2. Richte einen eigenen Return-Path ein, wenn dein Tool das anbietet. Das heißt oft „Custom Bounce Domain“, „Custom MAIL FROM“ oder „Return-Path-Domain“. Meist fügst du einen CNAME-Eintrag wie bounces.yourdomain.com hinzu, der auf das Tool zeigt.
3. Bei deinem eigenen Server stell sicher, dass der Envelope-Absender deine Domain nutzt und dass die IP-Adresse des Servers in deinem SPF-Eintrag steht.
4. Bei Website-Formularen und Skripten setz den Envelope-Absender ausdrücklich. Viele Webhoster nutzen einen Standardwert wie user@server123.host.com. In PHP mail steuert das der Parameter -f oder die Einstellung „Sender“ der Bibliothek.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Sende eine neue Test-E-Mail über die Startseite über dasselbe Tool. Der Bericht sollte DKIM für deine Domain als bestanden und ausgerichtet zeigen, idealerweise auch SPF als ausgerichtet, und DMARC als bestanden.