E-Mail-Versand einrichten und prüfen

Viele kennen es von früher anders: Die Website hat ihre Mails einfach selbst vom Server verschickt, ohne dass jemand etwas einrichten musste. Das war bequem, hat aber Folgen, die wir bei CANVAYO grundsätzlich ausschließen wollen:

• Keine Spam-Schleuder: Kann eine Website ungeprüft vom Server aus Mails versenden, lässt sie sich kapern und massenhaft für Spam missbrauchen, im Namen eurer Domain. Über ein eingerichtetes Postfach geht nur raus, was dieses Postfach auch darf.
• Ein Postausgang, in dem nichts verschwindet: Jede Mail eurer Website steht im Protokoll, auch wenn die Zustellung misslingt. Jeder Formulareintrag liegt zusätzlich im Backend. Ihr könnt also immer nachsehen, was verschickt wurde und was nicht.
• Mails kommen an: Große Anbieter wie Google, Microsoft und Yahoo nehmen Mails nur noch zuverlässig an, wenn der Absender nachweislich zur Domain gehört (SPF, DKIM, DMARC). Mails aus eurem eigenen Postfach erfüllen das, Mails „irgendwoher vom Server“ landen im Spam oder werden abgewiesen.
• Euer guter Ruf bleibt eurer: Verschickt ihr über euer Postfach, hängt die Zustellung an eurer Domain und nicht an einem Server, den sich viele Websites teilen.
• Antworten landen bei euch: Die Mails tragen eine Adresse, die wirklich existiert. Wer antwortet, erreicht euch, statt im Nichts zu landen.

Der Aufwand ist einmalig: Ist das Postfach verbunden, läuft der Versand. Die regelmäßige Testmail meldet euch, falls sich daran etwas ändert.

Eure Website verschickt E-Mails in drei Fällen:

• Formular-Benachrichtigungen: Jemand füllt ein Formular aus, und ihr bekommt die Anfrage per Mail.
• Automatische Antworten: Die Person, die das Formular abgeschickt hat, bekommt eine Bestätigung.
• Systemmails: zum Beispiel „Passwort zurücksetzen“, Registrierungen oder Hinweise an die Admins eurer Website.

Alle drei laufen über denselben Weg, den ihr in den Mail-Einstellungen festlegt. Abgeschickt wird aus einem Postfach eurer Organisation. So landen die Mails seltener im Spam, und Antworten kommen bei euch an.

Im Backend findet ihr in der linken Seitenleiste den Punkt „Mail-Einstellungen“. Ihn sehen die Admins eurer Website (Rolle „Canvayo Admin“). Die Seite hat drei Reiter:

• Einstellungen: Absenderadresse, Absendername und die regelmäßige Testmail
• Anbieter: über welches Postfach eure Website verschickt
• Protokoll: jede verschickte Mail mit Datum und Ergebnis

• Microsoft 365 / Outlook: Ihr meldet euer Postfach über „Connect with Microsoft“ an. Dafür braucht ihr eine App-Registrierung in eurem Microsoft-Konto, aus der ihr Client-ID und Client-Secret eintragt. Hat eure IT den Versand per SMTP (SMTP AUTH) abgeschaltet, schaltet ihr die Option „Send via Microsoft Graph API“ ein. Die App braucht dann die Berechtigung „Mail.Send“. Nach dem Umschalten speichern und das Konto neu verbinden.
• Gmail / Google Workspace: Ihr meldet euer Postfach über „Connect with Google“ an, mit Client-ID und Client-Secret aus der Google Cloud Console. Alternativ geht ein App-Passwort.
• SMTP: für jeden anderen Mail-Anbieter. Ihr tragt Server (Hostname), Port, Verschlüsselung (SSL, TLS oder keine), STARTTLS sowie Benutzername und Passwort ein.
• Amazon SES: richten wir auf Anfrage für euch ein.

Bei Microsoft 365 und Gmail liegt kein Passwort eures Postfachs auf der Website. Die Anmeldung läuft über den Anbieter selbst.

Was ihr von eurer IT braucht:

• das Postfach, aus dem verschickt wird, zum Beispiel website@eure-domain.de
• für Microsoft 365 oder Gmail: Client-ID und Client-Secret einer App-Registrierung, bei Microsoft ohne SMTP zusätzlich die Berechtigung „Mail.Send“
• für SMTP: Server, Port, Verschlüsselung und die Zugangsdaten des Postfachs

1. Öffnet „Mail-Einstellungen“ und wechselt in den Reiter „Anbieter“.
2. Klickt auf die Kachel eures Anbieters. Das Schild „Active“ springt dabei auf die angeklickte Kachel. Aktiv wird der Anbieter aber erst, wenn ihr speichert.
3. Tragt die Zugangsdaten ein und klickt auf „Speichern“.
4. Bei Microsoft 365 und Gmail meldet ihr euch danach über „Connect with Microsoft“ bzw. „Connect with Google“ mit dem Postfach an.
5. Klickt auf „Test-E-Mail senden“ und prüft, ob sie ankommt.

Im Reiter „Einstellungen“ legt ihr die Absenderadresse und den Absendernamen fest. Nehmt als Adresse genau das Postfach, das ihr beim Anbieter eingerichtet habt. Weicht beides voneinander ab, lehnen viele Mailserver die Nachricht ab oder sortieren sie als Spam aus.

Mit „Force From Email“ gilt diese Absenderadresse für alle Mails der Website, auch wenn ein Formular eine andere vorgibt. Das ist meist die sicherste Wahl.

Unter „Test Email Cron“ schaltet ihr eine regelmäßige Testmail ein, täglich, wöchentlich oder monatlich. So merkt ihr früh, wenn Zugangsdaten abgelaufen sind, und nicht erst, wenn eine Anfrage fehlt.

Wohin eine Formular-Anfrage geht, stellt ihr im Formular selbst ein: Formular öffnen, Reiter „Einstellungen“, dann „Aktionen & Nachrichten“ und dort die E-Mail-Benachrichtigung.

• Empfänger: die Adresse, an die Anfragen gehen. Prüft sie, wenn jemand das Team verlassen hat oder ein Postfach umgezogen ist.
• Von: eure Absenderadresse, nicht die Adresse der Person, die das Formular ausfüllt.
• Antwort auf: Tragt hier das E-Mail-Feld des Formulars ein. Dann geht „Antworten“ in eurem Mailprogramm direkt an die Person, die angefragt hat.

Wie ihr eine Bestätigung an die anfragende Person einrichtet, steht in Formulare – Automatische Antwort.

Mit „Test-E-Mail senden“ verschickt ihr jederzeit eine Probe. Im Reiter „Protokoll“ steht jede Mail mit Datum, Empfänger und Ergebnis, zum Beispiel „Email sent via Smtp!“. Schlägt der Versand fehl, steht dort die Fehlermeldung des Mailservers. Sie hilft euch oder eurer IT bei der Suche nach der Ursache.

Wichtig: Auch wenn keine Mail ankam, ist keine Anfrage verloren. Jeder Formulareintrag liegt im Backend unter „Formidable“ → „Einträge“.

Damit Empfänger sicher erkennen, dass eine Mail wirklich von euch kommt, prüfen sie drei Einträge im DNS eurer Domain. Weil eure Website über euer eigenes Postfach verschickt, gelten dafür die Einstellungen eures Mail-Anbieters. Bei CANVAYO selbst müsst ihr nichts eintragen.

• SPF nennt die Server, die für eure Domain Mails verschicken dürfen. Euer Mail-Anbieter muss darin stehen, zum Beispiel include:spf.protection.outlook.com für Microsoft 365 oder include:_spf.google.com für Google.
• DKIM unterschreibt jede Mail digital. Die Unterschrift setzt euer Mail-Anbieter; ihr schaltet sie dort einmal für eure Domain ein:
  • Microsoft 365: im Microsoft-Defender-Portal bei den Einstellungen zur E-Mail-Authentifizierung, dazu zwei CNAME-Einträge im DNS.
  • Google Workspace: in der Admin-Konsole unter Gmail → „E-Mail authentifizieren“ einen Schlüssel erzeugen, als TXT-Eintrag ins DNS übernehmen und die Authentifizierung starten.
  • Anderer Anbieter (SMTP): in dessen Verwaltung, meist ein TXT- oder CNAME-Eintrag.
  • Amazon SES: richten wir gemeinsam mit euch ein.
• DMARC sagt Empfängern, was mit Mails geschehen soll, die SPF und DKIM nicht bestehen. Für den Anfang reicht ein Eintrag, der nur beobachtet (p=none); eure IT kann ihn später verschärfen.

So prüft ihr das Ergebnis: Schickt eine Testmail an ein Gmail-Postfach, öffnet sie und wählt „Original anzeigen“. Bei SPF, DKIM und DMARC sollte jeweils „PASS“ stehen.

Newsletter über CleverReach laufen nicht über euer Postfach und brauchen einen eigenen DKIM-Schlüssel, siehe DKIM-Schlüssel für CleverReach.

• Spam-Ordner beim Empfänger prüfen.
• Protokoll ansehen: Wurde die Mail verschickt, oder steht dort ein Fehler?
• Passwort geändert oder abgelaufen? Bei SMTP neu eintragen, bei Microsoft 365 und Gmail das Konto neu verbinden.
• Postfach umgezogen oder Inhaber gewechselt? Zugangsdaten und Absenderadresse aktualisieren.
• Absender passt nicht zum Postfach? Absenderadresse in den Einstellungen und „Von“ im Formular angleichen.
• Empfänger im Formular aktuell? Gerade nach Personalwechseln.
• Microsoft 365 lehnt ab? Oft ist SMTP AUTH abgeschaltet. Dann „Send via Microsoft Graph API“ nutzen.
• Mails landen dauerhaft im Spam? Prüft mit eurer IT SPF, DKIM und DMARC, siehe „Absender absichern“ oben.

Kommt ihr nicht weiter, schreibt uns mit Uhrzeit des Versuchs und der Meldung aus dem Protokoll. Dann finden wir die Ursache schnell.