Was ist DMARC?
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es ist ein E-Mail-Authentifizierungsprotokoll, das auf SPF und DKIM aufbaut und festlegt, wie empfangende Mail-Server mit Nachrichten verfahren sollen, die die Echtheitsprüfung nicht bestehen. DMARC wird ebenfalls als TXT-Eintrag in Ihrer DNS-Zone veröffentlicht und ermöglicht Ihnen außerdem, Berichte über E-Mails zu erhalten, die im Namen Ihrer Domain versendet wurden. Das Protokoll ist im RFC 7489 beschrieben.
Was bedeutet das für Ihre Website?
Mit einem DMARC-Eintrag geben Sie empfangenden Mail-Servern eine Handlungsanweisung für E-Mails, die SPF- oder DKIM-Prüfungen nicht bestehen. Die drei möglichen Richtlinien sind: none (nur überwachen, keine Aktion), quarantine (verdächtige E-Mails in den Spam-Ordner verschieben) und reject (E-Mails vollständig ablehnen). Für WordPress-Websites empfiehlt sich der Einstieg mit p=none, um zunächst Berichte zu sammeln und sicherzustellen, dass alle legitimen E-Mail-Quellen korrekt in SPF und DKIM konfiguriert sind. Erst dann sollten Sie schrittweise zu quarantine und später zu reject wechseln.
Ein typischer DMARC-Eintrag sieht so aus: v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@ihredomain.de. Der Parameter rua gibt eine E-Mail-Adresse an, an die aggregierte Berichte gesendet werden. Diese Berichte zeigen Ihnen, welche Server E-Mails in Ihrem Namen versenden und ob diese die Authentifizierungsprüfungen bestehen. Das ist besonders wertvoll, wenn Ihre WordPress-Website mehrere E-Mail-Dienste nutzt, etwa WordPress selbst über den Hosting-Server sowie einen zusätzlichen Newsletter-Dienst.
Für WooCommerce-Shops ist DMARC besonders relevant: Gefälschte Bestellbestätigungen oder Phishing-Mails, die angeblich von Ihrem Shop kommen, lassen sich mit einem strikten DMARC-Eintrag wirksam blockieren. Das schützt Ihre Kunden und Ihre Marke.
Warnung: DMARC nur nach vollständiger SPF- und DKIM-Konfiguration aktivieren
Setzen Sie DMARC-Richtlinien auf reject, bevor SPF und DKIM vollständig und korrekt konfiguriert sind, blockieren Sie unter Umständen Ihre eigenen legitimen E-Mails. Gehen Sie schrittweise vor: Beginnen Sie mit p=none, werten Sie die Berichte aus, korrigieren Sie alle Fehlkonfigurationen bei SPF und DKIM und wechseln Sie erst dann zu strengeren Richtlinien.
Verwandte Begriffe
SPF-Record (E-Mail-Authentifizierung) |
DKIM (E-Mail-Signatur) |
MX-Record |
SMTP |
WordPress-Sicherheit