E-Mail-Authentifizierung

Was ist DMARC-Alignment? Übereinstimmung der Domains bei DMARC erklärt

Alignment bedeutet, dass die von SPF oder DKIM bestätigte Domain zur sichtbaren From-Domain passt. Ohne Alignment besteht eine Mail DMARC nicht, selbst wenn SPF und DKIM bestehen.

So funktioniert DMARC-Alignment

Bei SPF wird die Domain aus dem Return-Path (Envelope-Absender) mit der From-Domain verglichen, bei DKIM die signierende Domain aus d=. Für DMARC reicht es, wenn eines der beiden Verfahren besteht und dabei aligned ist.

Es gibt zwei Modi: relaxed (Standard) akzeptiert Subdomains derselben Organisationsdomain, also passt news.example.com zu example.com. Strict verlangt die exakt gleiche Domain. Eingestellt wird das im DMARC-Record mit aspf= (SPF) und adkim= (DKIM), jeweils r oder s.

Typisches Problem: Ein Newsletter-Dienst versendet mit seinem eigenen Return-Path und signiert mit seiner eigenen Domain. SPF und DKIM bestehen dann zwar, aber nicht für deine Domain – DMARC schlägt fehl. Abhilfe schaffen ein eigener Return-Path (Custom Bounce Domain) und eine DKIM-Signatur mit deiner Domain beim Dienstleister.

Beispiel

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Strenges Alignment: Nur exakt example.com im Return-Path oder in d= zählt.

Typische Fehler

Strict-Alignment gesetzt, obwohl Mails über Subdomains wie bounce.example.com laufen.
Dienstleister signieren nur mit ihrer eigenen Domain (d=anbieter.com).
SPF besteht nur für den Return-Path des Dienstleisters – ohne DKIM mit eigener Domain fehlt das Alignment.

So bewertet der Domain Trust Check DMARC-Alignment

Kriterium „DMARC“ (Gewicht 5 von 5): DMARC-Record unter _dmarc, Richtlinie p=none/quarantine/reject, Anteil (pct), Aggregat-Reports (rua) inkl. Autorisierung externer Empfänger, Subdomain-Richtlinie (sp) und Alignment (adkim/aspf).

Standard: RFC 7489, Abschnitt 3.1