SPF/DKIM/DMARC

Ich muss gerade ein Problem für einen Kunden lösen der scheinbar Emails mit Adressen von anderen Domains verschickt (der Kunde ist halt Service-Dienstleister von anderen Firmen und wickelt Nachrichten von diesen ab).

Klarerweise landen viele dieser Mails im Spam da Firma X natürlich nicht mit Mail-Adressen von Firma Y verschicken kann.

Meine Frage dabei, was wäre die korrekte Vorgehensweise?
Es wurde nach DKIM gefragt (dass wir das in unseren Nachrichtenservice einbauen), aber soweit ich das verstehe ist das nur ein Schutz gegen Ändern der Nachricht und hat mal nichts mit der Herkunft zu tun!?
Dafür wäre ja eher SPF zuständig (und DMARC dürfte einfach ein Framework sein um beides zu verbinden), allerdings wird ein SPF Check ja wohl am DNS Server für die jeweilige Domain gemacht logischerweise? D.h. "Kunde Y vom Dienstleister X" müsste in seinen DNS Records die öffentliche IP Adresse vom Dienstleister X hinterlegen damit dieser auch "als Kunde Y" verschicken darf?

Alternative die mir einfallen würde > Mails von Kunde Y (dito für alle anderen Kunden) an einen Mail-Relay Server von Kunde Y damit dieser dann die Mails öffentlich rausschickt (ist dann halt wieder ein System wovon man abhängig ist und wo etwas schief gehen kann).

Sehe ich das richtig oder übersehe ich da was?

Ich hab aus Berufswegen etwas Erfahrung damit.
Im Grunde kann ich mich Colo nur anschließen, das Thema ist nicht trivial und Mails haben kein Netz und doppelten Boden. Da kann rasch was schiefgehen.

Lieber zu einem Profi der sich drum kümmert auslagern oder einen entsprechenden Admin zahlen der das einrichtet und wartet.

Die korrekteste Vorgehensweise wäre, über den Mailserver vom Kunden zu verschicken, rein imho natürlich. D.h. vom Kunden eine Mailbox anfordern, wir geben unseren Dienstleistern teilweise welche.

Dass es komplex ist ist mir schon klar. Ich bin auch nicht der Admin der bei irgendwelchen Kunden da irgendwas wartet oder einrichtet.

Ich möchte nur verstehen wie es genau funktioniert.

Hintergrund ist das wir eine Software ausliefern die auch Mails sendet, ist natürlich historisch gewachsen und hat (noch) keinen Support für DKIM (oder SPF oder DMARC).


Ich nenne unseren Kunden jetzt einfach mal "KUNDE"
und den Kunden den der serviciert "COMPANY"

Der KUNDE bekommt jetzt allerdings Mails abgelehnt weil COMPANY jetzt DKIM Checks durchführt (lt. eigener Aussage).
Unsere Software macht allerdings selbst keine SPF checks noch schreibt die irgendeinen DKIM Header in die Mail.

Es ist derzeit so dass KUNDE in gewissen Fällen mit quasi fremden SMTP Adressen (COMPANY1) schickt.
Ich gehe jetzt mal im schlimmsten Fall davon aus das sowohl die Envelope als auch die MIME From: Header Adresse vom servicierten Kunden ist (genau kann ich es noch nicht sagen weil ich noch kein Trace/Log mit der Info bekommen habe) - aber das wäre Einstellbar je nachdem wie KUNDE es haben will.

Ein SPF Check hätte in dem Fall allerdings nichts mit unserer Software zu tun soweit ich das verstehe - das ist rein eine Sache von COMPANY und deren DNS Server?

Wie funktioniert in so einem Workflow DKIM?
Der Outbound Mailserver schreibt einen DKIM Header signed mit einem private key auf unserer (KUNDE) Seite afaik.
Aber wo wird dass dann geprüft, auch am DNS Server der Domain der Envelope (oder MIME Header From Adresse (sprich nicht vom eigentlichen Ursprung)?

Zitat aus einem Post von nexus_VI

Die korrekteste Vorgehensweise wäre, über den Mailserver vom Kunden zu verschicken, rein imho natürlich. D.h. vom Kunden eine Mailbox anfordern, wir geben unseren Dienstleistern teilweise welche.

Das war mein erster Vorschlag an unseren Kunden, dann gibt es nämlich keine Troubles wegen irgendwelchen komischen Konstellationen.



P.S.: Vergaß zu fragen: Was passiert üblicherweise wenn Mails ohne DKIM Header reinkommen (sprich Sender der DKIM nicht kann). Die können ja nicht ernsthaft als "böse" angesehen werden - oder etwa doch?

Wenn es keinen dkim DNS Eintrag gibt und auch kein Header gesetzt wird passiert nicht viel (evtl wird ein Spamscore minimal erhöht) gibt's aber einen DKIM Eintrag und im Header passt der nicht dann musst froh sein wenn die Mail nicht komplett abgelehnt wird.

Ich würde in dem Fall über einen Smart Host verschicken (im Grunde ein relay der sich auch um die security kümmert)

Ich hab das Problem, dass meine Mails z.B. von Gmail abgelehnt werden. Das kommt in der Antwort: https://support.google.com/mail/ans...#authentication

Bei meiner Domain kann ich nur die Nameserver setzen, mein Webspace liegt bei einem Freund. Da hab ich nur Zugriff auf diese Parallels-Oberfläche und kann an den Nameservern nichts ändern. Die Records müssten dann bei den Nameservern von meinem Freund gesetzt werden. Stimmt das so?

/edit: Und wenn ich z.B. zu Hetzner wechsel wird das wohl schon eingestellt sein?

Der meldet sich seit einer Weile nicht zurück, keine Ahnung warum.

Aber es gibt ja keine Alternative, außer keine Mails mehr an Gmail-Adressen zu schicken?

Na das krieg ich dann wahrscheinlich eh hin, wollte nur sichergehen, dass es nicht irgendwas beim Domainanbieter ist. Danke!