E-Mail-Versand mit TYPO3 richtig einrichten

Häufigstes Problem nicht versendeter oder ankommender E-Mails aus TYPO3 sind die nicht eingetragene (oder falsche) Standard-Mailadresse.

An dieser Stelle ein kleiner Exkurs zum Thema SPF. Das Sender Policy Framework (SPF) ist eine Methode zur Authentifizierung von E-Mails. Mithilfe eines SPF-Eintrags wird sichergestellt, dass ein bestimmter Server befugt ist, Mails für eine bestimmte Domain zu versenden. Dabei vergleicht der Empfänger-Mailserver die IP-Adresse des Absenders mit der Liste der für den Versand autorisierten IP-Adressen, die vom Absender im SPF-Eintrag veröffentlicht worden sind. 

Da E-Mails beim Versand häufig mehr als einen Server durchlaufen, ist es nötig, über den SPF-Eintrag im DNS Record alle befugten Server auszuweisen. Diese Info wird in einer TXT Datei (dem SPF-Record) hinterlegt. 

Die folgenden Schritte sind nötig, um einen sauberen SPF-Eintrag zu erstellen:

• Identifiziere alle IP-Adressen und Mailserver, die von deiner Domain aus E-Mails versenden.
• Identifiziere alle Domains, die in deinem DNS hinterlegt sind.
• Erstelle für jede Domain einen eigenen SPF-Eintrag.
• Der SPF-Eintrag beinhaltet verschiedene Tags:
  • v=spf1 (Version des Records; spf1 steht für die aktuell gültige Version)
  • a (autorisiert die IP im hinterlegten A-Record für den Versand; optional)
  • mx (autorisiert die IP im hinterlegten MailExchange-Record für den Versand; optional)
  • Ip4:xxx.x.x.x (alle erlaubten IP-Adressen)
  • -all (alle anderen Adressen sind nicht autorisiert und sollen abgewiesen werden; hard fail)
  • ~all (soft fail; andere Adressen sind nicht autorisiert, sollen aber dennoch akzeptiert werden. Achtung: bei vielen Anbietern wird ~all auch wie ein hard fail gehändelt, da es sicherer ist)
  • include:weiteredomain.com (füge weitere Domains hinzu, die als dritte Parteien für den Versand autorisiert sind, z.B. google)

Ein fertiger SPF-Eintrag könnte dann etwa so aussehen:

v=spf1 a mx ip4:192.0.0.1 include:my-other-mailserver.com -all

Für Domains, die du nicht für den Versand von E-Mails nutzt, würde der SPF-Eintrag wie folgt lauten:

v=spf1 -all

• Veröffentliche den SPF-Eintrag: Folge den Anweisungen in deiner Domainverwaltung, um den SPF-Eintrag hinzuzufügen. Je nach Anbieter musst du entweder selbst eine TXT-Datei anlegen oder dies wird vom Anbieter für dich in den DNS-Einstellungen hinterlegt.
• Überprüfe den SPF-Eintrag. Ob die Einstellungen korrekt sind, kannst du am einfachsten mit der mxtoolbox prüfen. Dafür einfach die “spf:domain” ins Eingabefeld eingeben und dann auf MXLookup klicken. Bitte beachte, dass es bis zu 24 Stunden dauern kann, bis der SPF-Eintrag aktiv wird. 

DomainKeys Identified Mail aka DKIM ist eine weitere Methode, um den E-Mail-Absendern zu authentifizieren. Wer an eine gmail.com-Addresse eine Mail schicken will, muss DKIM ist (neben SPF) sauber eingerichtet haben (Richtlinien von Google für den Mailempfang). Also - keine Ausreden mehr.

Bei DKIM wir vom verschickenden Mailserver beim Verschicken der E-Mail eine DKIM-Signatur in den Mail-Header eingefügt die dann mit einem öffentlich verfügbaren Public Key verglichen wird. Das hier steht z.B. im Mail-Headers einer, via sendmail verschicken TYPO3-Test-Mail von einem Mittwald-Server.

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com;
	s=agenturserver; t=1743760147;
	h=from:from:reply-to:subject:subject:date:date:message-id:message-id:
	 to:to:cc:mime-version:mime-version:content-type:content-type;
	bh=gvpRTI7aoZ+HviIZfAWtYQEWTkRWlcFpAmHPmeAPCSI=;
	b=jgGtTFOWZm2cKklOxlUaLYHZJdsfktLfW6R5inDn3hT2uAO2oTfiaf/4IoSDBtwZGY4x1N
	4biZk5+xCYAPJORGMMMFOf+E5K3XgVIbyCGx5DoOk5bWhANj7Aa0O1exNIvj+vnKTaKCC4
	qfnYGZ+fQp03m1jEhTJbB9cs0QvO3dTHkAAwwHAvkRYYo8XDfNh5YivY8Tr5ZCRiKB7vy7
	dplu33NkkN49TPuHofB73lipJZ+o2PB3JOp760ODbRuD2GCHlinBHhOECHQRsX9mATWEv1
	PbWctlYblx7yEcSIdPjQTjMI0ndYeQrPOCUv0591Do3itNydbxJIo0U1WVqqFw==

In dem DKIM-Eintrag sieht man die Tags für die Domain ( d=example.com), welche der Absender-From-Adresse ensprechen muss und der so genannte Selector (s=agenturserver). Er zeigt auf den öffentlichen DKIM-Schlüssel im DNS.

Damit die Signatur in der E-Mail mit der Signatur des Absende-Servers verglichen werden kann, musst Du ein Deiner DNS-Verwaltung einen Schlüssel via TXT-Eintrag hinterlegen.

Die dafür notwendige Subdomain für den DNS-/Nameserver-Eintrag setzt sich zusammen aus den drei Bestandteilen: selector._dkim.domain bzw für obiges Beispiel agenturserver._domainkey.example.com

Für diese Subdomain legst Du einen TXT-Eintrag an. Bei Mittwald-Hosting lautet dieser z.B.:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA1BM9Prf00dhyP0i/fH0/k01oMSafqpl7biZMPjz/zxRJn+1YgSdeXt84NR3wZ5w+HWhtR27p1IEjchu179VOOyZ+xOte4owM+6FO7BVGnr/5IAlmRnC4fMvSeePdwun9fBExfkOroxwdEM4Y1+BqaSnpMT2xV6a2hRklymFzDkNQdmKrtm2AWSqg44iiMt3buEtZ0/y5SSBNd41zJYsp7UdPO2fgzF+C5gJrpyKhTWGB9ELLK83cd2Vdb8N+CC1Oh62eybgsMt2iBmxgnYAwp1LdTuxxNFYT2gEOFGL5KE01WM0L0+KALhwDQBcGcSC7Eup855OI/v8F4YDTZ3NCgQIDAQAB

Hast du das erfolgreich eingereichtet, solltest Du in Deiner Testmail im Mailheader folgenden Eintrag finden:

 X-DKIM: DKIM passed: (address=noreply@example.com domain=example.com), signature is good.

Diese Subdomains und TXT-Einträge sind von Hosting-Anbeiter zu Anbieter verschieden.