Postmark eigener Return-Path (pm-bounces) und DMARC-Alignment

Was das bedeutet

Jede E-Mail hat zwei Absenderadressen. Die From-Adresse ist das, was der Leser sieht. Der Return-Path (oder Envelope-Absender) ist eine versteckte Adresse, an die Bounces gehen. SPF prüft die Domain des Return-Path, nicht die From-Adresse. Zur Auffrischung siehe Return-Path, Envelope-Absender und From.

Standardmäßig nutzt Postmark seine eigene Bounce-Adresse:

Return-Path: <pm_bounces@pm.mtasv.net>

SPF besteht, aber für pm.mtasv.net, nicht für deine Domain. DMARC braucht ein bestandenes SPF oder DKIM für eine Domain, die zu deiner From-Domain passt (das nennt man Alignment). Mit dem Standard-Return-Path passt SPF nicht, DMARC verlässt sich also nur auf DKIM.

Ein eigener Return-Path ersetzt ihn durch eine Subdomain deiner eigenen Domain, standardmäßig pm-bounces.yourdomain.com:

Return-Path: <pm_bounces@pm-bounces.yourdomain.com>

SPF besteht dann und passt zu deiner Domain, sodass DMARC sowohl über SPF als auch über DKIM bestehen kann.

Warum das passiert

Du siehst in einem Bericht „SPF not aligned“ oder eine DMARC-Warnung, weil:

• der eigene Return-Path nie eingerichtet wurde (er ist in Postmark optional).
• der CNAME angelegt, der Alias in Postmark aber nicht eingetragen oder verifiziert wurde, sodass Postmark weiter seinen Standard nutzt.
• der CNAME falsch ist: falscher Name, falsches Ziel oder über den Cloudflare-Proxy geleitet.
• dein DMARC-Eintrag striktes SPF-Alignment verlangt (aspf=s). Der strikte Modus verlangt genau dieselbe Domain, und pm-bounces.yourdomain.com ist eine Subdomain, daher schlägt das SPF-Alignment selbst bei korrekter Einrichtung fehl. Siehe die Erklärung der DMARC-Tags.

Schlägt auch DKIM fehl, fällt DMARC komplett durch; das ist ein anderes Problem, behandelt in DMARC schlägt fehl: SPF und DKIM passen nicht zu deiner Domain.

So prüfst du es

1. Sende über Postmark eine E-Mail an die einmalige Adresse auf der Startseite von Delivmail. Achte im Bericht auf die SPF-Domain (den Return-Path) und das DMARC-Ergebnis.
2. Prüfe den Eintrag im Terminal:

   dig +short CNAME pm-bounces.yourdomain.com
   pm.mtasv.net.

   Ist die Antwort leer oder zeigt sie IP-Adressen, fehlt der CNAME oder er läuft über einen Proxy.
3. Öffne in Postmark Sender Signatures, wähle die Domain und öffne DNS Settings. Der Bereich Return-Path zeigt, ob er verifiziert ist.

So behebst du es

1. Lege den CNAME an bei deinem DNS-Anbieter:

   Host:   pm-bounces.yourdomain.com   (enter "pm-bounces" in most DNS panels)
   Type:   CNAME
   Value:  pm.mtasv.net

   Du kannst ein anderes Label wählen, es muss aber eine Subdomain deiner From-Domain sein und darf noch keine anderen Einträge haben (ein CNAME kann seinen Namen nicht mit TXT-, MX- oder A-Einträgen teilen; siehe CNAME kollidiert mit MX- und TXT-Einträgen).
2. Für Cloudflare-Nutzer: Stelle den Eintrag auf „DNS only“ (graue Wolke). Ein über den Proxy geleiteter Eintrag liefert den CNAME nicht aus. Siehe Cloudflare-Proxy-Einträge legen E-Mail lahm.
3. Sag es Postmark: Öffne in Sender Signatures die DNS Settings der Domain, geh zum Bereich Return-Path, gib denselben Alias ein (zum Beispiel pm-bounces) und verifiziere ihn.
4. Füge Postmark dafür nicht zu deinem Haupt-SPF-Eintrag hinzu. SPF wird auf pm-bounces.yourdomain.com geprüft, die das SPF von Postmark über den CNAME erbt. Dein SPF-Eintrag auf der Hauptdomain bleibt, wie er ist.
5. Prüfe den DMARC-Alignment-Modus. Behalte den lockeren Standardmodus (aspf=r oder gar kein aspf-Tag), außer du hast einen Grund für den strikten Modus.
6. Halte auch DKIM verifiziert. Zwei ausgerichtete Methoden sind sicherer als eine, weil DKIM manche Weiterleitungen übersteht, bei denen SPF bricht. Ist DKIM noch nicht eingerichtet, siehe Postmark Sender Signature und Domain-Verifizierung.

Mehrere From-Domains

Der eigene Return-Path wird pro Domain eingerichtet. Sendest du von yourdomain.com und news.yourdomain.com, braucht jede ihre eigene verifizierte Einrichtung in Postmark.

Prüfe, ob es behoben ist

Warte, bis der CNAME sichtbar ist (je nach DNS-Anbieter Minuten bis einige Stunden), bestätige, dass er in Postmark verifiziert ist, und sende dann einen neuen Test an Delivmail. Der Return-Path sollte jetzt auf pm-bounces.yourdomain.com enden, SPF sollte bestehen, und DMARC sollte mit ausgerichtetem SPF und DKIM bestehen. Du kannst auch den Header Authentication-Results einer in Gmail empfangenen Nachricht prüfen: Achte auf spf=pass mit smtp.mailfrom=pm-bounces.yourdomain.com und dmarc=pass.