Fehlerbehebung bei DMARC-Fehlern für ausgehende E-Mails in Adobe Commerce auf der Cloud-Infrastruktur mit SendGrid

Wenn ausgehende E-Mails aus Ihrem Store (Bestellbestätigungen, Kennwortzurücksetzungen und ähnliche Transaktions-E-Mails, die über die integrierte SendGrid-Integration von Adobe gesendet werden) bei DMARC-Prüfungen fehlschlagen, als Spam gekennzeichnet sind oder von Empfänger-E-Mail-Servern abgelehnt werden, gibt es zwei unterschiedliche Ursachen. Überprüfen Sie, welche für Sie gilt, bevor Sie DNS-Änderungen vornehmen.

Beschreibung description

Umgebung

Problem/Symptome

Bevor Sie beginnen: Bestätigen Sie, dass dies tatsächlich ein Authentifizierungsproblem ist.

Nicht jeder gemeinsam mit der DMARC-Überwachung gemeldete Versandfehler wird durch DMARC/DKIM/SPF verursacht - empfängerseitige Bounces (vollständiges Postfach, Greylisting, IP-Drosselung) sehen in Berichten ähnlich aus, haben aber nichts mit der Domain-Authentifizierung zu tun. Prüfen Sie den spezifischen Bounce-/Blockgrund in Ihrem SendGrid-Aktivitäts-Feed, bevor Sie davon ausgehen, dass dieses Handbuch gilt.

Wie jedes Symptom zu bestätigen ist

Bounce oder mit DMARC-bezogenen Fehlern zurückgewiesen: Öffnen Sie die Rohquelle der zurückgewiesenen oder zurückgewiesenen Nachricht in Ihrem E-Mail-Client und überprüfen Sie die Authentication-Results.

Beispiel:

Authentication-Results: mx.google.com;
       dkim=fail;
       spf=fail (google.com: domain of bounce@mail.adobe.com does not designate XXX.XXX.XXX.XXX as permitted sender);
       dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=adobe.com

Wonach Sie suchen sollten: Ein dmarc=fail Ergebnis in dieser Kopfzeile bestätigt, dass die Ablehnung mit DMARC zusammenhängt und nicht mit einem nicht verwandten Bounce (vollständiger Posteingang, Greylisting, IP-Drosselung).

Lösung resolution

Führen Sie zur Behebung des Problems folgende Schritte aus:

Schritt 1: Überprüfen, ob Ihre Domain bereits einen DMARC-Eintrag veröffentlicht

Führen Sie diesen aus, um zu sehen, ob bereits eine Richtlinie vorhanden ist:

dig TXT _dmarc.yourdomain.com +short

Worauf Sie achten sollten: Wenn eine Richtlinie vorhanden ist, wird ein TXT Wert zurückgegeben, der mit v=DMARC1; beginnt (Beispiel: "v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com"). Wenn der Befehl nichts zurückgibt, wird für diese Domain kein DMARC-Eintrag veröffentlicht. Validiertes Beispiel: Die Abfrage von _dmarc.adobe.com gibt derzeit nichts zurück, was bedeutet, dass auf adobe.com kein DMARC-Eintrag veröffentlicht wurde.

Szenario A: Es ist bereits ein DMARC-Datensatz vorhanden (am häufigsten)

Wenn ein Datensatz zurückgegeben wird, verfügt Ihre Domain bereits über eine DMARC-Richtlinie. Diese wird in der Regel unabhängig vom IT- oder Sicherheits-Team Ihres Unternehmens festgelegt, unabhängig von Adobe Commerce. In diesem Fall bedeuten DMARC-Fehler fast immer, dass die Domain-Authentifizierung von SendGrid (DKIM und SPF) noch nicht für Ihre Versand-Domain eingerichtet oder ausgerichtet ist, nicht dass etwas mit Ihrem DMARC-Datensatz selbst nicht stimmt.

Lösung: Befolgen Sie die vorhandene Dokumentation zum SendGrid-E-Mail-Service, um die Authentifizierung von DKIM- und SPF-Domains über einen Support-Fall anzufordern. Sobald die DKIM-/SPF-Einträge von SendGrid korrekt zu Ihrem DNS hinzugefügt und an Ihre Versand-Domain angepasst wurden, beginnt Ihre bestehende DMARC-Richtlinie zu übergeben - es sind keine Änderungen am DMARC-Eintrag selbst erforderlich.

DNS-Eintragswerte können sich im Laufe der Zeit ändern: Verwenden Sie keine CNAME/TXT-Werte aus einem alten Support-Fall oder einem internen Dokument erneut. Zuweisungen von SendGrid-Unterkonten können erneut ausgegeben werden, sodass ein zuvor gültiger Datensatz möglicherweise nicht mehr mit Ihrer aktuellen SendGrid-Konfiguration übereinstimmt. Aktuelle Werte immer über einen neuen Support-Fall anfordern, anstatt historische erneut anzuwenden.

Wenn es sich um eine Staging- oder Nicht-Produktionsumgebung handelt: SendGrid ist standardmäßig für Staging und Produktion aktiviert, aber die DKIM/SPF-Domain-Authentifizierung wird normalerweise nur für die Produktion angefordert und bei Staging nie nachverfolgt. Es kann monatelang zu funktionieren scheinen (aufgrund einer nachsichtigen oder abwesenden DMARC-Richtlinie) und dann fehlschlagen, sobald Ihr Unternehmen die Durchsetzung von DMARC verschärft. Wenn beim Staging nur Fehler auftreten, während die Produktion in Ordnung ist, fordern Sie die DKIM-/SPF-Authentifizierung speziell für die Staging-Umgebung an - nehmen Sie nicht an, dass dies bereits durch die Produktionsanfrage abgedeckt war.

Überprüfen, ob DKIM-/SPF-Einträge weitergegeben wurden

Nachdem die DKIM/SPF-Domain-Authentifizierung angefordert und angewendet wurde, überprüfen Sie, ob die Einträge tatsächlich im DNS übertragen wurden, bevor Sie die DMARC-Ausrichtung erneut testen oder einen Fall erneut öffnen. Die Domain-Authentifizierung von SendGrid veröffentlicht drei CNAME-Einträge für die sendende Subdomain: einen für das Link-Branding (em) und zwei für die DKIM-Signaturschlüssel (s1._domainkey, s2._domainkey).

dig CNAME em.yourdomain.com +short
dig CNAME s1._domainkey.yourdomain.com +short
dig CNAME s2._domainkey.yourdomain.com +short

Worauf Sie achten sollten: Jeder Befehl sollte ein CNAME-Ziel zurückgeben, das auf .sendgrid.net. endet. Wenn ein Befehl nichts zurückgibt, wurde dieser Datensatz entweder noch nicht hinzugefügt oder nicht weitergegeben. Validiertes Beispiel: Abfrage von s1._domainkey.adobe.com und s2._domainkey.adobe.com gibt zurück:

s1.domainkey.uXXXXXXX.wlXXX.sendgrid.net.
s2.domainkey.uXXXXXXX.wlXXX.sendgrid.net.

Ein leeres Ergebnis, wie es in diesem Beispiel bei derselben Prüfung mit em.adobe.com zurückgegeben wird, bedeutet, dass ein bestimmter Datensatz nicht konfiguriert ist. Fordern Sie sie explizit an, anstatt anzunehmen, dass sie in einer vorherigen DKIM/SPF-Anfrage enthalten war. Wenn sich ein Datensatz 24-48 Stunden nach dem Hinzufügen immer noch nicht auflöst, sollten Sie den vorhandenen Support-Fall weiterverfolgen, anstatt einen neuen zu öffnen.

Szenario B: Es ist kein DMARC-Datensatz vorhanden

Wenn der obige Befehl nichts zurückgibt, verfügt Ihre Domain über keine DMARC-Richtlinie. In diesem Fall sollten Sie nicht nur DKIM/SPF pro Szenario A einrichten, sondern auch einen DMARC-Datensatz veröffentlichen. Beginnen Sie im Überwachungsmodus, nicht mit der Durchsetzung:

_dmarc.yourdomain.com   TXT   "v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com; pct=100"

Springen Sie nicht direkt zu p=quarantine oder p=reject, bevor Sie Ihre eigenen legitimen E-Mail-Durchläufe bestätigen, da dies dazu führen kann, dass Ihre eigenen Transaktions-E-Mails von Empfänger-Servern stillschweigend abgelehnt werden.

Verwandtes Lesen