Web-Formulare und die Crux mit der Spam-Erkennung

Was lange Jahre perfekt funktionierte, führt inzwischen zu sehr viel Frust, nämlich dann, wenn die E-Mail aus dem Kontaktformular nicht mehr zugestellt wird. 

Der E-Mail-Absender der vom Formular generierten Mail darf nicht dynamisch sein, sondern sollte fix auf eine Domain lauten, die unter der Kontrolle des Website-Betreibers steht, z.B. kontakt@beispielfirma.de. Dann kann der Website-Betreiber nämlich im DNS einen so genannten SPF-Record eintragen.

SPF steht für Sender Policy Framework. Ein SPF-Record ist ein Textstring, der besagt, dass der Server mit der IP-Adresse des Webserver – z.b. 78.65.43.21 berechtigt ist, E-Mails im Adressraum …@beispielfirma.de zu versenden. Ein solcher SPF-Record würde z.B. wie folgt aussehen:

v=spf1 ip4:78.65.43.21 -all

Nächste Herausforderung: Einfaches Beantworten der Mails und Autoresponder

Natürlich stellt das Unternehmen vor neue Herausforderungen, denn nun funktioniert eine einfache Antworten-Funktion ebenso wenig wie ein Autoresponder. Man könnte nun natürlich zwischen der From-Adresse und der ReplyTo-Adresse differenzieren. Als ReplyTo könnte man nach wie vor die Adresse des Formular-Ausfüllers eintragen. Das geht auch in den meisten Fällen gut, allerdings vergeben manche Spamfilter kräftigen Punktabzug, wenn die ReplyTo-Adresse eine bei einem Freemail-Anbieter registrierte Adresse ist, da Spammer natürlich auch gerne solche Adressen nutzen. Kommen also Kontaktanfragen von Unternehmen durch, aber solche Privatleuten mit Account bei GMX, t-online und Co., könnte es an dieser Spam-Filter-Regel liegen (die übrigens die Bezeichnung “FREEMAIL_FORGED_REPLYTO” mit der Langform “Freemail in Reply-To, but not From” besitzt).

Dafür, den verschiedenen möglichen Problemen auf die Spur zu kommen, gibt es zum Glück verschiedene Tools, mit denen man die Mails von Formularen untersuchen kann.

• Unser liebstes istUnser liebstes ist Mail-tester.com: https://www.mail-tester.com.
  ​​​​​​​Dieser Anbieter stellt ein dynamisch generiertes E-Mail-Postfach mit zufälliger Adresse zur Verfügung, an das man sein Formular die Nachricht senden lässt. Danach kann man in einer ausführlichen Analyse Problembereiche und Anleitungen zu deren Behebung sehen. Allerdings ist die Anzahl kostenfreier Tests auf wenige Tests pro Tag beschränkt.
• Einen ähnlichen Zweck verfolgt das Tool: https://spamcheck.postmarkapp.com. Dieses Tool funktioniert etwas anders als mail-tester.com. Man kopiert dort die kompletten Rohdaten der E-Mail in ein Feld und erhält eine Bewertung. Vorteil: man kann die Rohdaten direkt verändern (z.B. die ReplyTo-Adresse) und sieht sofort die Auswirkungen. Und wo bekommt man die Rohdaten her? Z.B. kann man sie von oben genanntem mail-tester.com kopieren.
• Mehrere Tools zur Analyse und Generierung des SPF-Records liefert z.B. https://www.spf-record.de/spf-lookup. Mit diesem Rüstzeug versehen steht einer Optimierung von Formular-generierten E-Mails nichts mehr im Wege.

Haben wir etwas vergessen? Natürlich: das Thema “Datenschutz”.

Das Thema “Datenschutz” darf heutzutage nicht fehlen. Wenn der Website-Besucher auf einem https-gesicherten Formular seine Daten eingibt, darf er erwarten, dass diese auch in einem gesicherten Transportkanal weitergeleitet werden. Hier sollte der E-Mail-Versand zumindest in einem TLS-Kanal erfolgen. Man erkennt das an den oben erwähnten Rohdaten, die eine Zeile wie “using TLSv1.2 with cipher ADH-AES256-GCM-SHA384 (256/256 bits)“ enthalten sollten.

_{Geschrieben von Stefan Schütt, Pagemachine AG}