Grundlegendes zur E-Mail-Authentifizierung
Übersicht
Erfahre mehr über E-Mail-Authentifizierungsprotokolle, mit denen du deine Absenderreputation aufbaust, sicherstellst, dass E-Mails von einem legitimen Absender stammen, und dich vor Missbrauch durch E-Mails schützt.
Die meisten Posteingangsanbieter setzen Senderanforderungen für Bulk-Versender durch. Das Einrichten der DMARC-Authentifizierung ist ein wichtiger Teil, um diese Anforderungen zu erfüllen, besonders für Versender*innen mit hohem Versandvolumen. Als Referenzpunkt betrachtet Google alle, die täglich 5.000 oder mehr E-Mails an Gmail-Empfänger*innen senden, als „Bulk-Versender“.
Über die E-Mail-Authentifizierung
„E-Mail-Authentifizierung“ bezieht sich auf die technischen Normen, die die Verifizierung der E-Mail-Absenderidentität ermöglichen. Die am häufigsten verwendeten Authentifizierungsstandards für E-Mails sind SPF, DKIM und DMARC. Mailserver verwenden diese Authentifizierungsprotokolle, um zu überprüfen, ob eingehende E-Mails von legitimen Absendern stammen, und deine Marke und deine Kund*innen vor böswilligen Akteuren zu schützen. Die Implementierung dieser Protokolle verhindert nicht nur Phishing- und Spoofing-Versuche, sondern kann auch die Zustellbarkeit verbessern, da E-Mail-Anbieter in der Lage sind, die Absenderidentität zu bestätigen.
SPF
Das Sender Policy Framework (SPF) ist eine Authentifizierungsmethode für E-Mails, mit der gefälschte Absenderadressen während der Zustellung der E-Mail erkannt werden. Mit SPF kann der empfangende Mailserver überprüfen, ob E-Mails von einer bestimmten Domain über eine von den Administratoren dieser Domain autorisierte IP-Adresse gesendet wurden.
Wenn eine E-Mail von einer IP-Adresse gesendet wird, die nicht über SPF zugelassen wurde, kann der empfangende Mailserver die E-Mail ablehnen oder sie vom primären Posteingang ableiten. Ohne SPF-Einträge kannst du IPs nicht über dein Absender-Domain authentifizieren, sodass sich böswillige Akteure leicht als deine Marke ausgeben können.
Auf der gemeinsamen Absender-Domain von Klaviyo werden E-Mails automatisch über SPF authentifiziert. Wenn du in Klaviyo deine eigene gebrandete Absender-Domain verwendest, wird der erforderliche SPF-Record automatisch über die CNAME- oder NS-Records hinzugefügt, die während der Einrichtung hinzugefügt werden.
DKIM
DomainKeys Identified Mail (DKIM) fungiert als digitale Signatur, die dem Header einer E-Mail hinzugefügt wird, um die Absenderidentität weiter zu verifizieren. Die empfangenden E-Mail-Server überprüfen, ob die DKIM-Signatur mit der des zugehörigen Absender-Domains übereinstimmt. Da die DKIM-Signatur im Header einer E-Mail vorhanden ist, bleibt sie im Gegensatz zur SPF-Authentifizierung auch bei der Weiterleitung einer E-Mail erhalten.
Auf Klaviyos geteilter Absender-Domain werden E-Mails automatisch über DKIM authentifiziert. Wenn du in Klaviyo deine eigene gebrandete Absender-Domain verwendest, wird der erforderliche DKIM-Eintrag automatisch über die während der Einrichtung hinzugefügten CNAME- oder NS-Einträge hinzugefügt.
DMARC
DMARC steht für „Domain-based Message Authentication, Reporting and Conformance“. Es ist ein Protokoll, das SPF und DKIM verwendet, um die Authentizität einer E-Mail zu bestimmen, sodass Domain-Eigentümer ihre Domain vor unbefugter Nutzung schützen können.
DMARC liefert Empfängerservern Anweisungen zur Handhabung eingehender E-Mails. Um zugestellt zu werden, müssen die Nachrichten die DKIM- und SPF-Abstimmungsprüfungen gemäß den Anforderungen der DMARC-Richtlinie bestehen. Nachrichten, die die DMARC-Prüfungen nicht bestehen, können zugelassen, abgelehnt oder im Spam-Ordner abgelegt werden.
Die Implementierung einer DMARC-Richtlinie auf deiner Domain kann dich vor Spoofing schützen und die Gefährdung deiner Marke und Empfänger*innen durch potenziell betrügerische und schädliche Nachrichten einschränken.
Beispiel für eine DMARC-Richtlinie
DMARC ist ein Markenauthentifizierungs-, Richtlinien- und Reporting-Protokoll, das sich auf alle E-Mails auswirkt, die von deiner E-Mail gesendet werden, über Klaviyo hinaus. Bitte beachte, dass es wichtig ist, mit deinem IT-Team oder einem Drittanbieter-Profi zusammenzuarbeiten, um eine DMARC-Richtlinie umzusetzen, die den Anforderungen deiner Marke am besten entspricht.
Unten siehst du ein Beispiel dafür, wie ein einfacher DMARC-Eintrag aussehen könnte und wie sich verschiedene Datensätze auf die Zustellung der E-Mail auswirken.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourbrand.com
Es ist üblich, dass das sp- Tag in einem DMARC-Eintrag weggelassen wird. In diesem Fall wird das sp- Tag standardmäßig auf den Wert des p- Tags zurückgesetzt.
DMARC-Richtlinien können zwar eine Reihe von Tags mit unterschiedlichen Funktionen haben, aber die Richtlinien-Tags p und sp sind für Klaviyo und dein E-Mail-Marketing am wichtigsten.
Die Werte dieser beiden Tags teilen den Inbox-Providern mit, wie sie reagieren sollen, wenn die Alignment-Prüfungen fehlschlagen. Wenn sie in From-E-Mail-Adressen verwendet werden, gilt der p -Tag für die Root-Domain (z. B. @yourbrand.com), während der sp -Tag für die Subdomains (z. B.@shop.yourbrand.com) gilt.
Das rua -Tag im Beispiel bestimmt dagegen, an welchen Posteingang DMARC-Berichte gesendet werden. Dieses Tag wird empfohlen, ist aber nicht erforderlich.
Stell sicher, dass du die oben stehende Platzhalter-E-Mail-Adresse (d. h. dmarc-reports@yourbrand.com) durch ein Postfach ersetzt, das für den Empfang von DMARC-Berichten eingerichtet ist, wenn du das rua -Tag verwenden möchtest.
Wert für p/sp-Tag | Was E-Mail-Anbieter mit falsch ausgerichteter E-Mail tun |
p=keine | Akzeptiere die E-Mail normal, trotz der Diskrepanz. |
p=Quarantäne | Akzeptiere die E-Mail, zeige aber eine Warnung an und platziere die E-Mail im Spam-Ordner. |
p=ablehnen | Blockiere die falsch ausgerichtete E-Mail. |
Eine DMARC-Richtlinie wird als TXT-Eintrag in der DNS-Systemsteuerung einer Domain platziert, muss aber bestimmte Syntaxregeln befolgen.
Wie sich p - und sp- Tags auf den Versand auf Klaviyo auswirken
Wenn du auf einem gemeinsam genutzten Absender-Domain sendest, weisen E-Mails immer eine Diskrepanz zwischen deiner Absenderadresse (z. B. marketing@yourbrand.com) und dem eigentlichen Absender-Domain der E-Mail (z. B. ksdn.klaviyomail.com) auf. Klaviyos eigenes gemeinsam genutztes Absender-Domain hat eine DMARC-Richtlinie auf p=none festgelegt, damit deine E-Mails trotz der Diskrepanz im Posteingang deiner Kund*innen landen können.
Wenn du ein Gebrandete Absender-Domain verwendest, eine Domain, die deiner Marke gehört, stimmt die Absenderadresse mit dem Absender-Domain überein. Infolgedessen werden die DMARC-Prüfungen bestanden.
rua -Tags und DMARC-Reporting
Das rua- Tag in einem DMARC-Eintrag ermöglicht es der zugehörigen E-Mail-Adresse, DMARC-Berichte in XML-Dateien zu empfangen formatieren. Diese Berichte sind schwer und mühsam zu interpretieren. Klaviyo empfiehlt dir daher, mit einem DMARC-Dienstanbieter zusammenzuarbeiten, wenn du das rua- Tag für das DMARC-Reporting verwenden möchtest. Diese Anbieter helfen bei der Verarbeitung der XML-Datei DMARC-Berichte erstellen und präsentieren, damit deine Marke leichter Erkenntnisse sammeln kann.
Die Domain der im rua- Tag festgelegten E-Mail-Adresse zum Empfang von DMARC-Berichten muss mit der Root-Domain des DMARC-Eintrags übereinstimmen. Um DMARC-Berichte über eine andere Domain zu erhalten, musst du der Root-Domain deiner Marke einen TXT-Eintrag hinzufügen, den der Domain-Eigentümer bereitstellt.
DMARC-Beispielbericht
Einige Beispiele für DMARC-Anbieter, die Klaviyo empfiehlt:
E-Mail-Authentifizierung konfigurieren
Wenn du E-Mails mit Klaviyo versendest, musst du keine eigenen SPF- und DKIM-Einträge hinzufügen. Wenn du über das gemeinsam genutzte Absender-Domain von Klaviyo sendest, wurden die erforderlichen Einträge bereits für die erfolgreiche Authentifizierung festgelegt. Bei einem Gebrandete Absender-Domain (auch dediziertes Absender-Domain genannt) aktivieren die Klaviyo NS- oder CNAME-Einträge, die während der Einrichtung hinzugefügt werden, automatisch die DKIM- und SPF-Authentifizierung.
Die Einrichtung von DMARC ist jedoch ein externer Prozess, der außerhalb von Klaviyo mit deinem DNS-Anbieter durchgeführt wird. Die von dir festgelegte DMARC-Richtlinie legt fest, wie mit Nachrichten verfahren wird, bei denen die SPF- und DKIM-Authentifizierung fehlschlägt. DMARC-Richtlinien können nicht authentifizierte E-Mails entweder in Quarantäne verschieben und sie an den Spam-Ordner der Empfänger*innen senden, sie trotz der falschen Ausrichtung in den Posteingängen landen lassen oder sie vollständig ablehnen und die Zustellung an die Empfänger*innen blockieren.
Wenn deine Marke derzeit keine DMARC-Richtlinie hat, ist die Konfiguration von p=none ein guter erster Schritt, um die Anforderungen an den E-Mail-Anbieter zu erfüllen. Klaviyo empfiehlt dir jedoch dringend, mit deinem IT-Team oder einem Drittanbieter-Profi zusammenzuarbeiten, wenn du eine strengere DMARC-Richtlinie konfigurieren möchtest, die Spoofing verhindert und das Reporting über Abgleichfehler ermöglicht.
Klaviyo kann DMARC nicht in deinem Namen implementieren, da der Prozess die Sicherheit deiner Marke und den Versand außerhalb von Klaviyo beeinträchtigt. Darüber hinaus erfordert die Implementierung von DMARC den Zugriff auf die DNS-Einstellungen deiner Marke und die Kontrolle darüber. Klaviyo kann solche DNS-Änderungen nicht für deine Marke vornehmen, um deine Sicherheit und dein Eigentum an deiner Domain zu schützen.
DMARC in deinem DNS einrichten
Die Einrichtung von DMARC erfolgt außerhalb von Klaviyo in deinem DNS-Anbieter. Es gibt eine große Anzahl verschiedener DNS-Anbieter, aber die folgenden Schritte beschreiben, wie DMARC im Allgemeinen implementiert wird.
Um DMARC einzurichten, muss sich dein Netzwerkadministrator für die Domain bei den DNS-Einstellungen der Domain anmelden, um einen DMARC-Eintrag hinzuzufügen, wie der unten gezeigte. Erstelle nach der Anmeldung bei deinem DNS-Anbieter einen neuen Eintrag mit den folgenden Informationen.
- Typ: TXT
- Host: _dmarc
- Wert: v=DMARC1; p=none
Der rua Tag ist ein optionaler Tag, der für das DMARC-Reporting verwendet wird. Wenn du die Berichte verwenden möchtest und sie in einem Posteingang erhalten willst, lautet der Wert des DMARC-Eintrags: v=DMARC1; p=none; rua=mailto:email@yourbrand.com
Die Namen der Felder, Schnittstellen und Prozesse zur Erstellung eines neuen Eintrags können je nach DNS-Anbieter variieren. Einige Beispiele für DNS-Anbieter sind GoDaddy und Namecheap, aber es gibt noch viele andere.
Wenn du weitere Informationen zur Einrichtung von DMARC für deine Domain benötigst, empfehlen wir die folgenden Ressourcen und Services oder wende dich an deinen DNS-Anbieter.
- So schützt DMARC den Ruf deiner Domain
- MXToolBox: So richtest du DMARC ein
- DMARCian: Erste Schritte mit DMARC
- Valimail
Einhaltung von DMARC für deine Klaviyo-E-Mails
Um DMARC-konform zu sein, musst du ein Gebrandete Absender-Domain mit deinem Konto verbinden, das mit der Root-Domain in deiner Absender-E-Mail-Adresse (d. h. deiner Absenderadresse) übereinstimmt. Wenn du z. B. eine E-Mail mit sales@yourbrand.com als Absenderadresse sendest und yourbrand.com durch DMARC geschützt ist, muss dein Konto ein Gebrandete Absender-Domain wie send.yourbrand.com verwenden, um die DMARC-Anforderungen zu erfüllen.
Erfahre, wie du deine Absender-E-Mail-Adresse aktualisierst, damit sie mit deiner gebrandeten Absender-Domain übereinstimmt.
Interne Empfänger
Wenn du eine gemeinsam genutzte Domain verwendest, um E-Mails an interne Empfänger zu senden, können E-Mail-Anbieter eine Warnmeldung anzeigen und E-Mails im Spam platzieren, wenn die E-Mail-Adresse der Empfänger mit der Absenderadresse übereinstimmt.
Zum Beispiel auf Gmail:
Dies betrifft zwar nur Benutzer*innen mit E-Mail-Adressen, die mit deiner eigenen Absender-Domain übereinstimmen, aber du kannst ein Gebrandete Absender-Domain einrichten, um dies zu verhindern.
Wenn du diese Warnung für einen persönlichen Posteingang außerhalb des Unternehmensbereichs siehst, ist dies wahrscheinlich das Ergebnis eines DMARC-Fehlers. Um DMARC-konform zu sein, musst du ein Gebrandete Absender-Domain mit deinem Konto verbinden, das mit der Domain in deiner Absender-E-Mail-Adresse übereinstimmt (d. h. deine Absenderadresse).
Deine E-Mail-Authentifizierungskonfiguration wird verifiziert
Um zu überprüfen, ob der Eintrag erfolgreich veröffentlicht wurde, kannst du deine Domain in den DMARC-Checker von EasyDMARC eingeben. Mit diesem Tool ist ein Status von Warning oder Valid konform mit den Absenderanforderungen von Inbox-Provider*innen.
Alternativ kannst du auch überprüfen, ob deine Markenauthentifizierung korrekt eingerichtet ist, indem du den Header einer von deiner E-Mail versendeten E-Mail verwendest.
Ein E-Mail-Header enthält Metadaten über eine E-Mail und den von ihr zurückgelegten Netzwerkpfad. Dazu gehören Informationen wie Absenderadresse, Betreffzeile, Empfänger und wichtige Authentifizierungsdetails, z. B. ob SPF, DKIM und DMARC erfolgreich sind.
Übergang zu einer sichereren DMARC-Richtlinie
Eine DMARC-Richtlinie von p=none reicht zwar aus, um die ursprünglichen Absenderanforderungen zu erfüllen, aber ein Wechsel zu einer sichereren Richtlinie kann dein Unternehmen besser vor böswilligen Akteuren schützen.
Vorteile von sichereren Richtlinien
Der Hauptvorteil von p=quarantine oder p=reject ist, dass sie verhindern, dass falsch ausgerichtete E-Mails (d. h. E-Mails, die von einem Absender-Domain versendet werden, das nicht mit der Root-Domain deiner Marke übereinstimmt) im Hauptposteingang der Empfänger*innen landen. P=none hat keinen Einfluss auf die Platzierung im Posteingang, wenn eine E-Mail von einer falsch ausgerichteten Domain gesendet wird, sodass Empfänger weiterhin E-Mails von einem böswilligen Akteur erhalten können, der versucht, sich als deine Marke auszugeben. Wenn Benutzer*innen eine gefälschte E-Mail aufrufen, die scheinbar von deiner Marke stammt, kann dies das Vertrauen der Kund*innen in die E-Mail deiner Marke belasten.
Wenn du dagegen eine Richtlinie von p=quarantine oder p=reject verwendest, werden falsch ausgerichtete E-Mails blockiert oder an den Spam-Ordner für Empfänger gesendet. E-Mail-Anbieter*innen wissen, dass sie die E-Mail nicht sehen müssen, und gefälschte E-Mails gelangen nicht in den primären Posteingang.
Weitere Überlegungen
Beachte, dass DMARC für alle E-Mails deiner Marke gilt, auch für Nachrichten außerhalb Klaviyos. Mit einer Richtlinie von p=none sind deine Sendungen nicht betroffen, da E-Mails weiterhin im primären Posteingang landen. Die strengeren DMARC-Richtlinien können jedoch dazu führen, dass E-Mails nicht zugestellt werden, wenn deine Domains nicht auf die gesamte Sendeinfrastruktur und die Anwendungsfälle deines Unternehmens für E-Mails abgestimmt sind.
Aus diesem Grund empfiehlt Klaviyo, mit deinem IT-Team oder einem DMARC-Service-Provider eine Richtlinie zu implementieren, die den Anforderungen deiner Marke am besten entspricht.