DMARC-Fehler: Was er bedeutet und wie Sie ihn in WordPress beheben

Sehen Sie „dmarc=fail“ in einer Bounce-Nachricht oder einem E-Mail-Header? Das ist ein DMARC-Fehler: Posteingangs-Provider konnten nicht bestätigen, dass Ihre Domain die E-Mail gesendet hat. Daher könnten sie sie als Spam markieren oder sie direkt ablehnen.

WordPress kann E-Mails von Haus aus senden, aber nicht signiert mit Ihrer Domain. Ihre Einträge können also korrekt aussehen, aber der Fehler liegt in der Ausrichtung.

In diesem Leitfaden führe ich Sie durch die Suche nach der Ursache und deren Behebung mit WP Mail SMTP.

Was ein DMARC-Fehler bedeutet

Ein DMARC-Fehler bedeutet, dass weder SPF noch DKIM für Ihre Von-Domain bestanden wurden.

Bestehen allein reicht nicht aus. Mindestens eine Prüfung muss bestanden werden und mit der Von-Domain übereinstimmen.

Deshalb kann eine Nachricht spf=pass und dkim=pass anzeigen, aber trotzdem DMARC fehlschlagen. Beide Prüfungen wurden bestanden, aber für die Domain eines anderen. Weitere Details finden Sie in unserem Leitfaden SPF, DKIM und DMARC.

Die Ausrichtungsregel in einer Tabelle

Jede E-Mail enthält 3 Domains, die DMARC vergleicht. Hier ist, wo jede einzelne lebt:

DMARC besteht, wenn entweder die SPF-Domain oder die DKIM-Domain mit der Von-Domain übereinstimmt. Hier sind die Ergebnisse kombiniert:

Standardmäßig verwendet DMARC lockere Ausrichtung. Das bedeutet, eine Subdomain wie mail.example.com stimmt immer noch mit example.com überein.

Was mit einer E-Mail passiert, die DMARC nicht besteht

Was als Nächstes passiert, hängt von der Richtlinie im DMARC-Eintrag des Absenders ab. Es gibt 3 Optionen:

• p=none: Der Empfänger liefert die E-Mail wie gewohnt aus und sendet Ihnen einen Bericht.
• p=quarantine: Der Empfänger verschiebt die E-Mail in den Spam- oder Junk-Ordner.
• p=reject: Der Empfänger lehnt die E-Mail ab, und der Absender erhält eine Fehlermeldung (Bounce).

Selbst bei p=none schadet ein fehlgeschlagener Check Ihrer Absenderreputation. Und seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern, die DMARC-Ausrichtung zu bestehen.

DMARC-Bounce-Fehler nach Anbieter

Jeder E-Mail-Anbieter formuliert einen DMARC-Fehler anders. Wenn Sie eine Fehlermeldung erhalten, gleichen Sie diese mit dieser Tabelle ab:

Wenn nur die Empfänger eines Unternehmens Sie abweisen, bitten Sie deren Administrator um den Authentication-Results-Header der zurückgewiesenen Nachricht. Er zeigt an, ob SPF, DKIM oder die Ausrichtung auf deren Seite fehlgeschlagen ist.

So finden Sie die Ursache in Ihren E-Mail-Headern

Ein schneller Weg, die Ursache zu finden, ist das Lesen des Authentifizierungsheaders der E-Mail. Er sagt Ihnen, welche Prüfung fehlgeschlagen ist und welche Domain jede Prüfung verwendet hat.

Schritt 1: Öffnen Sie die E-Mail-Header

Senden Sie zuerst eine E-Mail von Ihrer Website an Ihre Gmail-Adresse. Sie können dies unter WP Mail SMTP » Tools » E-Mail-Test tun.

Öffnen Sie die E-Mail in Gmail. Klicken Sie dann auf das Symbol ⋮ (Mehr) und wählen Sie Original anzeigen.

Gmail zeigt oben eine Zusammenfassungstabelle mit SPF-, DKIM- und DMARC-Ergebnissen an. Darunter befindet sich der Roh-Header.

Schritt 2: Lesen Sie die Zeile Authentication-Results

Scrollen Sie zu der Zeile, die mit Authentication-Results beginnt. Hier ist ein typisches fehlerhaftes Beispiel:

Authentication-Results: mx.google.com;
  dkim=pass [email protected] header.s=s1;
  spf=pass [email protected];
  dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=example.com

Vergleichen Sie die 3 Domains in dieser Zeile:

• header.from: example.com ist die From-Domain.
• smtp.mailfrom: em.mailservice.net ist die SPF-Domain. Sie stimmt nicht überein.
• header.i oder header.d: em.mailservice.net ist die DKIM-Domain. Sie stimmt auch nicht überein.

Beide Prüfungen sind also bestanden, aber keine davon stimmte überein. Das ist ein klassischer DMARC-Fehler.

Schritt 3: Ordnen Sie das Ergebnis einer Ursache zu

Ordnen Sie nun das gefundene Muster einer Ursache zu. Jede davon hat ihre Behebung im nächsten Abschnitt.

Beheben Sie jetzt Ihre WordPress-E-Mails

Häufige Ursachen für DMARC-Fehler (und die jeweilige Lösung)

Die meisten DMARC-Fehler auf WordPress-Websites stammen von 7 Ursachen. Die ersten 2 sind spezifisch für WordPress, daher beginne ich dort.

WordPress sendet über PHP Mail

Standardmäßig sendet WordPress E-Mails mit der mail()-Funktion von PHP auf Ihrem Webserver. Dieser Server hat normalerweise keinen DKIM-Schlüssel für Ihre Domain.

Der Return-Path ist oft der Servername Ihres Hosts, wie z. B. [email protected]. SPF kann also für den Host erfolgreich sein, stimmt aber nie mit Ihrer Domain überein.

Behebung: Senden Sie über einen dedizierten Mailer mit WP Mail SMTP. Ich behandle das im Behebungsabschnitt unten.

Ihr Formular verwendet die E-Mail-Adresse des Besuchers als Absenderadresse

Einige Formular-Plugins erlauben es Ihnen, die Absender-E-Mail-Adresse auf ein Formularfeld zu setzen. Zum Beispiel können Sie in WPForms die Absender-E-Mail-Adresse festlegen. Wenn Sie sie auf die E-Mail-Adresse des Besuchers setzen, sendet Ihr Server E-Mails, die vorgeben, von [email protected] zu stammen.

Yahoo und AOL veröffentlichen beide p=reject. Ich habe beim Schreiben dieses Beitrags nachgesehen; beide taten es immer noch.

Yahoo und AOL lehnen diese Benachrichtigungen also ab, bevor sie Sie erreichen.

_dmarc.yahoo.com   "v=DMARC1; p=reject; pct=100; ..."
_dmarc.aol.com     "v=DMARC1; p=reject; pct=100; ..."

Korrektur: Setzen Sie die Absender-E-Mail-Adresse auf eine Adresse Ihrer eigenen Domain. Geben Sie die E-Mail-Adresse des Besuchers stattdessen in das Feld Antworten an ein.

Sie können trotzdem mit einem Klick antworten.

Ihr Mailer signiert nicht mit Ihrer Domain

Sie haben einen Mailer verbunden, aber Ihre Domain darin nicht verifiziert. Der Dienst signiert also DKIM mit seiner eigenen Domain, wie z. B. sendlayer.net. Er verwendet auch seinen eigenen Rückpfad.

Beide Prüfungen sind erfolgreich, aber keine ist ausgerichtet. Dies ist das Header-Muster aus dem Authentication-Results-Beispiel oben.

Korrektur: Schließen Sie die Domain-Authentifizierung im Dashboard Ihres Mailers ab. Dort erhalten Sie DKIM-Einträge (normalerweise CNAMEs), die Sie zu Ihrem DNS hinzufügen müssen.

Sobald sie verifiziert sind, wird das d=-Tag zu Ihrer Domain.

Ein anderer Dienst sendet E-Mails und ist nicht in SPF aufgeführt

Ihre Website ist wahrscheinlich nicht das Einzige, das unter Ihrer Domain sendet. Andere Tools könnten ebenfalls senden:

• Google Workspace
• Ein Newsletter-Tool
• Ein Helpdesk
• Eine Shop-Plattform

Nehmen wir an, einer ist nicht in Ihrem SPF-Eintrag aufgeführt und signiert DKIM nicht mit Ihrer Domain. Dann schlägt seine E-Mail DMARC fehl.

Korrektur: Listen Sie jeden Dienst auf, der unter Ihrer Domain sendet. Fügen Sie dann den SPF-Include jedes Dienstes hinzu und richten Sie dessen DKIM ein.

Ihre DMARC-Aggregatberichte zeigen jede Quelle an, was das Erstellen dieser Liste erleichtert. Um zu erfahren, wie Sie mehr als einen SPF-Eintrag hinzufügen, lesen Sie unsere Anleitung zum Hinzufügen mehrerer SPF-Einträge.

Ihr SPF-Eintrag ist fehlerhaft oder überschreitet das Nachforschungslimit

Ein fehlerhafter SPF-Eintrag schlägt für jeden Absender gleichzeitig fehl. Die 2 häufigsten Probleme sind doppelte SPF-Einträge und das Überschreiten von 10 DNS-Lookups.

Hier ist ein fehlerhaftes Setup mit 2 Einträgen:

example.com  TXT  "v=spf1 include:_spf.google.com ~all"
example.com  TXT  "v=spf1 include:spf.mailservice.net ~all"

Und hier ist die korrigierte Version, zusammengeführt in 1 Eintrag:

example.com  TXT  "v=spf1 include:_spf.google.com include:spf.mailservice.net ~all"

Korrektur: Führen Sie sie zu einem einzigen Eintrag zusammen und entfernen Sie Includes für Dienste, die Sie nicht mehr verwenden.

So beheben Sie DMARC-Fehler in WordPress mit WP Mail SMTP

Um einen DMARC-Fehler in WordPress zu beheben, verwenden Sie einen Mailer, der mit Ihrer Domain signiert. Erzwingen Sie dann eine Absender-E-Mail-Adresse für diese Domain und fügen Sie die DNS-Einträge des Mailers hinzu.

WP Mail SMTP verwaltet die Einstellungen für Mailer und Absender-E-Mail-Adresse. Hier sind die Schritte.

Schritt 1: Verbinden Sie einen Mailer, der mit Ihrer Domain signiert

Gehen Sie zu WP Mail SMTP » Einstellungen und klicken Sie auf Setup-Assistent starten. Wählen Sie dann einen Mailer, z. B. SendLayer, Brevo, Mailgun oder Amazon SES.

Der Assistent führt Sie durch die Verbindung des Kontos.

Die Einrichtungsanleitung jedes Mailers behandelt auch die Verifizierung Ihrer Domain. Das ist der Teil, der die DKIM-Ausrichtung behebt.

Schritt 2: Legen Sie die Von-E-Mail-Adresse fest und erzwingen Sie sie

Sobald Sie Ihren Mailer konfiguriert haben, gehen Sie zu WP Mail SMTP » Einstellungen » Allgemein. Geben Sie im Feld Absender-E-Mail eine Adresse auf der Domain ein, die Sie authentifiziert haben.

Aktivieren Sie dann das Kontrollkästchen Absender-E-Mail erzwingen. Dadurch wird jedes Plugin diese Adresse verwenden, einschließlich Formular-Plugins, die auf die E-Mail des Besuchers eingestellt sind.

Hier sehen die Einstellungen für meine Testseite aus:

From Email:        [email protected]
Force From Email:  On
From Name:         Example Store
Force From Name:   Off

Schritt 3: Fügen Sie die SPF- und DKIM-Einträge des Mailers hinzu

Fügen Sie nun die DNS-Einträge hinzu, die Ihnen Ihr Mailer gegeben hat. Die meisten geben Ihnen DKIM-CNAMEs und ein SPF-Include.

Hier sieht ein vollständiger Satz aus:

example.com              TXT    "v=spf1 /include:spf.mailservice.net ~all"
s1._domainkey.example.com  CNAME  s1.domainkey.mailservice.net
_dmarc.example.com       TXT    "v=DMARC1; p=none; rua=mailto:[email protected]"

Die Hostnamen Ihres Mailers werden unterschiedlich sein, kopieren Sie sie also aus seinem Dashboard.

DNS-Änderungen können einige Minuten bis einige Stunden dauern, bis sie wirksam werden.

Schritt 4: Testen Sie die Korrektur mit Email Detective

Sobald Ihre Einträge live sind, senden Sie einen neuen Test. Ich empfehle, zweimal zu prüfen: einmal mit dem E-Mail-Test und dann mit dem E-Mail-Detektiv. Glücklicherweise enthält WP Mail SMTP beide Testoptionen.

Um eine Test-E-Mail zu senden, gehen Sie zu WP Mail SMTP » Werkzeuge » E-Mail-Test und senden Sie eine Test-E-Mail. Wenn ein SPF-, DKIM- oder DMARC-Problem gefunden wird, sehen Sie Domain Check Results mit der Lösung.

Klicken Sie dann auf den Tab Email Detective auf derselben Seite. Es ist ein kostenloser Zustellbarkeitsprüfer von SendLayer, der in WP Mail SMTP integriert ist.

Geben Sie Ihre E-Mail-Adresse ein und klicken Sie auf Deliverability Test ausführen. Ihre Website sendet einen Test über Ihre primäre Verbindung, und Email Detective sendet Ihnen einen Link zum Bericht per E-Mail.

Öffnen Sie den Bericht und sehen Sie sich Authentifizierung an. SPF, DKIM und DMARC sollten alle erfolgreich sein.

Wenn einer fehlschlägt, nennt die Liste Was zu beheben ist das Problem. Hier ist ein Beispielbericht, bei dem DKIM fehlt:

Gleichen Sie dieses Problem mit der Ursachentabelle in So finden Sie die Ursache in Ihren E-Mail-Headern ab, beheben Sie es und testen Sie erneut. Die vollständige Checkliste finden Sie in unserem Leitfaden E-Mail-Zustellbarkeit testen.

Fehlerbehebung bei DMARC-Fehlern nach der Einrichtung

Immer noch fehlerhaft nach den 4 Schritten? Hier sind die 3 Symptome, die ich zuerst überprüfen würde.

DKIM zeigt immer noch die Domain des Mailers an

Ihre Domain ist im Mailer noch nicht verifiziert. Überprüfen Sie die Domain-Seite in Ihrem Mailer-Dashboard und bestätigen Sie, dass jeder DKIM-Eintrag als verifiziert angezeigt wird.

Wenn Sie die Einträge gerade erst hinzugefügt haben, geben Sie DNS ein paar Stunden Zeit. Senden Sie dann einen neuen Test.

SPF zeigt Permerror an

Sie haben wahrscheinlich 2 SPF-Einträge oder Sie haben 10 DNS-Lookups überschritten. Führen Sie Ihre Einträge zu einem zusammen, wie im obigen Beispiel für fehlerhaftes SPF gezeigt.

DMARC besteht Tests, schlägt aber für einen Empfänger fehl

Das deutet auf Weiterleitung oder ein Gateway auf Empfängerseite hin. Bitten Sie den Administrator des Empfängers um den Header Authentication-Results aus der zurückgewiesenen Kopie.

So stellen Sie sicher, dass Ihre E-Mails DMARC bestehen

Die meisten DMARC-Fehler treten auf, wenn jemand einen neuen E-Mail-Dienst hinzufügt. Hier sind ein paar Gewohnheiten, die Sie annehmen können, um sie frühzeitig zu erkennen:

1. Behalten Sie rua-Berichte bei: Aggregierte Berichte listen jeden Server auf, der unter Ihrer Domain sendet. Dazu gehören auch solche, die Sie vergessen haben.
2. Überprüfen Sie neue Tools, bevor sie senden: Richten Sie SPF und DKIM für einen neuen Dienst ein, bevor Sie ihn aktivieren.
3. Aktivieren Sie E-Mail-Protokolle: WP Mail SMTP Pro protokolliert jede E-Mail, die Ihre Website sendet. Fehler werden Sie schnell erkennen.
4. Gehen Sie langsam zur Durchsetzung über: Bleiben Sie bei p=none, bis die Berichte sauber sind. Wechseln Sie dann zu quarantine.

Denken Sie daran, dass WP Mail SMTP nur E-Mails steuert, die Ihre WordPress-Website sendet. E-Mails von Google Workspace oder Ihrem Newsletter-Tool erfordern immer noch eine eigene Einrichtung.

Verschieben Sie als Nächstes Ihre DMARC-Richtlinie auf Erzwingung

Sobald Ihre E-Mails DMARC bestehen, besteht der nächste Schritt darin, den Schutz zu aktivieren. Mein Leitfaden zur Behebung der Warnung „DMARC-Richtlinie nicht aktiviert“ behandelt dies.

Er zeigt Ihnen, wie Sie sicher von p=none zu reject wechseln. Dies ist der Schritt, der Postfachanbieter anweist, gefälschte E-Mails von Ihrer Domain abzulehnen.

Beheben Sie jetzt Ihre WordPress-E-Mails

Bereit, Ihre E-Mails zu reparieren? Fangen Sie noch heute an mit dem besten WordPress SMTP-Plugin. Wenn Sie keine Zeit haben, Ihre E-Mails zu reparieren, können Sie gegen Aufpreis eine vollständige White Glove Setup-Unterstützung erhalten, und für alle kostenpflichtigen Tarife gilt eine 14-tägige Geld-zurück-Garantie.

Wenn dieser Artikel Ihnen geholfen hat, folgen Sie uns bitte auf Facebook und Twitter für weitere WordPress-Tipps und Tutorials.