Legen Sie die XML-, Gzip- oder Zip-Dateien ab, in denen Ihre DMARC-Berichte ankommen, und lesen Sie, was darin wirklich steht: wie viel Ihrer E-Mails besteht, welche Quellen scheitern und welche dieser Fehlschläge eine Versandplattform sind, die eingerichtet gehört, statt jemand, den man blockiert. Jede Datei wird in Ihrem Browser verarbeitet, ohne Anmeldung und ohne Upload.
Legen Sie hier Ihre DMARC-Aggregatberichte ab
Berichte kommen per E-Mail als .xml-, .xml.gz- oder .zip-Anhang. Fügen Sie so viele hinzu, wie Sie haben: ein Bericht ist ein Empfänger an einem Tag. Sie werden in diesem Browser gelesen und nie hochgeladen.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
Sobald Ihr DMARC-Eintrag eine rua-Adresse trägt, schicken Ihnen Mailanbieter je eine XML-Datei pro Tag. Jede Datei listet jede IP-Adresse auf, die E-Mails im Namen Ihrer Domain versendet hat, wie viele Nachrichten von ihr kamen, ob SPF und DKIM authentifiziert haben, ob eines von beiden zur Adresse im From-Header passte und was der Empfänger daraufhin getan hat. Das ist die einzige Sicht, die Sie je darauf bekommen, wer als Ihre Domain versendet, und der Grund, warum DMARC überhaupt eine Berichtshälfte hat. Die Dateien sind mit bloßem Auge auch nicht lesbar: ein einzelner Tag eines großen Anbieters sind Tausende Zeilen XML, in einem gerade überarbeiteten Schema, mit zwei Spalten, die wie dieselbe Frage aussehen und es nicht sind. Dieses Werkzeug liest beide Revisionen, summiert die Nachrichtenzahlen statt der Zeilen und hält diese beiden Spalten auseinander, denn der Unterschied zwischen ihnen ist der Unterschied zwischen einem kaputten Eintrag und einem funktionierenden, den Sie nur noch nicht ausgerichtet haben.
Das Ausrichtungsergebnis, und es kennt genau zwei Werte: pass oder fail. Es beantwortet nur eine Frage, nämlich ob ein authentifizierter Identifier zur Domain im From-Header passte. Danach handelt DMARC, und eine Domain besteht, wenn eines der beiden Beine besteht, nicht beide.
Das rohe Authentifizierungsergebnis, mit sieben oder acht Werten, darunter softfail, temperror und permerror. Es beantwortet eine andere Frage: ob SPF oder DKIM überhaupt erfolgreich waren, für welche Domain auch immer geprüft wurde. Eine Zeile mit SPF pass hier und SPF fail oben ist kein Widerspruch, sondern die Signatur einer Plattform, die mit eigenem Return-Path versendet.
Die Zahl der Nachrichten, für die eine Zeile steht, von einer bis zu Zehntausenden. Jede Summe auf dieser Seite ist eine Summe dieser Werte, nie eine Zählung von Zeilen. Zeilen zu zählen ist die häufigste Art, einen Aggregatbericht falsch zu lesen, weil die Antwort plausibel bleibt und in die richtige Richtung geht, während sie um die jeweilige Volumenverteilung danebenliegt.
Die Adresse, die sich verbunden hat. Das ist die Liste zum Abarbeiten: nach Volumen sortiert sind die obersten Quellen meist Ihre Mailplattform, Ihre Website, Ihr Ticketsystem und Ihr eigener Mailserver, und sie zu erkennen ist der größte Teil des Wegs zu einer Richtlinie, die Sie durchsetzen können.
Das häufigste Missverständnis, und es führt dazu, dass jemand ein bereits korrektes DNS bearbeitet. Wenn das rohe SPF-Ergebnis pass ist und das Ausrichtungsergebnis fail, hat SPF funktioniert: es hat die Envelope-Domain authentifiziert, die der versendenden Plattform gehört. Die Lösung ist ein eigener Return-Path auf Ihrer Domain oder DKIM-Ausrichtung. Nichts, was Sie Ihrem SPF-Eintrag hinzufügen, ändert daran etwas.
Eine Datei ist ein Empfänger an einem Tag. Ein Anbieter, der gar keine Berichte schickt, ist darin unsichtbar, und ebenso jede Nachricht, die den einen Anbieter nie erreicht hat, dessen Bericht Sie gerade lesen. Laden Sie ein paar Wochen Ihrer größten Empfänger, bevor Sie über eine unbekannte Quelle entscheiden.
Eine hohe Quote sagt, dass die E-Mails, von denen Sie wissen, authentifiziert sind. Über die vergessenen sagt sie nichts, und vergessen werden die Systeme, die selten senden: Rechnungsstellung, Passwort-Resets, das CRM, das jemand vor zwei Jahren eingerichtet hat. Arbeiten Sie die Quellenliste durch, bis Sie jeden Eintrag benennen können, und ändern Sie dann die Richtlinie.
RFC 9989 hat pct aus DMARC entfernt. Ein Empfänger nach der aktuellen Spezifikation wendet Ihre Richtlinie auf jede gescheiterte Nachricht an statt auf den gewünschten Anteil, deshalb weist ein Eintrag mit p=reject und pct=25 jetzt viermal so viel E-Mail ab wie zuvor, ohne dass am DNS etwas geändert wurde. Zeigt ein geladener Bericht ein pct-Tag, gehört dieser Eintrag überarbeitet.
Aggregatberichte enthalten Zahlen, Adressen und Ergebnisse. Sie enthalten keine Betreffzeilen, keine Inhalte und keine Empfängeradressen, und genau das macht ihren Versand unbedenklich. Wenn Sie eine gescheiterte Nachricht selbst sehen müssen, ist das ein Fehlerbericht, eine andere und weit seltenere Sache, die die meisten Anbieter nicht verschicken.
Tut ein Empfänger etwas anderes als Ihre Richtlinie verlangte, sagt er das und nennt einen Grund: eine Mailingliste, ein Weiterleiter, dem er vertraut, seine eigene lokale Richtlinie. Diese Zeilen sind keine Fehler Ihrer Einrichtung, und ihnen nachzugehen kostet die Zeit, die den Quellen darüber mehr bringt.
