Was ist DMARC-Alignment?
DMARC-Alignment ist die Regel, dass eine bestandene SPF- oder DKIM-Prüfung nur dann für DMARC zählt, wenn ihre Domain zur sichtbaren From-Adresse passt. Relaxed Alignment akzeptiert jede Domain derselben Organisation, etwa mail.example.com für example.com. Strict Alignment verlangt genau dieselbe Domain. RFC 7489 §3.1 definiert beide.
Das Ergebnis lesen
Fügen Sie die Header einer Nachricht so ein, wie sie angekommen ist. Der Checker liest die Authentication-Results des empfangenden Servers und listet die From-Domain, die SPF-Domain (den Envelope-Absender) und jede DKIM-d=-Domain, jeweils mit ihrem Ergebnis und ob sie unter relaxed und strict Alignment passt. Danach gibt er das DMARC-Ergebnis für beide Varianten an und nennt den Teil, der gescheitert ist. Nichts, was Sie einfügen, verlässt Ihren Browser.
Häufige Gründe, warum das Alignment scheitert
SPF besteht für den Versanddienst
Die meisten Versanddienste nutzen ihre eigene Bounce-Domain, also besteht SPF für deren Domain und nicht für Ihre. SPF passt erst, wenn der Return-Path auf Ihrer Domain liegt, eine Einstellung, die Dienste Custom Return Path oder Custom MAIL FROM Domain nennen.
DKIM mit der Domain der Plattform signiert
Eine Signatur mit d= auf der Domain der Plattform wird verifiziert und kann DMARC für Ihre Domain trotzdem nicht bestehen. Veröffentlichen Sie den DKIM-Eintrag, den die Plattform Ihnen gibt, damit sie als Ihre Domain signiert.
Strict Alignment und eine Subdomain
Unter adkim=s oder aspf=s passt mail.example.com nicht mehr zu example.com. Wenn Sie strict nicht brauchen, lassen Sie beide Tags im Eintrag weg: relaxed ist der Standard (RFC 7489 §6.3).
Weiterleitung bricht SPF
Eine weitergeleitete Nachricht erreicht den letzten Server von der IP-Adresse des Weiterleitenden, also scheitert SPF dort. Passendes DKIM übersteht die Weiterleitung, wenn der Inhalt unverändert bleibt. Deshalb sollte DMARC nicht allein auf SPF beruhen.