SendGrid 403 „from address does not match a verified Sender Identity“

Was das bedeutet

Twilio SendGrid lässt dich nur von Adressen senden, die du verifiziert hast. Deine Nachricht hat eine From-Adresse verwendet, die weder ein verifizierter Single Sender noch Teil einer authentifizierten Domain ist, daher hat die Mail Send API mit HTTP 403 geantwortet. Der Antworttext sieht meist so aus:

{
  "errors": [{
    "message": "The from address does not match a verified Sender Identity. Mail cannot be sent until this error is resolved. Visit https://sendgrid.com/docs/for-developers/sending-email/sender-identity/ to see the Sender Identity requirements",
    "field": "from",
    "help": null
  }]
}

Über SMTP (smtp.sendgrid.net) kommt derselbe Text als 550-Fehler zurück. Es wurde nichts gesendet.

Warum das passiert

• Noch keine Absender-Identität. Neue Konten müssen einen Single Sender verifizieren oder eine Domain authentifizieren, bevor sie senden können.
• Der Single Sender ist nicht bestätigt. SendGrid hat eine Verifizierungs-E-Mail an diese Adresse geschickt, und niemand hat auf den Link geklickt.
• Dein Code sendet von einer anderen Adresse. Ein Single Sender deckt genau eine Adresse ab. Hast du hello@yourdomain.com verifiziert, die App sendet aber von noreply@yourdomain.com, schlägt es fehl.
• Ein Plugin überschreibt die From-Adresse. WordPress, WooCommerce oder ein Formular-Plugin sendet eventuell von wordpress@yourdomain.com oder von der Adresse des Besuchers. Siehe Kontaktformular-E-Mails „From“ der Adresse des Besuchers.
• Subdomain passt nicht. Eine authentifizierte Domain deckt die Domain ab, die du authentifiziert hast. Prüfe, ob die From-Domain genau die aufgeführte ist (oder eine Subdomain, die sie abdeckt).
• Falsches Konto oder falscher Subuser. Absender-Identitäten gehören zu dem Konto oder Subuser, der sie angelegt hat; ein API-Schlüssel eines anderen Subusers sieht sie nicht.

Ein 403 kann auch von einem API-Schlüssel ohne Mail-Send-Berechtigung kommen; dann ist die Meldung anders (sie spricht von Berechtigungen oder Autorisierung, nicht von Sender Identity).

So prüfst du es

1. Protokolliere die genaue From-Adresse in der Anfrage (das Feld from.email im API-JSON oder MAIL FROM und den From-Header über SMTP).
2. Geh in der SendGrid-Konsole zu Settings > Sender Authentication. Sieh dir die Single-Sender-Liste an (ist die Adresse dort und verifiziert?) und die Domain-Authentication-Liste (ist die Domain dort und verifiziert?).
3. Bestätige, dass der API-Schlüssel zum selben Konto oder Subuser gehört.

So behebst du es

Option 1: einen Single Sender verifizieren (schnell, zum Testen)

Wähle unter Settings > Sender Authentication die Verifizierung eines einzelnen Absenders, gib genau die From-Adresse ein, die dein Code verwendet, und klick dann auf den Link in der E-Mail, die SendGrid an sie schickt. Das Postfach muss existieren. SendGrid selbst stellt das als Testoption dar, nicht als beste Wahl für die Produktion: Die E-Mails werden nicht mit deiner eigenen Domain signiert.

Option 2: deine Domain authentifizieren (empfohlen)

Domain Authentication fügt CNAME-Einträge zu deinem DNS hinzu, damit SendGrid deine E-Mails mit DKIM für deine Domain signiert. Danach kann jede Adresse auf der Domain als From verwendet werden, und DMARC kann bestehen. Werden die Einträge nicht verifiziert, lies SendGrid Domain Authentication: CNAME wird nicht verifiziert.

Korrigiere die Anwendung

• Nutze überall eine einzige From-Adresse aus deiner Konfiguration. Beispiel mit der Node.js-Bibliothek:

  await sgMail.send({
    to: 'customer@example.com',
    from: { email: 'hello@yourdomain.com', name: 'Your Shop' },
    replyTo: 'support@yourdomain.com',
    subject: 'Your order',
    text: 'Thank you for your order.'
  });

• Lege in WordPress-SMTP-Plugins die From-Adresse fest und aktiviere die Option, die sie erzwingt, damit andere Plugins sie nicht überschreiben können.
• Nutze über SendGrid nie eine Gmail-, Outlook- oder Yahoo-Adresse als From. Diese Domains kannst du nicht authentifizieren, und ihre DMARC-Richtlinien führen zu Ablehnungen oder zum Spam-Ordner.

Prüfe, ob es behoben ist

Sende über deine Anwendung eine Nachricht an die einmalige Adresse auf der Startseite von Delivmail. Nimmt SendGrid sie an, erscheint der Bericht. Mit Domain Authentication sollte DKIM für yourdomain.com bestehen und DMARC bestehen. Mit nur einem Single Sender wird DKIM stattdessen von der Domain von SendGrid signiert, ein Grund, auf Domain Authentication umzusteigen. Sende dann die fehlgeschlagene Nachricht erneut. Bei allgemeinen Problemen mit dem Versand von deiner Website siehe E-Mails von deiner Website oder WordPress landen im Spam.