What is the difference between the From header and the Return-Path?

The From header is the visible sender address recipients see, and DMARC aligns against it. The Return-Path, also called the envelope sender or MAIL FROM, is the bounce address whose domain SPF checks. They can differ, which is why DMARC alignment is needed.

What is alignment in DMARC?

Alignment is the requirement that the domain authenticated by SPF or DKIM matches the domain in the visible From header. Relaxed alignment allows the organizational domains to match, while strict alignment requires an exact domain match. Alignment is what makes DMARC resistant to spoofing.

What is ARC and why does it matter?

ARC, Authenticated Received Chain, records authentication results as a message passes through intermediaries such as mailing lists and forwarders. Because forwarding often breaks SPF and DKIM, ARC lets a final receiver see that the message passed authentication earlier, helping legitimate forwarded mail survive DMARC.

Is MTA-STS part of DMARC?

No. MTA-STS is a separate standard that enforces encrypted TLS connections between mail servers, and TLS-RPT (RFC 8460) reports on TLS failures. They complement DMARC by securing mail in transit, but they authenticate the connection, not the sender identity that DMARC covers.

What is the difference between SPF, DKIM and DMARC?

SPF authorizes sending servers, DKIM proves a message was signed by a domain and not altered, and DMARC ties both to the visible From address and sets the policy for failures.

What does DMARCbis change?

DMARCbis, published in May 2026 as RFC 9989, 9990 and 9991, replaces the retired RFC 7489. It removes pct, adds the t testing flag and the np policy for non-existent subdomains, and finds the organizational domain by walking the DNS tree. Existing valid records keep working.

DMARC -Wörterbuch und Glossar

[Schnelle Antwort]

Die E-Mail-Authentifizierung basiert auf drei DNS Einträgen: SPF listet auf, wer für eine Domäne senden darf, DKIM signiert jede Nachricht und DMARC prüft, ob einer von ihnen für die sichtbare Absenderdomäne bestanden hat, und weist Empfänger an, fehlgeschlagene E-Mails zuzustellen, unter Quarantäne zu stellen oder abzulehnen.

Wichtige Fakten

›DMARC benötigt SPF oder DKIM , um mit Ausrichtung an die Von-Domäne weitergeleitet zu werden.
›p=reject is full protection; p=none only monitors.
›SPF erlaubt höchstens 10 DNS Suchvorgänge.
›BIMI zeigt Ihr Logo erst an, wenn DMARC durchgesetzt wird.

Bewertet vom EmailAuth Forschungsteam

Dieses Glossar definiert die Kernbegriffe der E-Mail-Authentifizierung, von den Standards, auf denen DMARC aufbaut, bis hin zu den damit verbundenen Berichten und zugehörigen Protokollen. Verwenden Sie es als Kurzreferenz beim Lesen DMARC -Datensätzen oder aggregierten Berichten.

125 Begriffe

Ein Rekord: DNS Eintrag, der einen Hostnamen auf eine IPv4 -Adresse verweist (AAAA für IPv6 ).; MX Eintrag Eine Datensatzsuche
Kontoübernahme: Ein Angreifer erlangt die Kontrolle über ein echtes Postfach, sodass seine E-Mails SPF , DKIM und DMARC passieren.; BEC
ADKIM: DMARC Tag-Einstellung DKIM Ausrichtung: r (entspannt, Standard) erlaubt Subdomains, s (streng) erfordert eine genaue Domänenübereinstimmung.; adkim=s; Ausrichtung ASPF
Ausrichtung: Die DMARC Anforderung, dass die durch SPF oder DKIM authentifizierte Domäne mit der sichtbaren Von-Domäne übereinstimmt.; Das Bestehen von SPF oder DKIM reicht für DMARC nicht aus. Die übergebene Domäne muss außerdem mit der Absenderadresse, die der Leser sieht, identisch sein oder (im entspannten Modus) eine Organisationsdomäne mit ihr teilen.; ADKIM ASPF Kopfzeile von Organisationsdomäne Was ist DMARC ? E-Mail-Header-Analysator
ARC: Authentifizierte Empfangskette: Ermöglicht Weiterleitungen und Mailinglisten, die ursprünglichen Authentifizierungsergebnisse beizubehalten.; Jeder Vermittler fügt einen signierten Datensatz darüber hinzu, wie die Authentifizierung beim Empfang der Nachricht aussah, sodass der endgültige Empfänger den Ergebnissen vertrauen kann, bei denen die Weiterleitung fehlgeschlagen ist.; ARC Siegel Weiterleitung
ARC Siegel: Der ARC-Seal Header, den jeder Vermittler hinzufügt, um die Kette der ARC Ergebnisse zu signieren.; ARC
ASPF: DMARC Tag-Einstellung SPF Ausrichtung: r (entspannt) oder s (streng).; aspf=r; Ausrichtung ADKIM
Authentication-Results: Der Header eines Empfängers fügt die Aufzeichnung SPF , DKIM und DMARC -Ergebnissen für eine Nachricht hinzu.; SPF DKIM DMARC E-Mail-Header-Analysator

Rückstreuung: An Sie gesendete Bounce-Nachrichten für Spam, den Sie nie gesendet haben, weil Ihre Adresse gefälscht war.; Spoofing
BEC: Business Email Compromise: Betrug, bei dem sich Angreifer per E-Mail als Führungskräfte oder Lieferanten ausgeben.; Typischerweise fordert BEC die Finanzabteilung auf, die Bankdaten zu ändern oder eine dringende Rechnung zu bezahlen. Die Verluste belaufen sich jedes Jahr auf Milliarden; DMARC entfernt den einfachsten Weg, das exakte Domain-Spoofing.; Walfang Kompromittierung der E-Mail-Adresse des Anbieters Spoofing
BIMI: Markenindikatoren zur Nachrichtenidentifizierung: Zeigt Ihr Logo in Posteingängen für E-Mails an, die DMARC bestehen.; BIMI benötigt DMARC bei Quarantäne oder Ablehnung, ein Logo im SVG Tiny PS-Format und für Gmail und Apple ein VMC oder CMC -Zertifikat.; default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"; VMC CMC SVG Tiny PS Was ist BIMI ? BIMI Checker
BIMI Datensatz: Standardmäßig ein TXT Eintrag. _bimi.yourdomain verweist auf Ihr Logo ( l=) und Ihr Zertifikat ( a=).; BIMI VMC Erstellen Sie einen BIMI Datensatz
Sperrliste: Eine öffentliche Liste von IP-Adressen oder Domänen, bei denen festgestellt wurde, dass Spam gesendet wird. Empfänger nutzen sie, um Post abzulehnen.; Reputation des Absenders Blacklist- und DNSSEC Prüfer
Blaues Häkchen: Das Häkchen für den bestätigten Absender von Gmail wird für Marken mit BIMI und einem VMC angezeigt.; VMC
BOD 18-01: US-Bundesrichtlinie, die Behörden verpflichtet, DMARC mit p=reject.; p=reject
Körper-Hash: Der bh=-Wert in einer DKIM Signatur: ein Hash des Nachrichtentexts, der beim Empfang übereinstimmen muss.; DKIM Signatur
Massenabsender: Gmail und Yahoo bezeichnen eine Domain, die täglich etwa 5.000 oder mehr Nachrichten an ihre Nutzer sendet.; Anforderungen an Absender von Google und Yahoo

CAA-Eintrag: DNS Eintrag, der auflistet, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen.; CAA-Checker
Kanonisierung: So wird eine Nachricht vor DKIM -Signierung normalisiert: einfach oder entspannt für Kopfzeilen und Text.; DKIM Signatur
CIDR: Klassenlose Notation für einen IP-Bereich, z. B. 203.0.113.0/24 für 256 Adressen.; IP4 und IP6 SPF CIDR-Rechner
CMC: Common Mark-Zertifikat: ein BIMI -Zertifikat, für das keine eingetragene Marke erforderlich ist.; VMC BIMI
CNAME Eintrag: DNS Alias, der einen Hostnamen auf einen anderen verweist und häufig zum Delegieren DKIM Schlüsseln an einen Anbieter verwendet wird.; DKIM Selektor CNAME Suche

d= tag: Die signierende Domäne in einer DKIM Signatur; Es muss mit der From-Domäne für DMARC übereinstimmen.; Ausrichtung DKIM Signatur
DANE: DNS-basierte Authentifizierung benannter Entitäten: Steckt TLS Zertifikate in DNSSEC-signierte TLSA-Einträge.; TLSA-Eintrag DNSSEC DANE /TLSA-Prüfer
Baumelndes DNS: Ein Datensatz, der auf eine gelöschte Cloud-Ressource verweist, die jemand anderes beanspruchen kann.; Subdomain-Übernahme
Datenresidenz: Speicherung und Verarbeitung von Daten in einem ausgewählten Land oder einer ausgewählten Region.; Sicherheit und Vertrauen
Lieferfähigkeit: Wie zuverlässig Ihre E-Mails den Posteingang erreichen und nicht Spam oder Ablehnung.; Reputation des Absenders
Spoofing von Anzeigenamen: Es wird nur der Absendername vorgetäuscht, z. B. „CEO-Name“ < random@gmail.com >; DMARC kann es nicht stoppen.; Spoofing BEC
DKIM: DomainKeys Identified Mail: eine kryptografische Signatur, die beweist, dass eine Nachricht von einer Domäne stammt und nicht verändert wurde ( RFC 6376 ).; Der sendende Server signiert Header und Text mit einem privaten Schlüssel; Empfänger holen den öffentlichen Schlüssel vom DNS und verifizieren ihn. Im Gegensatz zu SPF überlebt DKIM normalerweise die Weiterleitung.; DKIM Selektor DKIM Signatur Ausrichtung Was ist DKIM ? DKIM Suche
DKIM Schlüssellänge: Größe des RSA-Schlüssels; 2048-Bit ist die aktuelle Empfehlung, 1024-Bit gilt als schwach.; DKIM -Schlüsselrotation Ed25519
DKIM -Schlüsselrotation: Ersetzen Sie regelmäßig DKIM Schlüssel, indem Sie einen neuen Selektor veröffentlichen und den alten zurückziehen.; DKIM Selektor DKIM Schlüssellänge DKIM Einrichtungsanleitung DKIM Generator
DKIM Selektor: Das s=-Label teilt Empfängern im Selektor mit, welcher öffentliche DKIM Schlüssel abgerufen werden soll. _domainkey.domain.; s1._domainkey.example.com; DKIM DKIM -Schlüsselrotation DKIM Suche
DKIM Signatur: Der DKIM-Signature Header trägt die Signaturdomäne ( d=), den Selektor ( s=) und die Signatur selbst.; DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...; DKIM d= tag DKIM Signatur erklärt E-Mail-Header-Analysator
DMARC: Domänenbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformität: Richtlinie und Berichterstattung basierend auf SPF und DKIM , jetzt definiert durch RFC 9989 (mit RFC 9990 und 9991 für Berichte), das im Mai 2026 RFC 7489 ersetzte.; DMARC teilt den empfangenden Mail-Servern mit, was zu tun ist, wenn eine Nachricht, die angeblich von Ihrer Domain stammt, SPF und DKIM Anpassung nicht besteht: Zustellen, Spam senden oder ablehnen. Außerdem werden sie aufgefordert, Ihnen Berichte zu senden, sodass Sie jeden sendenden Dienst als Ihre Domain sehen können.; v=DMARC1; p=reject; rua=mailto:dmarc@example.com; DMARC Eintrag Ausrichtung p=reject DMARCbis Was ist DMARC ? DMARC Prüfer
DMARC -Durchsetzung: Ausführen DMARC bei p=quarantine oder p=reject , sodass fehlgeschlagene E-Mails tatsächlich gestoppt werden.; p=reject p=quarantine DMARC -Setup-Anleitungen
DMARC Eintrag: Ein TXT Eintrag unter _dmarc.yourdomain , der die DMARC -Richtlinie und Berichtsadressen veröffentlicht.; Der Datensatz ist eine Liste von tag=value Paaren. Es sind nur v und p erforderlich; Der Rest kontrolliert Subdomains, Reporting und Ausrichtung.; _dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:reports@example.com"; DMARC TXT Eintrag RUA Was ist ein DMARC Eintrag? DMARC Generator
DMARCbis: Der frühere Arbeitsname von RFC 9989 , dem aktuellen DMARC Standard (Mai 2026), der RFC 7489 ersetzte. Es fügt die np- und t-Tags und einen DNS Tree-Walk anstelle der öffentlichen Suffixliste hinzu.; DMARCbis bereinigt die ursprüngliche Spezifikation: pct wird entfernt, t= ersetzt teilweise Rollouts, np= deckt nicht vorhandene Subdomänen ab und die Organisationsdomäne wird durch Durchlaufen des DNS Baums gefunden. Im Mai 2026 als RFC 9989 , 9990 und 9991 veröffentlicht, heißt es jetzt einfach DMARC . Heute gültige Aufzeichnungen funktionieren weiterhin.; DMARC RFC 9989 np t-Tag psd DNS Baumwanderung Was ist DMARC ?
DNS Suchlimit: SPF kann höchstens 10 DNS-Abfragemechanismen auslösen; more verursacht PermError.; include, a, mx, ptr, existieren und leiten jede Zählung in Richtung des Limits um, einschließlich verschachtelter Suchvorgänge in den Datensätzen anderer Anbieter. Das Hinzufügen einiger SaaS-Tools reicht aus, um das Problem zu lösen.; PermError Abflachung SPF Das SPF -Suchproblem SPF Checker
DNS -Verbreitung: Die Verzögerung vor einer DNS Änderung ist überall zu beobachten, da zwischengespeicherte Antworten ablaufen.; TTL DNS -Verbreitung
DNS Baumwanderung: DMARCbis Methode zum Finden der Organisationsdomäne durch Abfragen der DNS Hierarchie.; DMARCbis Öffentliche Suffixliste
DNSSEC: DNS Sicherheitserweiterungen: Signieren DNS Antworten kryptografisch, um Manipulationen zu verhindern.; DANE Blacklist- und DNSSEC Prüfer
Domainalter: Wie lange ist eine Domain registriert? Sehr neue Domains werden mit Argwohn behandelt.; Überprüfung des Domain-Alters
DORA: EU-Gesetz zur digitalen Betriebsstabilität für Finanzunternehmen, das IKT-Risiken einschließlich E-Mail abdeckt.; NIS2
Downgrade-Angriff: Ein Angreifer entfernt STARTTLS sodass E-Mails unverschlüsselt gesendet werden. MTA-STS und DANE verhindern dies.; STARTTLS MTA-STS

Ed25519: Ein moderner Kurzschlüssel-Signaturalgorithmus für DKIM ( RFC 8463 ), der normalerweise zusammen mit RSA veröffentlicht wird.; DKIM Schlüssellänge
E-Mail-Header: Die Routing- und Authentifizierungszeilen oben in einer Nachricht, lesbar über „Original anzeigen“.; E-Mail-Header-Analysator
Umschlagabsender: Der Return-Path oder die MAIL FROM-Adresse, die in SMTP verwendet wird und von SPF überprüft wird.; Return-Path Kopfzeile von
ESP: E-Mail-Dienstanbieter: eine Plattform, die E-Mails für Sie versendet, beispielsweise ein Marketing- oder Transaktionsdienst.; Enthalten DKIM Selektor
Überprüfung des externen Ziels: Ein DNS Eintrag, der es einer Domäne ermöglicht, dem Empfang DMARC -Berichten für eine andere zuzustimmen.; example.com._report._dmarc.reports.vendor.com TXT "v=DMARC1"; RUA

FCrDNS: Forward-bestätigter Reverse- DNS : Der PTR Hostname wird wieder in dieselbe IP aufgelöst.; PTR Datensatz Reverse- DNS Prüfer
Rückkopplungsschleife: Ein Dienst, bei dem ein Postfachanbieter Sie darüber informiert, wenn Empfänger Ihre E-Mail als Spam melden.; Spam-Beschwerdequote
fo: DMARC Tag, das auswählt, wann Fehlerberichte (forensische Berichte) generiert werden, z. B. fo=1 für jeden Fehler.; fo=1; RUF
Weiterleitung: Erneutes Senden einer Nachricht an eine neue Adresse; es bricht normalerweise SPF und manchmal DKIM .; ARC SRS

Anforderungen an Absender von Google und Yahoo: Seit 2024 benötigen Massenversender an Gmail und Yahoo SPF , DKIM , DMARC , Alignment, One-Click-Abbestellen und niedrige Spam-Raten.; Massenabsender Mit einem Klick abmelden Spam-Beschwerdequote Google- und Yahoo -Absenderregeln Absenderprüfung bei Google und Yahoo
Google Postmaster-Tools: Das kostenlose Dashboard von Google zeigt die Spam-Rate, den Ruf und die Authentifizierung Ihrer Domain bei Gmail an.; Spam-Beschwerdequote

Harter Sprung: Ein dauerhafter Lieferfehler, beispielsweise eine Adresse, die nicht existiert.; Sanfter Sprung
Hardfail ( -all ): SPF Qualifikationsmerkmal, das angibt, dass nicht aufgeführte Absender nicht zulässig sind.; Softfail ( ~all )Neutral ( ?all )
Kopfzeile von: Die den Empfängern angezeigte Absenderadresse wird von der Domäne DMARC geschützt.; Ausrichtung Umschlagabsender
HELO Identität: Der Hostname, den ein Server bekannt gibt, wenn er eine Verbindung herstellt. SPF kann es auch überprüfen.; SPF
Homoglyphe: Ein Zeichen, das wie ein anderes aussieht, z. B. das kyrillische „a“ für das lateinische „a“, das in Lookalike-Domänen verwendet wird.; Lookalike-Domäne

Enthalten: SPF Mechanismus, der SPF Eintrag einer anderen Domain autorisiert, z. B. include:_spf.google.com.; SPF Eintrag DNS Suchlimit
IP-Aufwärmphase: Allmählich steigendes Volumen einer neuen sendenden IP, damit Anbieter Vertrauen aufbauen.; Reputation des Absenders
IP4 und IP6: SPF Mechanismen, die eine IP-Adresse oder einen CIDR-Bereich direkt ohne DNS Suche autorisieren.; ip4:203.0.113.0/24 ip6:2001:db8::/32; CIDR Abflachung SPF
ISO 27001: Internationaler Standard für ein Informationssicherheits-Managementsystem.; Sicherheit und Vertrauen

l= tag: Optionale DKIM -Körperlängenbegrenzung; riskant, da Angreifer Inhalte nach dem signierten Teil anhängen können.; DKIM Signatur
Lookalike-Domäne: Eine Domain, die Ihrer ähnelt und registriert wurde, um Ihre Marke zu verkörpern.; Homoglyphe Lookalike-Domain-Finder

MTA: Mail Transfer Agent: ein Server, der E-Mails sendet oder weiterleitet.; SMTP
MTA-STS: Strikte Transportsicherheit des Mail Transfer Agent: erfordert verschlüsseltes, validiertes TLS für eingehende E-Mails ( RFC 8461 ).; Sie veröffentlichen eine Richtliniendatei über HTTPS und einen TXT Eintrag. Die sendenden Server verweigern dann die Zustellung an Sie über eine unverschlüsselte oder gefälschte Verbindung.; _mta-sts.example.com TXT "v=STSv1; id=20260101"; TLS-RPT STARTTLS DANE MTA-STS Prüfer
MX Eintrag: DNS Eintrag, der die Server benennt, die E-Mails für eine Domain empfangen.; MTA MX Suche

Neutral ( ?all ): SPF Qualifikationsmerkmal, das keine Aussage zu nicht aufgeführten Absendern macht.; Softfail ( ~all )
NIS2: EU-Cybersicherheitsrichtlinie, die wesentliche und wichtige Einrichtungen zum Management von Risiken, einschließlich E-Mail-Bedrohungen, verpflichtet.; DORA
np: DMARCbis -Tag legt die Richtlinie für Subdomains fest, die im DNS nicht vorhanden sind.; Angreifer senden gerne von erfundenen Subdomains wie billing.example.com aus. np=reject blockiert sie, selbst während der Rest Ihrer Richtlinie noch eingeführt wird.; np=reject; DMARCbis SP
NS-Rekord: DNS Eintrag, der die autorisierenden Nameserver für eine Domain benennt.; Nameserver-Prüfer

Mit einem Klick abmelden: List-Unsubscribe-Post Header ( RFC 8058 ), der von Gmail und Yahoo für Massenmails benötigt wird.; Anforderungen an Absender von Google und Yahoo
Organisationsdomäne: Die registrierte Domäne, zu der eine Subdomäne gehört, z. B. example.com für mail.example.com .; Ausrichtung DNS Baumwanderung Öffentliche Suffixliste

p=none: DMARC -Überwachungsrichtlinie: Berichte werden gesendet, aber keine E-Mails werden blockiert.; Beginnen Sie hier. Sie sammeln Berichte, finden alle legitimen Absender und korrigieren deren Authentifizierung, bevor Sie sie in die Quarantäne verschieben und ablehnen. Für immer bei p=none zu bleiben, bietet keinen Schutz.; p=quarantine p=reject RUA DMARC -Setup-Anleitungen
p=quarantine: DMARC -Richtlinie, die Empfänger dazu auffordert, fehlgeschlagene E-Mails als verdächtig zu behandeln, normalerweise den Spam-Ordner.; p=none p=reject
p=reject: DMARC Richtlinie fordert Empfänger auf, fehlerhafte E-Mails zu blockieren: vollständiger Schutz.; Bei p=reject, die DMARC nicht bestehen, abgelehnt, bevor sie den Posteingang erreichen, sodass Angreifer sie nicht unter Ihrer genauen Domäne senden können. Es ist das Ziel jedes DMARC Projekts.; p=none p=quarantine DMARC Was ist DMARC ? DMARC Prüfer
Geparkte Domain: Eine Domain, die Sie besitzen, von der Sie aber keine E-Mails versenden; es benötigt weiterhin SPF -all und DMARC p=reject.; p=reject np
PCI DSS 4.0: Sicherheitsstandard für Zahlungskarten, dessen Version 4.0 Anti-Phishing-Kontrollen wie DMARC erwartet.; DMARC
pct: DMARC Tag, das die Richtlinie auf einen Prozentsatz fehlgeschlagener Nachrichten anwendet (in DMARCbis entfernt).; pct=25; t-Tag DMARCbis
PermError: Permanenter SPF Fehler, zum Beispiel zu viele Suchvorgänge oder zwei SPF Einträge; SPF schlägt dann fehl.; DNS Suchlimit Temperaturfehler SPF Checker
Phishing: Täuschende Nachrichten, die Empfänger dazu verleiten, Anmeldedaten preiszugeben, Geld zu zahlen oder Malware zu installieren.; Spear-Phishing Spoofing
psd: DMARCbis -Tag, das eine Domäne als öffentlichen Suffixbetreiber markiert, z. B. eine Regierungs- oder Registrierungsdomäne.; psd=y; DMARCbis Organisationsdomäne
PTR Datensatz: Reverse DNS -Eintrag, der eine IP einem Hostnamen zuordnet; E-Mail-Anbieter verlangen dies beim Senden von IPs.; FCrDNS Reverse- DNS Prüfer
Öffentliche Suffixliste: Eine Liste von Domainendungen wie . co.uk unter dem Personen Namen registrieren; Das ursprüngliche DMARC verwendete es, um die Organisationsdomäne zu finden.; Organisationsdomäne DNS Baumwanderung

Umleitungsmodifikator: SPF Redirect= ersetzt den gesamten Datensatz durch den einer anderen Domäne und wird häufig verwendet, um eine Richtlinie domänenübergreifend zu teilen.; v=spf1 redirect=_spf.example.com; Enthalten
Return-Path: Header, der den Absender des Umschlags aufzeichnet, wohin Bounces gehen.; Umschlagabsender E-Mail-Header-Analysator
RFC 7489: Die ursprüngliche DMARC Spezifikation von 2015, jetzt eingestellt: im Mai 2026 durch RFC 9989 veraltet.; RFC 7489 war ein Informationsdokument, niemals ein IETF Standard. Die dagegen geschriebenen Leitlinien gelten größtenteils immer noch, aber seine pct-, rf- und ri-Tags existieren unter RFC 9989 nicht mehr.; RFC 9989 DMARCbis
RFC 9989: Der aktuelle DMARC Standard, veröffentlicht von der IETF im Mai 2026 auf dem Standards Track; Es macht RFC 7489 und RFC 9091 überflüssig.; RFC 9989 definiert DMARC Richtlinie, Ausrichtung und Richtlinienerkennung. In seinen eigenen Worten: „Dieses Dokument macht die RFCs 7489 und 9091 obsolet.“ Die Berichterstellung wurde auf RFC 9990 (Aggregat) und RFC 9991 (Fehler) verschoben. v=DMARC1 bleibt unverändert, sodass vorhandene Datensätze weiterhin funktionieren; pct, rf und ri werden entfernt und np, psd und t hinzugefügt.; DMARC DMARCbis RFC 9990 RFC 9991 RFC 7489 Was ist DMARC ?
RFC 9990: Der aktuelle DMARC Standard für aggregierte Berichte (Mai 2026), der die XML-RUA-Berichte definiert.; RFC 9990 hat die aggregierte Berichterstattung aus dem alten RFC 7489 in ein eigenes Standards Track-Dokument aufgeteilt.; RFC 9989 RUA
RFC 9991: Der aktuelle DMARC Fehlerberichtsstandard (Mai 2026), der Rufberichte definiert.; RFC 9991 deckt Fehlerberichte (forensisch) pro Nachricht ab, die zuvor Teil von RFC 7489 waren.; RFC 9989 RUF
ri: DMARC tag requesting the aggregate report interval in seconds; Die meisten Empfänger senden unabhängig davon täglich.; ri=86400; RUA
RUA: DMARC -Tag für aggregierte Berichtsadressen; Berichte sind tägliche XML-Zusammenfassungen.; Aggregate reports list every IP that sent mail as your domain, how many messages and whether they passed SPF , DKIM and DMARC . Sie enthalten keinen Nachrichteninhalt.; RUF DMARC Eintrag Lesen aggregierter Berichte DMARC -Berichtsanalysator
RUF: DMARC tag for forensic (failure) report addresses; Berichte beschreiben einzelne fehlerhafte Meldungen.; Forensische Berichte können Kopfzeilen und manchmal auch den Inhalt fehlerhafter Nachrichten enthalten. Viele große Anbieter verzichten aus Datenschutzgründen auf den Versand.; RUA fo Forensische Berichte erklärt

Reputation des Absenders: Die Postfachanbieter mit Vertrauensbewertung geben Ihre Domain und IPs basierend auf Authentifizierung, Beschwerden und Engagement weiter.; Spam-Beschwerdequote Sperrliste
Schatten-IT-Absender: Ein Dienst, der als Ihre Domäne sendet und von dem die IT-Abteilung nichts weiß; DMARC -Berichte enthüllen sie.; RUA
SMTP: Simple Mail Transfer Protocol: Das Protokoll, das Server zum Senden und Weiterleiten von E-Mails verwenden.; MTA
SOA-Eintrag: Beginn der Autorität: DNS Eintrag, der den primären Server, die serielle Schnittstelle und die Aktualisierungs-Timer einer Zone enthält.; SOA-Checker
SOC 2: Ein Prüfbericht über die Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen eines Dienstanbieters.; Sicherheit und Vertrauen
Sanfter Sprung: Ein vorübergehender Zustellungsfehler, z. B. ein volles Postfach oder eine graue Liste.; Harter Sprung
Softfail ( ~all ): SPF Qualifikationsmerkmal, das nicht gelistete Absender als verdächtig markiert, ist aber nicht völlig fehlgeschlagen.; Wenn DMARC vorhanden ist, reicht ~all normalerweise aus: DMARC trifft die endgültige Entscheidung und softfail vermeidet einige Weiterleitungsprobleme.; Hardfail ( -all )Neutral ( ?all )
SP: DMARC -Tag, das die Richtlinie für Subdomains festlegt.; sp=reject; np DMARC Eintrag
Spam-Beschwerdequote: Anteil der Empfänger, die E-Mails als Spam markieren; Gmail will einen Wert unter 0,1 % und niemals über 0,3 %.; Anforderungen an Absender von Google und Yahoo Rückkopplungsschleife
Spear-Phishing: Phishing, das sich gegen eine bestimmte Person richtet und dabei recherchierte, persönliche Daten verwendet.; Phishing Walfang
SPF: Sender Policy Framework: ein TXT Eintrag, der Server auflistet, die zum Senden für eine Domain berechtigt sind ( RFC 7208 ).; SPF kann ein Empfänger prüfen, ob der Server, der eine Nachricht übergibt, für die Umschlagssenderdomäne senden darf. Es prüft den Return-Path und nicht die sichtbare From-Adresse, daher ist auch DMARC Ausrichtung erforderlich.; v=spf1 include:_spf.google.com -all; SPF Eintrag Umschlagabsender DNS Suchlimit Was ist SPF ? SPF Checker
Abflachung SPF: Ersetzen Sie SPF Includes durch IP-Bereiche, um innerhalb des 10-Lookup-Limits zu bleiben.; Durch die Reduzierung wird das Suchlimit behoben, es wird jedoch veraltet, wenn Anbieter ihre IPs ändern. Durch die verwaltete oder dynamische Reduzierung werden die Bereiche automatisch aktualisiert.; DNS Suchlimit IP4 und IP6 Das SPF -Suchproblem SPF Flattener
SPF Makros: Placeholders like %{i} that expand per message, used for advanced or per-sender SPF policies.; SPF Eintrag
SPF Eintrag: Der TXT Eintrag beginnt mit v=spf1 , listet Ihre zulässigen Absender auf und endet mit dem Qualifizierer all.; SPF Enthalten Hardfail ( -all )SPF Eintrag erklärt SPF Generator
Spoofing: Die Absenderadresse wird gefälscht, sodass die E-Mails scheinbar von einer vertrauenswürdigen Domäne stammen.; Genaues Domain-Spoofing ist das, was DMARC bei p=reject stoppt. Lookalike-Domains und Tricks mit Anzeigenamen erfordern andere Kontrollen.; Spoofing von Anzeigenamen Lookalike-Domäne p=reject
SRS: Absender-Umschreibungsschema: Weiterleitungen schreiben den Umschlagabsender um, sodass SPF weiterhin besteht.; Weiterleitung Umschlagabsender
STARTTLS: SMTP Befehl, der eine Verbindung auf TLS -Verschlüsselung aktualisiert; Ohne MTA-STS kann es entfernt werden.; MTA-STS Downgrade-Angriff
Subdomain-Übernahme: Ein Angreifer beansprucht eine Ressource, auf die ein hängender Datensatz verweist, und stellt Inhalte oder E-Mails von Ihrer Subdomain bereit.; Baumelndes DNS
SVG Tiny PS: Das für BIMI -Logos erforderliche eingeschränkte SVG-Profil.; BIMI Erstellen Sie ein BIMI SVG-Logo BIMI SVG-Konverter

t-Tag: DMARCbis -Testflag: t=y fordert Empfänger auf, während des Tests eine um eine Stufe weniger strenge Richtlinie anzuwenden.; p=reject; t=y; DMARCbis pct
Temperaturfehler: Vorübergehender SPF oder DKIM Fehler, normalerweise ein DNS Timeout; Empfänger können es erneut versuchen oder als Fehler behandeln.; PermError
TLS-RPT: SMTP TLS -Berichte: Tägliche Berichte über TLS -Zustellungsfehler an Ihre Domain ( RFC 8460 ).; _smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls@example.com"; MTA-STS MTA-STS Prüfer
TLSA-Eintrag: DNS Eintrag, der einen TLS -Zertifikat-Fingerabdruck für DANE veröffentlicht.; DANE DANE /TLSA-Prüfer
Transaktions-E-Mail: Automatisierte Eins-zu-eins-Nachrichten wie Quittungen und Passwort-Resets.; Massenabsender
TTL: Zeit zum Leben: Wie lange Resolver eine DNS Antwort zwischenspeichern, bevor sie erneut fragen.; DNS -Verbreitung
TXT Eintrag: Ein DNS -Eintrag mit Text; Wird für SPF , DKIM , DMARC , BIMI , MTA-STS und TLS-RPT verwendet.; DMARC Eintrag SPF Eintrag

Kompromittierung der E-Mail-Adresse des Anbieters: BEC wurde aus dem echten, gekaperten Postfach eines Lieferanten durchgeführt.; BEC
VMC: Verified Mark-Zertifikat: ein markenrechtlich geschütztes Zertifikat, mit dem Gmail und Apple Ihr BIMI Logo anzeigen können.; CMC BIMI
Leere Suche: Eine SPF DNS Abfrage, die keine Datensätze zurückgibt; Mehr als zwei ungültige Suchvorgänge verursachen PermError.; DNS Suchlimit PermError

Walfang: Spear-Phishing richtet sich an leitende Angestellte.; Spear-Phishing BEC

Häufig gestellte Fragen

Was ist der Unterschied zwischen dem From-Header und dem Return-Path ?

Der From-Header ist die sichtbare Absenderadresse, die Empfänger sehen, und DMARC richtet sich danach aus. Der Return-Path , auch Envelope-Absender oder MAIL FROM genannt, ist die Bounce-Adresse, deren Domäne SPF prüft. Sie können unterschiedlich sein, weshalb DMARC Ausrichtung erforderlich ist.

Was ist Ausrichtung in DMARC ?

Unter Ausrichtung versteht man die Anforderung, dass die durch SPF oder DKIM authentifizierte Domäne mit der Domäne im sichtbaren From-Header übereinstimmt. Eine entspannte Ausrichtung ermöglicht die Übereinstimmung der Organisationsdomänen, während eine strikte Ausrichtung eine exakte Domänenübereinstimmung erfordert. Die Ausrichtung macht DMARC resistent gegen Spoofing.

Was ist ARC und warum ist es wichtig?

ARC , Authenticated Received Chain, zeichnet Authentifizierungsergebnisse auf, während eine Nachricht Vermittler wie Mailinglisten und Weiterleitungen passiert. Da die Weiterleitung häufig SPF und DKIM unterbricht, lässt ARC einen Endempfänger erkennen, dass die Nachricht die Authentifizierung früher bestanden hat, und hilft so, dass legitim weitergeleitete E-Mails DMARC überstehen.

Ist MTA-STS Teil von DMARC ?

Nein. MTA-STS ist ein separater Standard, der verschlüsselte TLS Verbindungen zwischen Mailservern erzwingt, und TLS-RPT ( RFC 8460 ) meldet TLS Fehler. Sie ergänzen DMARC , indem sie E-Mails während der Übertragung sichern, authentifizieren jedoch die Verbindung und nicht die Absenderidentität, die DMARC abdeckt.

Was ist der Unterschied zwischen SPF , DKIM und DMARC ?

SPF autorisiert sendende Server, DKIM beweist, dass eine Nachricht von einer Domäne signiert und nicht verändert wurde, und DMARC verknüpft beides mit der sichtbaren Absenderadresse und legt die Richtlinie für Fehler fest.

Was ändert sich durch DMARCbis ?

DMARCbis , veröffentlicht im Mai 2026 als RFC 9989 , 9990 und 9991, ersetzt den eingestellten RFC 7489 . Es entfernt pct, fügt das T-Testing-Flag und die NP-Richtlinie für nicht vorhandene Subdomänen hinzu und findet die Organisationsdomäne durch Durchsuchen des DNS Baums. Vorhandene gültige Datensätze funktionieren weiterhin.

[ DMARC Führung ]

Was ist DMARC ? Wie es funktioniert und die 3 Richtlinien Was ist ein DMARC Eintrag?DMARC Vorteile Aggregierte RUA und DMARC -Berichte Forensische Berichte RUF und DMARC DMARC -Setup-Anleitungen DMARC CheckerKostenloses Tool DMARC GeneratorKostenloses Tool DMARC -BerichtsanalysatorKostenloses Tool

Teil der WissensdatenbankDiagnose- und Arbeitsressourcen · 27 Führer

Unternehmensherkunft

Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.

Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.

EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.

Regierungen Große Unternehmen Tier-1-Finanzinstitute

SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung

DMARC -Wörterbuch