Plattform-E-Mails landen im Spam? SPF, DKIM und DMARC erklärt

Ein Mitglied tätigt eine Einzahlung, und die Bestätigungs-E-Mail landet im Spam. Es gibt nicht Gmail die Schuld — es gibt Ihnen die Schuld, und es öffnet ein Support-Ticket mit einer Schärfe darin. E-Mail-Zustellbarkeit ist einer der am wenigsten glamourösen und vertrauenskritischsten Teile des Betriebs einer Plattform. Die gute Nachricht: Sie hängt größtenteils von drei DNS-Einträgen und einer Handvoll Gewohnheiten ab.

Die drei Einträge, die entscheiden, wo Ihre E-Mail landet

SPF: Wer für Ihre Domain senden darf

Ein SPF-Eintrag ist eine Zeile in Ihrem DNS, die die Server auflistet, die E-Mails für Ihre Domain senden dürfen. Ohne ihn kann jeder auf der Welt E-Mails senden und behaupten, Sie zu sein, und empfangende Filter behandeln Ihre echten Nachrichten infolgedessen mit Misstrauen. Mit ihm stehen Ihr Plattformserver und Ihr geschäftliches Postfach auf der Gästeliste; Spammer nicht.

Das Detail, über das Menschen stolpern: Jeder Absender muss auf dieser Liste stehen. Wenn Ihre Plattform vom Server sendet, Ihr Support-Postfach aber über einen separaten E-Mail-Anbieter sendet, gehören beide in den Eintrag. Fehlt einer, beginnt dieser Strom vollkommen echter E-Mails, Prüfungen zu verfehlen — meist entdeckt von einem Mitglied, in einem Ticket, nachdem eine Auszahlungsbenachrichtigung nie ankam.

DKIM: Eine Signatur auf jeder Nachricht

DKIM hängt an jede ausgehende E-Mail eine kryptografische Signatur an. Der Empfänger prüft sie gegen einen Schlüssel in Ihrem DNS und weiß zwei Dinge: Die E-Mail kam wirklich von Ihrer Domain, und niemand hat sie unterwegs verändert. Unsignierte E-Mails von einer Finanzplattform sind genau das, was moderne Filter zu misstrauen trainiert wurden.

Die Signatur zählt nur, wenn der Schlüssel in Ihrem DNS tatsächlich mit dem privaten Schlüssel übereinstimmt, mit dem Ihr Server signiert. Veröffentlichen Sie einen Schlüssel, den der Server nicht besitzt — etwa nach einer Migration oder einer Panel-Neuinstallation —, und Ihre E-Mail geht unsigniert hinaus, während jede Einstellungsseite weiterhin behauptet, DKIM sei an. Es ist der leiseste Fehler in diesem ganzen Artikel, und der Testabschnitt unten zeigt, wie Sie ihn fangen.

DMARC: Die Richtlinie, die sie verbindet

DMARC sagt Empfängern, was sie mit E-Mails tun sollen, die SPF oder DKIM verfehlen — sie überwachen, in Quarantäne schicken oder ablehnen. Schon der Beginn mit einer Überwachungsrichtlinie verbessert, wie Filter Ihre Domain bewerten, und die Berichte, die es erzeugt, zeigen Ihnen, wer sonst noch als Sie sendet (oder vorgibt zu senden).

DMARC fügt auch die Prüfung hinzu, die den anderen beiden fehlt: Die Domain, die Ihr Mitglied tatsächlich in der Von-Zeile sieht, muss mit den Domains übereinstimmen, die SPF und DKIM authentifiziert haben. Diese Abgleichregel ist das, was ein ähnlich aussehendes Sende-Setup davon abhält, durch eine Formalität zu bestehen. In der Praxis führen Sie es in Stufen ein — zuerst überwachen, während Sie die Berichte lesen, dann Quarantäne, dann Ablehnung, sobald Sie sicher sind, dass kein legitimer Absender ausgelassen wurde.

Alle drei ordnungsgemäß einzurichten ist eine einmalige Aufgabe; sie ist auch einer der Services in unserem Services-Hub, denn sie halb richtig zu machen ist schlimmer, als es aussieht — ein kaputter DKIM-Schlüssel vergiftet eine Domain still und leise für Wochen. Unser Service Business Email Setup deckt genau dieses Gebiet ab: SPF und DKIM, konfiguriert auf einem Postfach auf Ihrer eigenen Domain, in der Basic-Stufe für $20, und der vollständige Satz — SPF, DKIM und DMARC, bis zu fünf Postfächer — für $50, mit getesteter E-Mail, um zu bestätigen, dass sie im Posteingang landet.

Lesen Sie Ihre DMARC-Berichte, zumindest am Anfang

Die Berichte, die DMARC erzeugt, sind das am stärksten untergenutzte Diagnosewerkzeug bei Plattform-E-Mails. Die großen Postfach-Anbieter senden zusammengefasste Übersichten der E-Mails, die sie erhalten haben und die behaupten, von Ihrer Domain zu stammen: welche Server sie gesendet haben, wie viel davon die Authentifizierung bestanden hat und wie viel nicht. In den ersten Wochen nach dem Setup finden Sie in diesen Berichten den Absender, den Sie vergessen haben — ein altes Kontaktformular, einen zweiten Postfach-Anbieter, eine Testinstallation auf einer Subdomain —, bevor eine strengere Richtlinie beginnt, dessen E-Mails abzulehnen. Später sind sie ein Frühwarnsystem: Eine Quelle, die Sie nicht kennen, die als Sie sendet und durchfällt, ist Spoofing, gegen das Sie vorgehen können, solange es noch klein ist.

Gewohnheiten, die helfen (und schaden)

• Senden Sie von Ihrer eigenen Domain. Plattform-E-Mails sollten von Adressen auf Ihrer Domain kommen, über ordentliche geschäftliche E-Mail — niemals von einem kostenlosen Postfach.
• Wärmen Sie eine neue Domain auf. Eine brandneue Domain, die am ersten Tag Hunderte von Nachrichten sendet, entspricht fast exakt dem Spammer-Profil. Steigern Sie das Volumen über die ersten Wochen.
• Halten Sie die Inhalte sauber. Schreiende Betreffzeilen, gekürzte URLs und E-Mails nur aus Bildern sind klassische Spam-Signale.
• Verarbeiten Sie Ihre Rückläufer. Wiederholt an tote Adressen zu senden schädigt die Absender-Reputation auch für jedes andere Mitglied.
• Trennen Sie die Ströme. Transaktionale E-Mails (Einzahlungen, Zurücksetzungen) sind heilig. Marketing-Sendungen von derselben Domain gefährden sie; verwenden Sie eine Subdomain, wenn Sie sie senden müssen.
• Testen Sie nach jeder Änderung erneut. Ein Hosting-Umzug, ein neuer Postfach-Anbieter oder ein DNS-Aufräumen kann still und leise einen der drei Einträge brechen. Die Einträge zeigen auf Absender; ändern Sie einen Absender, und der Eintrag muss sich mit ihm ändern.

Testen Sie es so, wie ein Mitglied es erlebt

Erstellen Sie Testkonten bei den großen Postfach-Anbietern und lösen Sie jede E-Mail aus, die Ihre Plattform sendet: Registrierung, Einzahlungsbestätigung, Auszahlungsbenachrichtigung, Passwort-Zurücksetzung. Prüfen Sie, wo jede landet, und sehen Sie sich die Authentifizierungsergebnisse in den Kopfzeilen der Nachricht an — Sie möchten sehen: SPF bestanden, DKIM bestanden, DMARC bestanden. Fünfzehn Minuten davon finden Probleme, die Ihre Mitglieder sonst für Sie finden würden, in der Öffentlichkeit, zum schlechtesten Zeitpunkt. Es gehört auf dieselbe Checkliste vor dem Start wie die Punkte in unserer GoldCoders-Start-Checkliste.

Sehen Sie sich die Kopfzeilen an, nicht nur den Ordner. E-Mail kann an einem guten Tag den Posteingang erreichen, mit einer kaputten Signatur darunter, weil die Reputation sie getragen hat — und Reputation ist ein Polster, keine Reparatur. Die Kopfzeilen sind der Beweis: Sie sagen klar, welche Prüfungen liefen und welche bestanden wurden, für genau diese Nachricht, aus genau diesem Strom.

Warum das über den Posteingang hinaus zählt

Zustellbarkeit ist still und leise auch eine Sicherheitsfunktion: SPF, DKIM und DMARC sind das, was Fremde davon abhält, überzeugende gefälschte E-Mails über ein „Auszahlungsproblem“ in Ihrem Namen zu senden. Falls noch nicht geschehen, lesen Sie unsere Checkliste zur Plattform-Härtung — das E-Mail-Setup Ihrer Domain ist Teil der Verteidigung Ihrer Plattform.

Aus unserer eigenen Werkstatt

Unsere eigene Domain besteht SPF, DKIM und DMARC — wir haben sie Kopfzeile für Kopfzeile verifiziert, als wir die E-Mail von HyipTemplates einrichteten, denn unsere Bestellbestätigungen und Support-Antworten reisen durch dieselbe Leitung, auf die sich unsere Kunden verlassen. Als einer dieser Einträge während des Setups falsch war, landete unsere eigene Test-E-Mail innerhalb einer Stunde im Spam. So schnell zeigt sich das. Wenn Sie lieber nicht in DNS-Einträgen leben möchten, ist das die gesamte Aufgabe unseres Business-Email-Setups, verfügbar in unserem Shop — SPF, DKIM und DMARC, konfiguriert und mit echten Nachrichten getestet.

Das Fazit

Veröffentlichen Sie korrekte SPF-, DKIM- und DMARC-Einträge, senden Sie von Ihrer eigenen Domain über echte geschäftliche E-Mail, wärmen Sie allmählich auf und testen Sie jeden Nachrichtentyp wie ein Mitglied. Ihre Bestätigungen werden im Posteingang landen — und Mitglieder werden aufhören, sich zu fragen, wo sie geblieben sind.

Häufig gestellte Fragen

Ich habe SPF, DKIM und DMARC eingerichtet, aber E-Mails landen trotzdem im Spam. Warum?

Authentifizierung beweist, dass die E-Mail wirklich von Ihrer Domain stammt; sie macht die E-Mail nicht willkommen. Neue Domains beginnen ohne Reputation, sodass frühe Nachrichten härter beurteilt werden — halten Sie das Volumen ehrlich, senden Sie niemals an Listen, die Sie sich nicht verdient haben, und lassen Sie ein paar Wochen sauberen Sendens die Bilanz aufbauen. Wenn auch nur ein Eintrag falsch ausgerichtet ist — etwa wenn die DKIM-Domain nicht mit der Von-Domain übereinstimmt —, wackelt der gesamte Beweis, prüfen Sie also die Ausrichtung erneut, bevor Sie der Reputation die Schuld geben.

Wie lange dauert es, bis Änderungen an DNS-Einträgen wirksam werden?

In der Regel Minuten bis wenige Stunden, gelegentlich bis zu einem Tag, während Caches ablaufen. Ändern Sie einen Eintrag nach dem anderen und testen Sie nach jedem — drei Änderungen auf einmal verwandeln jeden Fehler in ein Ratespiel.

Kann DMARC meine E-Mail brechen, wenn ich es falsch einstelle?

Ja, wenn Sie direkt zu einer strengen Richtlinie springen. Beginnen Sie mit p=none, was nur berichtet, lesen Sie die Berichte, bis sie zeigen, dass Ihre echten Absender bestehen, und steigen Sie erst dann auf Quarantäne oder Ablehnung hoch. Die Richtlinie ist ein Regler, kein Schalter — unser Business-Email-Setup folgt derselben Reihenfolge.