E-Mail aus WordPress

Modul 9: E-Mail, Auffindbarkeit, DSGVO, Wartung und Umzug · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie dafür sorgen, dass E-Mail aus WordPress (Formulare, Bestellungen, Passwortlinks) zuverlässig ankommt.

Kernbegriffe: wp_mail, PHP mail(), Absender (From), Reply-To, SMTP, SMTP-Plugin, authentifiziertes Postfach, transaktionaler E-Mail-Dienst, SPF, DKIM, DMARC, Alignment, MX anderswo, Testmail

WordPress versendet mehr E-Mails, als Sie denken

Ihre Website versendet E-Mails bei: einem ausgefüllten Kontaktformular, einer Bestellung (an den Kunden und an Sie), einem neuen Benutzer, einem vergessenen Passwort, einem neuen Kommentar, einem automatischen Update, einem kritischen Fehler (Lektion 5.4). Kommt diese E-Mail nicht an, bemerken Sie das oft erst, wenn ein Kunde anruft: "Ich habe das Formular schon dreimal ausgefüllt."

Wie WordPress standardmässig E-Mails versendet

WordPress versendet alles über die Funktion wp_mail. Standardmässig gibt diese die E-Mail an die PHP-Funktion mail() weiter, die sie an das Mailprogramm des Webservers übergibt. Das funktioniert, hat aber drei Schwachstellen:

1. Der Absender. Ohne Einstellung versendet WordPress als wordpress@example.com. Existiert diese Adresse nicht oder weicht der Absender von Ihrer eigenen Domain ab, misstrauen die Empfänger dem.
2. SPF, DKIM und DMARC. Empfangende Mailserver prüfen, ob der Server, der die E-Mail zustellt, im Namen Ihrer Domain mailen darf (SPF), ob die E-Mail eine gültige digitale Signatur Ihrer Domain hat (DKIM) und welche Richtlinie Ihre Domain vorgibt, wenn das nicht stimmt (DMARC). Im DNS-Kurs (Lektion 4.3 bis einschliesslich 4.5) erfahren Sie, wie das funktioniert. E-Mail über den Webserver besteht diese Prüfungen nur, wenn Ihr DNS und der Server entsprechend eingerichtet sind.
3. E-Mail anderswo. Liegt Ihre E-Mail nicht bei Ihrem Webhoster, sondern beispielsweise bei Microsoft 365 oder Google Workspace (Ihre MX-Einträge zeigen dorthin), stimmt die E-Mail über den Webserver oft nicht mit Ihrem SPF und DKIM überein. Und manche Webserver versuchen, E-Mails an Ihre eigene Domain lokal zuzustellen statt über den MX, sodass sie nie in Ihrem echten Postfach ankommen.

Absender und Reply-To richtig setzen

Ein häufiger Fehler bei Kontaktformularen: als Absender (From) die Adresse des Besuchers zu verwenden. Das klingt logisch ("dann kann ich auf Antworten klicken"), aber Ihr Server darf nicht im Namen von @gmail.com oder @hotmail.com mailen. Diese Domains haben eine strenge DMARC-Richtlinie, sodass der Empfänger die E-Mail ablehnt oder als Spam einstuft.

Richtig ist:

From:     Website <website@example.com>      (eine Adresse Ihrer eigenen Domain)
Reply-To: bezoeker@example.net               (die vom Besucher eingegebene Adresse)
To:       info@example.com

Mit Reply-To landet Ihre Antwort trotzdem beim Besucher. Praktisch jedes Formular-Plugin bietet diese beiden Felder getrennt an.

SMTP: Versand über ein echtes Postfach

Die zuverlässigste Lösung ist, WordPress über SMTP mailen zu lassen: dieselbe Art, wie Ihr E-Mail-Programm versendet, mit Benutzername und Passwort eines echten Postfachs. Das machen Sie mit einem SMTP-Plugin (zum Beispiel WP Mail SMTP, FluentSMTP oder Post SMTP; es gibt noch mehr). Das Plugin fängt wp_mail ab und versendet die E-Mail über den von Ihnen angegebenen Server:

Vorteile: Die E-Mail läuft über einen Server, der bereits mit SPF und DKIM für Ihre Domain eingerichtet ist, der Absender ist eine existierende Adresse, und viele Plugins führen ein Protokoll, sodass Sie sehen, was versendet wurde und was fehlgeschlagen ist.

Achten Sie auf Folgendes:

• Verwenden Sie eine eigene E-Mail-Adresse für die Website (zum Beispiel website@), nicht Ihr eigenes Postfach. Wird die Website gehackt und das Passwort geleakt, kann diese Adresse ohne Schaden ersetzt werden.
• Das SMTP-Passwort steht in der Datenbank oder in wp-config.php. Verwenden Sie, wo möglich, ein App-Passwort oder eine Verbindung ohne Passwort.
• Ein Maillog enthält personenbezogene Daten (wer hat was gesendet). Lassen Sie es nicht endlos wachsen (Lektion 9.3).

SPF, DKIM und DMARC für Ihre Website

Egal welcher Server versendet, Ihr DNS muss dazu passen:

• SPF: Der SPF-Eintrag Ihrer Domain muss den Server nennen, der die E-Mail zustellt. Versenden Sie über den Mailserver Ihres Hosters, steht dieser meist schon drin. Versenden Sie über einen transaktionalen Dienst, fügen Sie dessen include: hinzu, in demselben SPF-Eintrag (nie einen zweiten SPF-Eintrag, DNS-Kurs Lektion 4.3).
• DKIM: Der versendende Server muss die E-Mail mit einem Schlüssel signieren, der in Ihrem DNS steht (<selector>._domainkey.example.com). Bei Ihrem Hoster und bei transaktionalen Diensten aktivieren Sie das; der Dienst gibt Ihnen die Einträge.
• DMARC: ein Eintrag bei _dmarc.example.com. Beginnen Sie mit p=none und verschärfen Sie, sobald alles stimmt (DNS-Kurs Lektion 4.5).

Für DMARC muss die Domain in der From-Adresse ausgerichtet (aligned) sein mit der Domain, die SPF oder DKIM besteht. Deshalb ist "From auf Ihrer eigenen Domain" so wichtig.

Testen

1. Viele SMTP-Plugins haben eine Schaltfläche Testmail senden. Senden Sie eine an eine Adresse bei einem anderen Anbieter (eine Gmail- oder Outlook.com-Adresse) und prüfen Sie, ob sie im Posteingang ankommt.
2. Sehen Sie sich in dieser E-Mail die Header an ("Original anzeigen" oder "Quelle anzeigen"). Suchen Sie nach spf=pass, dkim=pass und dmarc=pass.
3. Füllen Sie Ihr eigenes Kontaktformular aus und prüfen Sie, ob die E-Mail ankommt, mit der richtigen Reply-To-Adresse.
4. Testen Sie auch einen Passwortlink und bei einem Shop eine Testbestellung.

Online-Tools wie mail-tester.com geben eine Bewertung und Erklärung; mit dem E-Mail-Check Ihres Hosters (bei WebOké heisst dieser so) oder internet.nl prüfen Sie die DNS-Seite.

In der Praxis: so sieht es in einem Panel aus

Als Beispiel verwenden wir DirectAdmin und ein SMTP-Plugin. Bei anderen Hostern und Plugins heissen die Felder ähnlich.

1. Legen Sie in DirectAdmin unter E-Mail-Konten ein Postfach website@example.com mit einem starken Passwort an.
2. Suchen Sie bei Ihrem Hoster die Einstellungen für ausgehende E-Mail (Servername, Port 465 oder 587, Verschlüsselung).
3. Tragen Sie diese im SMTP-Plugin ein, mit website@example.com als Absender. Aktivieren Sie "Absender erzwingen", damit auch andere Plugins diese Adresse verwenden.
4. Prüfen Sie unter DNS-Verwaltung, dass SPF, DKIM und DMARC für Ihre Domain existieren.
5. Senden Sie eine Testmail und lesen Sie die Header.

Zusammenfassung

• WordPress versendet über wp_mail und standardmässig über PHP mail(); der Absender und das DNS bestimmen, ob die E-Mail ankommt.
• Setzen Sie den Absender (From) auf eine Adresse Ihrer eigenen Domain und die Adresse des Besuchers in Reply-To.
• Ein SMTP-Plugin mit einem eigenen Postfach oder ein transaktionaler Dienst ist am zuverlässigsten, mit einem Protokoll.
• SPF muss den versendenden Server nennen (in einem Eintrag), DKIM muss aktiv sein, DMARC mit p=none beginnen.
• Testen Sie mit einer Adresse bei einem anderen Anbieter und lesen Sie spf, dkim und dmarc in den Headern.

Quiz

Aufgabe

Aufgabe A9.1: Ist Ihre Domain bereit, von Ihrer Website aus E-Mails zu versenden? Geben Sie Ihre Domain ein, die Adresse, die Ihre Website als Absender verwendet, und den Server, über den Ihre Website mailt (den Namen des SMTP-Servers oder "Webserver", wenn Sie nichts eingestellt haben). Geben Sie auch den DKIM-Selector ein, falls Sie ihn kennen. Das Programm prüft: Die Absenderadresse gehört zu Ihrer Domain, es gibt genau einen SPF-Eintrag und dieser erlaubt den genannten Server, es gibt einen DKIM-Eintrag beim Selector (oder es meldet, dass ohne Selector keine Prüfung möglich ist), und es gibt einen gültigen DMARC-Eintrag.

Aufgabe D9.1: Eine Testmail lesen. Senden Sie eine Testmail von Ihrer Website (die Testschaltfläche Ihres SMTP-Plugins oder einen Passwortlink an ein Testkonto) an eine Adresse bei einem anderen Anbieter. Öffnen Sie die Header dieser E-Mail und notieren Sie die Ergebnisse bei spf, dkim und dmarc sowie welche Domain bei jedem steht. Füllen Sie anschliessend Ihr eigenes Kontaktformular aus und prüfen Sie: Kommt die E-Mail an, und geht "Antworten" an die Adresse, die Sie im Formular eingegeben haben?

Weiterführende Informationen

Diese Artikel beschreiben die Schritte in den Panels von WebOké; bei anderen Panels funktionieren sie ähnlich.

• E-Mail-Versand über PHP klappt nicht, MX-Einträge zeigen woandershin
• Wie bekomme ich in PHP mit mail() den richtigen Absender? SMTP
• Ein Kontaktformular auf Ihrer Website: Felder per E-Mail versenden und Spam vermeiden
• So funktioniert der Versand von E-Mails (SMTP)
• DirectAdmin Anleitung 18.10: Ich kann keine E-Mail versenden
• Kostenloser DNS-Kurs 4.3: SPF: wer darf im Namen Ihrer Domain E-Mails versenden?
• Kostenloser DNS-Kurs 4.4: DKIM: die Unterschrift unter Ihrer Mail
• Kostenloser DNS-Kurs 4.5: DMARC: was Empfänger mit gefälschter Mail tun sollen