E-Mail-Authentifizierung für Subdomains

Was das bedeutet

Eine Subdomain ist ein Name unter deiner Domain, wie news.yourdomain.com oder mail.yourdomain.com. Firmen nutzen sie, um Newsletter, Shop-E-Mails oder Support-Tools von ihren Haupt-E-Mails zu trennen.

Jeder E-Mail-Eintrag verhält sich bei Subdomains anders:

• SPF wird nicht vererbt. Das SPF von yourdomain.com deckt news.yourdomain.com nicht ab. Eine Subdomain, die sendet, braucht ihren eigenen SPF-Eintrag.
• DKIM-Schlüssel liegen unter der signierenden Domain: selector._domainkey.news.yourdomain.com, wenn die E-Mail für die Subdomain signiert wird.
• DMARC wird vererbt. Hat eine Subdomain keinen DMARC-Eintrag, nutzen Empfänger den der Hauptdomain. Sein Tag sp= legt die Richtlinie für Subdomains fest; ohne ihn gilt p= auch für sie.

Warum das wichtig ist

• Ein Newsletter-Tool auf einer Subdomain ohne SPF oder DKIM fällt bei der Authentifizierung durch.
• Betrüger können Subdomains wie billing.yourdomain.com erfinden, um gefälschte E-Mails zu senden, wenn dein DMARC sie nicht abdeckt.
• Stellst du die Hauptdomain auf p=reject um, betrifft das auch die Subdomains, also müssen sie bereit sein.

So prüfst du es

• Nutze den Domain-Scanner unter /domain-scanner mit dem Namen der Subdomain, um ihr SPF, DMARC und MX zu sehen.
• Sende eine Test-E-Mail aus dem Tool, das die Subdomain nutzt, an die Testadresse auf der Startseite. Der Bericht zeigt, für welche Domain SPF und DKIM geprüft wurden und ob DMARC ausgerichtet ist.

So behebst du es

1. Füge auf jeder sendenden Subdomain SPF hinzu, nur mit den Diensten, die für sie senden:

   news.yourdomain.com  TXT  "v=spf1 include:spf.newsletter-example.com ~all"

   Viele E-Mail-Dienste erledigen das für dich mit einer eigenen „Return-Path“- oder „Bounce“-Subdomain; folge ihrer Einrichtungsseite.
2. Richte DKIM für die Subdomain im Versand-Tool ein und veröffentliche den Eintrag, den es dir gibt, unter dem Namen, den es dir nennt.
3. Wähle die DMARC-Richtlinie für Subdomains auf der Hauptdomain:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=quarantine; sp=reject; rua=mailto:dmarc@yourdomain.com"

   Hier wird bei der Hauptdomain die Quarantäne angewendet, und alle Subdomains werden abgelehnt, wenn sie scheitern.
4. Gib einer Subdomain ihre eigene Richtlinie, wenn sie eine andere braucht, zum Beispiel während du ein neues Tool testest:

   _dmarc.news.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

Zur Ausrichtung

Standardmäßig nutzt DMARC eine „lockere“ Ausrichtung: Eine E-Mail mit dem From news.yourdomain.com besteht, wenn SPF oder DKIM für einen beliebigen Namen unter yourdomain.com besteht. Strikte Ausrichtung (adkim=s, aspf=s) verlangt genau denselben Namen.

Tipps

• Auch Subdomains, die nie E-Mails senden, sollten geschützt werden: Ein strenges sp= deckt sie alle auf einmal ab.
• Lies deine DMARC-Berichte, bevor du sp= verschärfst, um vergessene Subdomains zu finden. Das DMARC-Monitoring von Delivmail im kostenpflichtigen Dashboard kann helfen.

Prüfe, ob es behoben ist

Starte nach ein paar Minuten den Domain-Scanner für die Subdomain und sende dann eine neue Test-E-Mail aus dem Tool, das sie nutzt. SPF, DKIM und DMARC sollten für die Subdomain bestehen.