Einleitung
Bei DKIM (Domain Keys Identified Mail) handelt es sich um ein Verfahren, mit dem verifiziert werden kann, ob eine E-Mail vom korrekten Absenderserver versendet wurde. Es wird innerhalb der E-Mail eine Signatur abgelegt, welche anhand eines DNS-Eintrags in der DNS-Zone der Domain verifiziert werden kann. Schlägt die Verifikation beim empfangenden Mailserver fehl, hat dieser die Möglichkeit die E-Mail abzuweisen oder entsprechend als Spam zu klassifizieren. Umgekehrt werden zudem bei vielen der grossen E-Mail Dienstleister wie Google oder Microsoft (Office 365) E-Mails mit einer gültigen Signatur seltener als Spam klassifiziert. DKIM kann also auch die Zustellsicherheit von E-Mails erhöhen.
Über DMARC (Domain-based Message Authentication, Reporting and Conformance) kann definiert werden, ob und was bei fehlerhafter oder ausbleibender DKIM-Signierung unternommen werden soll.
Voraussetzungen
Um DKIM/DMARC einsetzen zu können, muss die Plesk DNS-Verwaltung genutzt werden.
DKIM aktivieren
Sie können DKIM in den E-Mail-Einstellungen aktivieren. Klicken Sie hierfür bei der gewünschten Domain auf "E-Mail-Adressen" und dann auf den Reiter "E-Mail-Einstellungen".
Durch Aktivierung des Häkchens und Klick auf "OK" wird DKIM aktiviert und automatisch ein DNS-Eintrag in der DNS-Zone der Domain geschrieben, welcher den öffentlichen Schlüssel (Public Key) enthält.
Beispiel:
default._domainkey.<domain>. IN TXT "v=DKIM1; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCvKDWTq3as3GYabvj0Eh/zHL0/P1F0+2MgJvcIJ5bVhImb6wk9pJPwHuhQZ7/TH7vnrAA1ERgpXXsQb28jggIGRn/KWXueZKKgkqmcwbS0jWGc4ytpcgLVMWOTE492x9RYgr4mx0h1iSOLTeUcg9XKoxPNsUu+h1NgexMVjQxzCwIDAQAB;"
Ab diesem Zeitpunkt werden alle authentifiziert gesendeten E-Mails mit dem im System hinterlegten Key signiert und können anhand des genannten DNS-Eintrags geprüft werden.
Damit dies auch auf Zielsystemen korrekt verifiziert wird, sollte nun eine entsprechende DMARC-Regel definiert werden, siehe nächstes Kapitel.
DMARC aktivieren
Nachfolgend sind die wichtigsten DMARC-DNS-Einträge dokumentiert. Es gibt weitere Möglichkeiten, welche Sie den gängigen DMARC-Dokumentationen entnehmen können.
Standardmässig wird bei Neuerstellung einer Domain der nachfolgende DNS-Eintrag mit "p=none" definiert. Nach Aktivierung von DKIM empfehlen wir Ihnen "p=quarantine".
1. p=none - DMARC deaktiviert - Es muss kein Key in der DNS-Zone hinterlegt sein und E-Mails müssen nicht signiert werden. Sollte die E-Mail signiert sein, wird die Signatur geprüft und im Header der E-Mail ein entsprechender Eintrag geschrieben.
_dmarc.<domain> IN TXT "v=DMARC1; p=none"
2. p=quarantine - DMARC aktiviert - E-Mails müssen mit dem korrekten Key signiert werden. Ein DKIM-Eintrag muss im DNS vorhanden sein. Bei Verfehlung wird die E-Mail beim Empfänger als Spam markiert oder in Quarantäne bzw. in den Spam-Ordner verschoben, sofern SPF nicht konfiguriert ist oder die SPF-Prüfung fehlschlägt. Wenn SPF konfiguriert ist und die E-Mail von einem authentifizierten Server gesendet wurde, wird diese normal behandelt und es wird lediglich im Header erwähnt, dass die Signatur nicht korrekt ist.
_dmarc.<domain> IN TXT "v=DMARC1; p=quarantine"
2. p=reject - DMARC aktiviert - Gleiches Verhalten wie bei "quarantine". Die E-Mail wird jedoch im Fehlerfall (je nach Anbieter) abgewiesen oder verworfen.
_dmarc.<domain> IN TXT "v=DMARC1; p=reject"
