Einen DMARC-Bericht lesen
Mit einem DMARC-Eintrag teilen Sie Empfängern mit, was sie mit E-Mails tun sollen, die angeblich von Ihrer Domain stammen, die Prüfung aber nicht bestehen. Sie können sie auch bitten, Ihnen Berichte zu senden. Darin sehen Sie, welche Server im Namen Ihrer Domain E-Mails versenden und ob diese E-Mails SPF, DKIM und DMARC bestehen. So finden Sie einen Dienst, den Sie vergessen hatten, und sehen Sie, ob jemand Ihre Domain missbraucht. Was DMARC ist, lesen Sie in Was ist DMARC? Erklärung in einfachen Worten.
Berichte aktivieren: die rua-Adresse
Sie erhalten nur Berichte, wenn in Ihrem DMARC-Eintrag eine Berichtadresse steht, hinter rua=. Der Standardeintrag bei einem Hostingpaket von WebOké lautet v=DMARC1;p=reject, ohne Berichtadresse. Dann erhalten Sie also keine Berichte. Sie können eine Adresse hinzufügen, ohne Ihre Richtlinie zu ändern:
v=DMARC1; p=reject; rua=mailto:dmarc@ihredomain.nl
In DirectAdmin klicken Sie in der DNS-Verwaltung auf den Stift hinter dem Eintrag _dmarc und tragen Sie die Adresse bei Geaggregeerde e-mail (RUA) ein. Siehe DMARC einrichten. In Mein WebOké verwenden Sie die DMARC-Hilfe im Reiter DNS: DNS-Hilfen: MX, SPF, DMARC, CAA und SRV. Welche Richtlinie (p=) Sie wählen, steht in DMARC-Eintrag in DirectAdmin erstellen.
Daneben gibt es ruf=, für Fehlerberichte über einzelne fehlgeschlagene E-Mails. Diese können Teile echter E-Mails enthalten, und fast kein großer Empfänger sendet sie. Lassen Sie ruf leer: Sie benötigen nur die Sammelberichte von rua.
dmarc@ihredomain.nl, damit Ihre normale E-Mail nicht untergeht. Behalten Sie dieses Postfach im Blick: Auch Berichte füllen Ihren Speicherplatz.Was Sie erhalten
Ein Bericht ist eine E-Mail mit einem Anhang: eine XML-Datei, meist verpackt als .gz oder .zip. Der Name verrät, wer ihn sendet, über welche Domain und über welchen Zeitraum, zum Beispiel google.com!ihredomain.nl!1793923200!1794009599.xml.gz. Die Zahlen sind Zeitpunkte in Sekunden seit 1970. Es steht kein Inhalt von E-Mails darin: nur pro sendendem Server, wie viele E-Mails es gab und wie die Prüfungen ausgefallen sind.
Eine Zeile lesen
Jeder Block <record> betrifft eine sendende IP-Adresse:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>ihredomain.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>newsletterdienst.example</domain><result>pass</result></dkim>
<spf><domain>bounce.newsletterdienst.example</domain><result>pass</result></spf>
</auth_results>
| Teil | Bedeutung |
|---|---|
source_ip | Die IP-Adresse des Servers, der die E-Mail zugestellt hat. |
count | Wie viele E-Mails von dieser IP-Adresse mit diesem Ergebnis. |
disposition | Was der Empfänger getan hat: pass oder none (zugestellt), quarantine (Spam-Ordner) oder reject (abgelehnt). |
dkim und spf unter policy_evaluated | Das DMARC-Ergebnis: Bestand DKIM oder SPF für eine Domain, die zu Ihrer Von-Adresse gehört (aligned)? |
header_from | Die Domain in der Von-Adresse der E-Mail. |
auth_results | Das Rohergebnis von SPF und DKIM, mit der Domain, für die es galt. |
Achten Sie auf den Unterschied zwischen auth_results und policy_evaluated. Im Beispiel bestehen DKIM und SPF beide, aber für die Domain des Newsletterdienstes. Diese Domain gehört nicht zu ihredomain.nl, sodass DMARC fehlschlägt. Mit p=reject werden diese 1250 E-Mails abgelehnt.
So finden Sie einen vergessenen Dienst
- Schauen Sie sich pro Zeile
policy_evaluatedan. Steht beidkimoderspfeinpass, ist diese Quelle in Ordnung. - Schlagen beide fehl? Schauen Sie in
auth_results, welche Domain dort steht. Erkennen Sie einen eigenen Dienst, wie Ihr Buchhaltungsprogramm, Ihren Webshop oder Newsletterdienst? Aktivieren Sie dann bei diesem Dienst DKIM mit Ihrer eigenen Domain, und tragen Sie den Dienst in Ihren SPF-Eintrag ein, falls nötig. Siehe SPF-Eintrag in DirectAdmin hinzufügen oder ändern und DKIM einrichten, wenn der DNS bei einem anderen Anbieter liegt. - Keine Domain, die Sie kennen? Suchen Sie nach, wem die IP-Adresse gehört, zum Beispiel mit einer Whois-Abfrage. Eine unbekannte IP-Adresse, bei der alles fehlschlägt, ist meist jemand, der Ihre Domain missbraucht. Genau davor schützt Sie Ihre DMARC-Richtlinie.
Sehen Sie eine unbekannte IP-Adresse, bei der SPF fehlschlägt, DKIM aber für Ihre eigene Domain besteht? Das ist meist eine E-Mail von Ihnen, die jemand weitergeleitet hat. DMARC besteht dann über DKIM, und Sie müssen nichts tun.
Berichte lesbar machen
Einen einzelnen Bericht können Sie in einem Browser oder einem Programm öffnen, das XML anzeigt. Erhalten Sie viele davon, gibt es Berichtdienste (auch kostenlose) und Open-Source-Programme, die die Berichte sammeln und daraus Übersichten erstellen. Bedenken Sie, dass ein solcher Dienst dann sieht, welche Server im Namen Ihrer Domain E-Mails versenden. Wählen Sie einen Dienst, dem Sie vertrauen und der sich an die DSGVO hält.
Steht die Berichtadresse auf einer anderen Domain als Ihrer eigenen, zum Beispiel bei einem Berichtdienst? Dann muss diese andere Domain mit einem speziellen Eintrag Zustimmung geben, wie ihredomain.nl._report._dmarc.berichtdienst.example. Ohne diesen Eintrag senden Empfänger keine Berichte an diese Adresse. Ein Berichtdienst richtet diesen Eintrag meist selbst ein. Hintergrund: RFC 9990, Kapitel 4.