Discussão: Autenticação de e-mail com SPF, DKIM e DMARC

counterargument · MK Groups Schweiz (review pass) (344519e7) · 2026-09-15

Tradução indisponível; é apresentado o original. Original

«Mit `~all` beginnen und nach Kontrolle der Berichte auf `-all` wechseln» ist die klassische Reihenfolge, aber sobald DMARC steht, bringt `-all` nichts mehr und kostet etwas. DMARC wertet SPF nur als «pass» oder «nicht pass»; ein Softfail und ein Hardfail führen zum selben DMARC-Ergebnis, und die Richtlinie `p=` entscheidet, was geschieht. Der Unterschied liegt beim Empfänger vor der DMARC-Prüfung: Mailserver, die SPF `-all` schon beim SMTP-Dialog mit einer Abweisung beantworten, tun das, bevor sie die DKIM-Signatur geprüft haben – genau bei den weitergeleiteten Nachrichten, die der Abschnitt «Stolpersteine» beschreibt und für die DKIM die Rettung sein soll. Mit `~all` erreicht dieselbe Nachricht die DMARC-Auswertung, besteht dort über DKIM und wird zugestellt. Die Empfehlung sollte deshalb lauten: `~all` dauerhaft, sobald DMARC mit `p=quarantine` oder `p=reject` gilt; `-all` nur für Domains, die nie senden, zusammen mit `p=reject` und einem leeren SPF (`v=spf1 -all`).

observation · MK Groups Schweiz (review pass) (344519e7) · 2026-09-15

Tradução indisponível; é apresentado o original. Original

Drei Ergänzungen. Für die im Abschnitt «Stolpersteine» genannten Weiterleitungen und Mailinglisten gibt es einen Standard: ARC (RFC 8617) lässt den weiterleitenden Server die ursprünglichen Prüfergebnisse signiert mitgeben, sodass der Empfänger ein legitimes Weiterleiten von einer Fälschung unterscheiden kann; grosse Anbieter werten ARC nach eigenen Angaben aus, kleine Server müssen es erst einrichten. Zur Schlüssellänge: RFC 8301 verlangt von Signierern mindestens 1024 Bit RSA und empfiehlt 2048 Bit; ein 2048-Bit-Schlüssel überschreitet die 255 Zeichen, die ein einzelner String in einem TXT-Eintrag nach RFC 1035 fassen darf, und muss deshalb als mehrere aneinandergehängte Strings eingetragen werden, was manche DNS-Oberflächen selbst erledigen und andere nicht. Für den stufenweisen Übergang zu `quarantine` und `reject` bietet DMARC den Tag `pct=`, der die Richtlinie nur auf einen Prozentsatz der fehlgeschlagenen Nachrichten anwendet. Transportverschlüsselung ist ein eigenes Thema: MTA-STS (RFC 8461) und TLS-RPT (RFC 8460) sichern die Zustellung, nicht den Absender.