So funktioniert DMARC mit E-Mails aus Salesforce

Sie können über Salesforce E-Mails von Ihrer Domain versenden, doch das allein beweist nicht, dass die E-Mail wirklich von Ihnen stammt. Der Beweis kommt von DMARC, einem E-Mail-Sicherheitsstandard, mit dem Mailanbieter wie Gmail und Outlook prüfen, ob eine Nachricht mit der Erlaubnis des Domain-Inhabers versendet wurde. Bis Sie die kurze Einrichtung der Authentifizierung in jedem Salesforce-Produkt abgeschlossen haben, fällt jede E-Mail, die Sie über Salesforce versenden, bei dieser Prüfung durch und kann im Spam landen oder komplett abgewiesen werden.

Die Lösung ist gut dokumentiert, verteilt sich aber auf mehrere Salesforce-Produkte mit jeweils eigener Einrichtung. Dieser Leitfaden zeigt, wo die Authentifizierungslücken in einer Salesforce-Standardkonfiguration liegen und wie Sie sie für Sales Cloud, Account Engagement (früher Pardot) und Marketing Cloud Engagement schließen.

Inhalt dieses Leitfadens

• Warum bestehen Salesforce-E-Mails den DMARC-Check nicht automatisch?
• Wie versendet Salesforce E-Mails in Ihrem Namen?
• Woran scheitert das DMARC-Alignment in einer Salesforce-Standardkonfiguration?
• So richten Sie DKIM und SPF für Salesforce ein
• So prüfen Sie, ob Ihre Salesforce-E-Mails DMARC bestehen
• Das Fazit für die Praxis

Warum bestehen Salesforce-E-Mails den DMARC-Check nicht automatisch?

Wenn Sie über Salesforce versenden, verlässt die E-Mail nicht Ihre eigenen Systeme. Die Server von Salesforce erstellen die Nachricht und stellen sie Ihren Empfängern zu, mit Ihrer Adresse im From-Feld. Diese Server laufen auf Salesforce-eigenen Domains und nutzen die Konfiguration von Salesforce, getrennt von allem, was Sie kontrollieren.

Mailanbieter wie Gmail und Outlook vertrauen der Absenderadresse allein nicht, denn jeder kann dort eine beliebige Adresse eintragen. Sie schauen stattdessen auf die technischen Belege: welche Server die Nachricht zugestellt haben und welche Domain für sie gebürgt hat.

DMARC stellt fest, ob die Domain, die Ihre Empfänger in der Absenderadresse sehen, auch die Domain ist, die die Nachricht authentifiziert hat. Stimmen die Domains überein, weiß der empfangende Mailserver, dass die E-Mail von Ihnen stammt. Diese Übereinstimmung heißt Alignment (Ausrichtung), und eine Salesforce-Standardkonfiguration stellt kein DMARC-Alignment her: Die Nachricht authentifiziert sich als Salesforce, während der Name Ihrer Domain darauf steht.

Was danach passiert, hängt von Ihrer DMARC-Richtlinie ab. Bei p=none kommt die E-Mail weiterhin an, und der Fehlschlag taucht nur in den Berichten auf. Bei p=quarantine oder p=reject verschieben die Empfänger E-Mails ohne Alignment in den Spam oder weisen sie ab, und Kampagnen erreichen keine Postfächer mehr.

Wie versendet Salesforce E-Mails in Ihrem Namen?

Jede E-Mail trägt zwei Absenderadressen. Die Absenderadresse ist diejenige, die Ihre Empfänger sehen. Der Return-Path ist eine verborgene Adresse, an die Zustellfehler, sogenannte Bounces, geschickt werden. Der SPF-Check von DMARC richtet sich nach dem Return-Path: Die Domain darin muss mit der From-Domain übereinstimmen, damit das SPF-Alignment hält.

Wenn Salesforce für Sie versendet, verlässt die Nachricht die Mailserver von Salesforce, und der Return-Path nutzt standardmäßig eine von Salesforce betriebene Domain statt Ihrer Domain. Das ist normales Plattformverhalten und sorgt dafür, dass die Bounce-Verarbeitung ohne jede Einrichtung auf Ihrer Seite funktioniert. Es bedeutet aber auch, dass Ihre Domain standardmäßig unauthentifiziert bleibt.

Jedes Salesforce-Produkt versendet über eine eigene Infrastruktur mit eigener Authentifizierungs-Einrichtung. Sales Cloud deckt die E-Mails ab, die Ihr Team aus dem CRM versendet. Account Engagement betreibt Marketing-Automatisierung und Nurture-Kampagnen. Marketing Cloud Engagement übernimmt den Kampagnenversand mit hohem Volumen. Die Konfiguration des einen Produkts konfiguriert nicht die anderen.

Woran scheitert das DMARC-Alignment in einer Salesforce-Standardkonfiguration?

Zwei Adressen zählen hier: die Absenderadresse, die Ihre Empfänger sehen, und der verborgene Return-Path, an den Zustellfehler gehen. DMARC zählt einen bestandenen SPF-Check nur, wenn der Return-Path Ihre Domain verwendet. In einer Salesforce-Standardkonfiguration tut er das nie.

Nehmen Sie Account Engagement als Beispiel. Seine Nachrichten tragen einen Return-Path auf einer Salesforce-eigenen Domain, mit Adressen wie bounce.s7.exacttarget.com, laut der DMARC-Supportdokumentation von Salesforce. Führt ein empfangender Server den SPF-Check aus, prüft er diese Salesforce-Domain statt Ihrer. Der Check kann bestehen, beweist aber das Falsche: Er bürgt für die Salesforce-Domain, und Ihre Domain bleibt unbestätigt. DMARC wertet das als Fehlschlag.

Sales Cloud kann denselben Konflikt erzeugen. Mit aktiviertem Bounce Management oder Email Security Compliance ersetzt Salesforce den Return-Path durch eine Bounce-Tracking-Adresse auf einer Salesforce-Domain, wie im SPF- und DKIM-FAQ von Salesforce beschrieben. Die Domains stimmen nicht mehr überein, und der SPF-Check von DMARC schlägt aus demselben Grund fehl.

Vielleicht haben Sie das Include von Salesforce, include:_spf.salesforce.com, bereits in Ihren SPF-Eintrag aufgenommen. Behalten Sie es: Es teilt den Empfängern mit, dass die Server von Salesforce als Ihre Domain versenden dürfen. Am Return-Path ändert es aber nichts, den Konflikt kann es allein also nicht beheben.

Deshalb ist DKIM der zuverlässige Weg mit Salesforce. Eine DKIM-Signatur reist in der Nachricht selbst mit und ist direkt an Ihre Domain gebunden, ganz gleich, wessen Server die E-Mail zustellen. Sobald Sie DKIM-Schlüssel eingerichtet haben, signiert Salesforce jede Nachricht als Ihre Domain, und DMARC hat den Beweis, den es braucht.

So richten Sie DKIM und SPF für Salesforce ein

Jedes Salesforce-Produkt braucht eine einmalige Einrichtung, und jede endet mit ein paar neuen DNS-Einträgen auf Ihrer Domain. Wenn Sie keinen Zugriff auf die DNS-Einstellungen Ihres Unternehmens haben, geben Sie diesen Abschnitt an die Person weiter, die ihn hat: Er enthält alles, was sie braucht. Wenn Sie den Zugriff haben, arbeiten Sie die folgenden Schritte selbst ab.

Liegt die Einrichtung in anderen Händen, können Sie direkt zur Prüfung springen, ob Ihre Salesforce-E-Mails DMARC bestehen.

Sales Cloud (E-Mail-Versand über Salesforce)

Erstellen Sie in Salesforce Setup unter Email, dann DKIM Keys, einen DKIM-Schlüssel: Wählen Sie einen 2048-Bit-Schlüssel und setzen Sie die Domain auf Ihre Versanddomain. Salesforce antwortet mit CNAME-Einträgen, kleinen DNS-Einträgen, die Sie auf Ihrer Domain veröffentlichen. Sobald die Einträge live sind, aktivieren Sie den Schlüssel. Von da an rotiert Salesforce ihn automatisch alle 30 Tage, ohne dass irgendjemand ihn warten muss.

Account Engagement (Pardot)

Die Einrichtung folgt demselben Muster: Account Engagement generiert DKIM-Einträge für Ihre Versanddomain, Sie veröffentlichen sie im DNS, und Account Engagement signiert Ihre E-Mails von da an als Ihre Domain. Die Anleitung von Salesforce ist an diesem Punkt eindeutig: Mit korrekt konfiguriertem DKIM sollte DMARC bestehen.

Zwei Hinweise aus der Salesforce-Dokumentation sind wichtig. Halten Sie die E-Mail-Versanddomain und die Tracker-Domain getrennt, denn dieselbe Domain für beide Zwecke verursacht Authentifizierungsfehler. Und wenn Ihr Team zusätzlich SPF-Alignment möchte, erfordert das einen eigenen Return-Path, den Sie über einen Support-Fall bei Account Engagement anfragen.

Marketing Cloud Engagement

Marketing Cloud ist der eine Fall, in dem die Einrichtung ein Kauf ist und keine Einstellungsänderung. Das Produkt Private Domain, Teil des Sender Authentication Package, wendet DKIM-, SPF- und DMARC-Authentifizierung auf eine dedizierte Versanddomain an, laut dem Private-Domain-FAQ von Salesforce. Die meisten Teams delegieren eine Subdomain wie mail.example.com und lassen Salesforce deren Einträge verwalten. Hostet Ihre Organisation das DNS stattdessen selbst, pflegt Ihr DNS-Team diese Einträge, und der Salesforce-Support behebt keine Probleme in selbst gehostetem DNS.

Welche Produkte Sie auch nutzen, eine weitere DNS-Änderung vervollständigt die Einrichtung: Fügen Sie include:_spf.salesforce.com dem SPF-Eintrag Ihrer Domain hinzu. Das Alignment kommt weiterhin von DKIM, aber ein vollständiger SPF-Eintrag hält die grundlegende Authentifizierung für jeden Weg intakt, den Salesforce-Mail nimmt.

So prüfen Sie, ob Ihre Salesforce-E-Mails DMARC bestehen

Der Schnelltest braucht eine einzige Nachricht. Senden Sie aus jedem Salesforce-Produkt eine E-Mail an ein Postfach, das Sie kontrollieren, öffnen Sie die Header der Nachricht und suchen Sie nach dkim=pass mit einem d=-Wert, der Ihre Domain zeigt. Ein Pass für eine Salesforce-eigene Domain in der Signatur bedeutet, dass die DKIM-Einrichtung für Ihre Domain nicht abgeschlossen ist.

Die DNS-Seite bestätigen Sie in Sekunden mit dem Checker unten: Er zeigt, ob Ihre Domain gültige DKIM-Einträge veröffentlicht.

Die endgültige Prüfung sind Ihre eigenen DMARC-Daten. Ihre aggregierten DMARC-Berichte listen jede Quelle auf, die als Ihre Domain versendet, einschließlich der IP-Bereiche von Salesforce, und zeigen für jede Nachricht, ob sie mit Alignment bestanden hat. Taucht Salesforce-Traffic in Ihren Berichten als fehlgeschlagen auf, zeigen die Berichte auch, welcher Teil, SPF oder DKIM, noch Arbeit braucht. Der kostenlose Tarif von DMARCeye deckt eine Domain ab und verwandelt rohe Berichte in eine lesbare Liste von Absendern und nächsten Schritten. Sie können beobachten, wie die Salesforce-Quellen von Fehlschlägen zu Alignment wechseln, sobald Ihre DNS-Änderungen wirksam werden.

Das Fazit für die Praxis

Plattform-Standardeinstellungen authentifizieren die Plattform, nicht Ihre Domain. Die Dokumentation von Salesforce ist bei der Lösung eindeutig: Richten Sie DKIM für jedes Salesforce-Produkt ein, das als Ihre Domain versendet, und behalten Sie include:_spf.salesforce.com in Ihrem SPF-Eintrag. Messen Sie den Erfolg am Alignment, nicht an einem bloßen SPF- oder DKIM-Pass.

Die Arbeit besteht aus einer Handvoll DNS-Einträgen, und Ihre DMARC-Berichte bestätigen innerhalb weniger Tage, dass Salesforce-Mail als Ihre Domain besteht. DMARCeye überwacht diese Berichte für Sie und markiert die Absender, die noch Aufmerksamkeit brauchen.