Nehmen wir eine einzige Nachricht. Ein erfundener Shop namens Bright Parcel hat gerade erlebt, dass sich ein Besucher mit der Adresse quietfox42@veylax.com registriert hat, und sein System drückt das Äquivalent von Senden für eine Bestätigungs-Mail. Kurz darauf steht diese Nachricht auf dem Bildschirm des Besuchers, und einen Tag später existiert sie beim Postfach-Dienst nirgends mehr. Dieser Artikel begleitet sie den ganzen Weg.
Wie funktioniert Temp-Mail also? Sie nutzt die gewöhnliche Technik der Internet-Mail mit einem Dreh: Die Empfangsseite nimmt Post für jeden beliebigen Benutzernamen auf ihren Domains an und behält sie nur kurz. Der Server des Absenders schlägt den MX-Eintrag der Domain im DNS nach, verbindet sich per SMTP auf Port 25 mit dem genannten Host und liefert die Nachricht aus. Das Temp-Mail-System wertet sie dann aus, zeigt sie in einem Postfach an und löscht sie nach Zeitplan. Bei VookMail zeigen die MX-Einträge der Domains auf einen Anbieter für Mailzustellung, der die SMTP-Sitzung entgegennimmt und jede Nachricht per HTTPS an VookMail weiterleitet.
Stufe 1: Beim Absender losschicken
Die Anwendung von Bright Parcel baut die Nachricht. Eine Nachricht ist strukturierter Text, aufgebaut nach dem Internet Message Format (RFC 5322): Kopfzeilen wie From, To und Subject, dann eine Leerzeile, dann der Inhalt. Die Anwendung liefert sie meist nicht selbst aus. Sie übergibt sie an einen Dienst für ausgehende Post, entweder über eine authentifizierte SMTP-Verbindung auf Port 587 (oder 465 mit TLS von Anfang an) oder über die Web-API des sendenden Unternehmens.
Die erste Verzögerung kann schon hier auftreten. Viele Anwendungen stellen ausgehende Post in eine Auftragswarteschlange und arbeiten sie stapelweise ab, besonders Werbeplattformen. Der Moment, in dem eine Website „Prüfe deine E-Mail“ sagt, kann also ein gutes Stück vor dem Moment liegen, in dem die Mail das Haus verlässt. Nehmen wir in unserem Beispiel an, die Warteschlange braucht zwanzig Sekunden. Bei der Empfangsseite ist noch nichts angekommen, und kein Temp-Mail-Dienst kann es sehen oder beschleunigen.
Stufe 2: Herausfinden, wo veylax.com seine Post annimmt
Der ausgehende Server liest den Teil nach dem @, hier veylax.com, und fragt das DNS nach den MX-Einträgen dieser Domain. Ein MX-Eintrag (Mail Exchanger) nennt einen Server, der Post für die Domain annimmt. In der Notation einer Zonendatei könnten die Einträge einer Domain so aussehen. Die Namen sind zur Veranschaulichung erfunden:
example-temp.com. 3600 IN MX 10 mx1.mail-provider.example.
example-temp.com. 3600 IN MX 20 mx2.mail-provider.example.
Die 3600 ist die TTL (Time to Live), die Anzahl Sekunden, die ein Resolver diese Antwort zwischenspeichern darf. Die 10 und die 20 sind Prioritäten: Absender probieren zuerst die niedrigste Zahl und weichen auf die höhere aus, wenn sie nicht erreichbar ist. Der Hostname muss einen eigenen A-Eintrag (IPv4) oder AAAA-Eintrag (IPv6) haben. Ein MX-Eintrag sollte auf einen Hostnamen zeigen und nicht direkt auf eine IP-Adresse oder einen CNAME-Alias.
Diese Abfrage kannst du für jede Domain selbst ausführen:
| System | Befehl |
|---|---|
| Windows-Eingabeaufforderung | nslookup -type=mx example.com |
| Windows PowerShell | Resolve-DnsName example.com -Type MX |
| macOS und Linux | dig MX example.com +short |
Anti-Missbrauchs-Systeme nutzen genau diese Abfrage, um Domains zu erkennen, die Post an bekannte Wegwerf-Infrastruktur leiten. Das ist ein Grund, warum manche Websites Temp-Mail-Domains erkennen, selbst wenn die Domain neu ist.
Zwei Sonderfälle im DNS
Eine Domain ohne MX-Eintrag ist nicht automatisch unerreichbar. RFC 5321, der SMTP-Standard, definiert einen Rückfall: Der Absender darf den eigenen A- oder AAAA-Eintrag der Domain als stillschweigend angenommenen Mail-Host behandeln. Eine Domain, die gar keine Post will, kann das mit einem Null-MX (RFC 7505) sagen, einem MX-Eintrag mit Priorität 0 und einem einzelnen Punkt als Host. Temp-Mail-Domains veröffentlichen natürlich normale MX-Einträge, denn Empfangen ist ihr ganzer Zweck.
Auch das Zwischenspeichern kann stören, wenn ein Dienst eine Domain hinzufügt. Resolver, die kürzlich die Antwort „kein solcher Eintrag“ bekommen haben, behalten sie womöglich, bis die Zeit für das negative Caching abläuft, die der SOA-Eintrag der Domain steuert (RFC 2308). Eine ganz neue Domain braucht daher unter Umständen eine Weile, bis sie von allen Absendern zuverlässig Post empfängt.
Stufe 3: Das Gespräch zwischen zwei Servern
Der ausgehende Server von Bright Parcel öffnet nun eine TCP-Verbindung zum bevorzugten MX-Host auf Port 25. SMTP ist ein Textprotokoll: Der Client sendet Befehle, und der Server antwortet mit nummerierten Antworten. Hier eine vereinfachte Sitzung für unsere Nachricht, in der S: der Empfänger und C: der Absender ist. Die Hosts und die Größenangabe gehören zu diesem erfundenen Beispiel.
S: 220 mx1.mail-provider.example ESMTP ready
C: EHLO out.brightparcel.example
S: 250-mx1.mail-provider.example
S: 250-STARTTLS
S: 250 SIZE 26214400
C: STARTTLS
S: 220 Ready to start TLS
(TLS-Handshake, danach erneut EHLO)
C: MAIL FROM:<bounce@brightparcel.example>
S: 250 OK
C: RCPT TO:<quietfox42@veylax.com>
S: 250 OK
C: DATA
S: 354 End data with <CR><LF>.<CR><LF>
C: (Kopfzeilen, Leerzeile, Inhalt, dann eine Zeile mit einem einzelnen Punkt)
S: 250 Queued as 8F2A1C
C: QUIT
S: 221 Bye
| Befehl | Zweck | Was das für Temp-Mail bedeutet |
|---|---|---|
EHLO | Stellt den Absender vor und fragt, was der Server unterstützt | Die Antwort listet Erweiterungen wie STARTTLS und die maximale SIZE auf |
STARTTLS | Rüstet die Verbindung auf TLS auf (RFC 3207) | Schützt diesen einen Abschnitt. Es ist keine Ende-zu-Ende-Verschlüsselung |
MAIL FROM | Legt den Umschlag-Absender fest, wohin Rückläufer gehen | Weicht oft von der sichtbaren From-Zeile ab, besonders bei Massenversendern |
RCPT TO | Nennt einen Empfänger | Ein Catch-all-Empfänger antwortet für jeden Benutzernamen auf seinen Domains mit 250 |
DATA | Beginnt den Nachrichteninhalt | Endet mit einem einzelnen Punkt in einer eigenen Zeile |
QUIT | Beendet die Sitzung | Die Zustellung war schon mit dem 250 nach DATA besiegelt |
Der Moment, in dem die Verantwortung wechselt
Das letzte 250 ist die wichtigste Zeile der Sitzung. Bis dahin gehört die Nachricht dem Server von Bright Parcel, und reißt die Verbindung ab, versucht er es erneut. Danach hat der Empfänger die Verantwortung übernommen. Im Dashboard des Absenders steht jetzt typischerweise „zugestellt“, was nur heißt, dass dieser Abschnitt geklappt hat. Es heißt nicht, dass ein Mensch etwas gesehen hat.
Die Antwortcodes erklären einen Großteil dessen, was Leute beobachten:
- 2xx steht für Erfolg, und
250bedeutet angenommen. - 3xx ist ein Zwischenschritt, und
354sagt dem Absender, die Nachricht zu übertragen. - 4xx ist ein vorübergehender Fehler, zum Beispiel
421oder451. Der Absender behält die Nachricht in seiner Warteschlange und versucht es erneut. - 5xx ist ein dauerhafter Fehler, zum Beispiel
550(Postfach nicht verfügbar oder abgelehnt) oder552(zu groß). Der Absender gibt auf und erzeugt in der Regel eine Rückläufer-Nachricht.
Der Unterschied zwischen 4xx und 5xx erklärt die meiste „langsame“ Post. Hätte der Empfänger an dieser Stelle mit 451 geantwortet, vielleicht wegen Greylisting (RFC 6647), läge unsere Nachricht in der Warteschlange von Bright Parcel, weder verloren noch zugestellt. RFC 5321 rät zu einem Wiederholungsabstand von im Allgemeinen mindestens 30 Minuten und zu einer Aufgabefrist von mindestens vier bis fünf Tagen, auch wenn echte Systeme eigene Zeitpläne setzen und viele früher erneut versuchen. Deshalb kann eine Bestätigung nach ein paar Sekunden erscheinen und die nächste nach zwanzig Minuten, ohne dass in einem der Fälle etwas nicht stimmt.
Zwei Arten von Adressen
SMTP kennt zwei Ebenen der Adressierung. Der Umschlag, MAIL FROM und RCPT TO, wird von den Servern für die Weiterleitung benutzt. Die Kopfzeilen, From:, To: und Subject:, gehören zum Nachrichteninhalt und sind das, was du auf dem Bildschirm siehst. Sie können voneinander abweichen. Ein Newsletter zeigt vielleicht To: subscribers an, obwohl der Umschlag-Empfänger deine temporäre Adresse war. Ein empfangendes System sortiert Nachrichten deshalb nach dem Umschlag-Empfänger, dem verlässlichen Wert. Deshalb hält auch die Kopfzeile Return-Path, die bei der endgültigen Zustellung hinzugefügt wird, den Umschlag-Absender fest und nicht die sichtbare From-Adresse.
Stufe 4: Warum quietfox42 nicht existieren musste
Bei RCPT TO prüft ein normaler Mailserver, ob das Postfach existiert, und antwortet mit 550, wenn nicht. Eine Temp-Mail-Domain arbeitet umgekehrt. Sie läuft als Catch-all- oder Wildcard-Empfänger: Jeder lokale Teil (das Stück vor dem @) wird angenommen.
Diese eine Entscheidung macht sofortige Adressen möglich. Wenn VookMail dir eine zufällige Adresse zeigt, musste auf keinem Mailserver etwas angelegt werden. Wenn du Neu drückst, einen eigenen Benutzernamen tippst, eine Domain wählst und den Pfeil drückst, „existiert“ dieser Name bereits, weil die Domain alle Namen annimmt. Die Anwendung muss dir nur die Nachrichten zeigen, deren Empfänger zur Adresse auf deinem Bildschirm passt.
Für diese Namen gelten zwei kleine Regeln. Der Standard sagt, ein lokaler Teil darf Groß- und Kleinschreibung unterscheiden, doch fast alle echten Systeme behandeln Test@ und test@ als ein Postfach, und ein Temp-Mail-System vereinheitlicht die Schreibung vernünftigerweise, damit die Großschreibung eines Absenders ein Postfach nicht in zwei teilt. Und RFC 5321 begrenzt den lokalen Teil auf 64 Oktette, mit einer praktischen Grenze von 254 Zeichen für eine ganze Adresse, generierte Namen sollten also gut darunter bleiben.
Stufe 5: Vom Mail-Protokoll zur Web-Anfrage
Unsere Nachricht wurde jetzt von einer Maschine angenommen, die SMTP spricht. Die Website, die das Postfach zeigt, ist eine Webanwendung. Etwas muss beides verbinden.
Einen Mailserver zu betreiben, der dem ganzen Internet zugewandt ist, ist echte Arbeit: TLS, Verbindungsfluten, Warteschlangen, Schadsoftware und ein guter Ruf, den man halten muss. Deshalb überlassen viele moderne Anwendungen die SMTP-Seite einem spezialisierten Anbieter für eingehende Post und empfangen Nachrichten als Web-Anfragen, ein Muster, das oft Inbound-Parse-Webhook heißt. VookMail nutzt dieses Modell. So läuft es ab:
- Die MX-Hosts des Anbieters nehmen die Nachricht vom Server des Absenders an, wie in der Sitzung oben.
- Der Anbieter verpackt sie, entweder als rohen MIME-Quelltext oder als bereits ausgewertete Felder wie Absender, Empfänger, Betreff, Text, HTML und Anhänge.
- Er sendet dieses Paket in einem HTTPS-POST an einen Endpunkt der Temp-Mail-Anwendung, was den Inhalt zwischen diesen beiden Punkten verschlüsselt.
- Die Anwendung antwortet mit einem Erfolgsstatus. Ist sie nicht erreichbar oder liefert einen Fehler, versucht es ein gut gemachter Anbieter nach seiner eigenen Richtlinie erneut.
- Die Anwendung prüft die Anfrage, ordnet den Empfänger einer Adresse zu und speichert die Nachricht vorübergehend.
| Gesichtspunkt | Selbst betriebener SMTP-Empfänger | Inbound-Anbieter plus HTTPS |
|---|---|---|
| Angriffsfläche | Port 25 ist für jeden Host im Internet offen | Der Anbieter nimmt den SMTP-Verkehr an, und die App sieht nur HTTPS-Anfragen |
| Lastspitzen | Der Betreiber muss Kapazität bereitstellen | Die Infrastruktur des Anbieters fängt Spitzen ab |
| MIME-Auswertung | Der Betreiber schreibt oder pflegt einen Parser | Oft vom Anbieter erledigt, der Rohtext lässt sich aber weiter nutzen |
| Passung zu einer Webanwendung | Braucht eine Brücke vom Mail-Spool zur App | Die Nachricht kommt an wie jede API-Anfrage |
| Abhängigkeit | Weniger externe Parteien | Verlässt sich auf Verfügbarkeit und Konfiguration des Anbieters |
Die letzte Zeile ist ein echter Preis. Hat ein Inbound-Anbieter einen Ausfall oder ein Konfigurationsproblem, kann die Zustellung an alle Domains dahinter stehen bleiben, bis es behoben ist, selbst wenn die Temp-Mail-Website einwandfrei läuft. Nachrichten, die in dieser Zeit mit einem vorübergehenden Fehler abgelehnt wurden, kommen unter Umständen doch noch durch, wenn die ursprünglichen Absender es erneut versuchen, je nachdem, wie lange ihre Warteschlangen sie halten.
Den Endpunkt schützen
Ein Webhook-Endpunkt ist eine öffentliche URL, jeder könnte also versuchen, ihr eine gefälschte Nachricht zu schicken. Sorgfältige Umsetzungen kombinieren meist mehrere Schutzmaßnahmen:
- Signaturprüfung, bei der der Anbieter jede Anfrage signiert und die Anwendung jene ablehnt, die nicht passen.
- Ein geheimer Pfad oder Token, den nur der Anbieter und die Anwendung kennen.
- Anfragen auf die veröffentlichten Adressbereiche des Anbieters beschränken, soweit es sie gibt.
- Größenlimits, die überlange Nutzlasten früh ablehnen, um Arbeitsspeicher und Speicherplatz zu schützen.
- Idempotenz. Anbieter versuchen es erneut, dieselbe Nachricht kann also zweimal ankommen, und eine Message-ID oder Ereignis-ID des Anbieters verhindert Duplikate.
Stufe 6: Die Nachricht auseinandernehmen
Was ankommt, ist noch nichts, was ein Mensch bequem lesen kann. MIME (Multipurpose Internet Mail Extensions, ab RFC 2045) erlaubt es einer Nachricht, mehrere Teile in verschiedenen Formaten zu tragen. Unsere Bestätigungs-Mail könnte so aufgebaut sein, wobei als Beispiel eine Rechnung hinzukommt:
| Teil | Was er enthält |
|---|---|
multipart/mixed | Der äußere Container, wenn Anhänge vorhanden sind |
multipart/alternative | Derselbe Inhalt doppelt, als text/plain und text/html. Das Anzeigeprogramm zeigt die reichhaltigste Form, die es unterstützt |
multipart/related | HTML, gebündelt mit eingebetteten Bildern, auf die über cid:-Kennungen verwiesen wird |
| Anhangsteil | Eine Kopfzeile Content-Disposition: attachment und ein Dateiname, dann die kodierten Daten der Datei |
Darüber liegen die Kopfzeilen, darunter Message-ID, Date und die Received-Spurzeilen, die jeden Server festhalten, den die Nachricht durchlaufen hat. Willst du je wissen, wo eine Verzögerung entstand, sind die Zeitstempel in den Received-Zeilen die Stelle zum Nachsehen.
Ein Parser muss außerdem mehrere Kodierungen rückgängig machen. Base64 transportiert binäre Anhänge und bläht sie um etwa ein Drittel auf, aus einer 10-MB-Datei wird also eine Nachricht von ungefähr 13 bis 14 MB. Quoted-Printable behandelt überwiegend ASCII-Text, indem es Sonderzeichen als =XX schreibt. Der Wert charset= gibt an, wie Text kodiert ist, meist UTF-8, was für einen Dienst in vielen Sprachen sehr wichtig ist. Und Betreffzeilen mit Nicht-ASCII-Zeichen benutzen die Syntax =?UTF-8?B?...?= oder =?UTF-8?Q?...?= aus RFC 2047.
Das HTML sicher anzeigbar machen
E-Mail-HTML schreiben Fremde, ein Anzeigeprogramm darf es also nicht Code im Kontext der Website ausführen lassen. Sorgfältige Umsetzungen entfernen im Allgemeinen Skripte, Ereignis-Attribute und gefährliche URL-Schemata und zeigen die Nachricht in einem isolierten Frame an, damit ihre Stile und Inhalte die umgebende Seite nicht beeinflussen können.
Auch Bilder von außen brauchen Überlegung. Ein solches zu laden verrät seinem Absender, dass die Nachricht geöffnet wurde, so funktionieren Tracking-Pixel. VookMail entfernt versteckte Tracking-Pixel und hält Bilder aus, bis du sie erlaubst.
Ein Anzeigeprogramm kann mit dem ausgewerteten Text auch etwas Nützliches anfangen. Bei unserer Bestätigungsnachricht zeigt VookMail den Bestätigungscode oder Bestätigungslink über der Nachricht an, damit niemand durch eine lange Vorlage scrollen muss, um ihn zu finden.
Anhänge
Anhänge werden dekodiert und vorübergehend gespeichert, damit man sie herunterladen kann. Bei VookMail werden gängige Programmdateien wie .exe, .bat und .apk abgelehnt, Archive wie .zip zeigen einen Warnhinweis, und es gelten Höchstgrößen. Anhänge werden zusammen mit den Nachrichten gelöscht. Denk daran, dass die Sicherheit einer Datei nichts damit zu tun hat, wo sie gespeichert war: Ein Dokument mit Makros ist aus einem temporären Postfach genauso gefährlich.
Stufe 7: Auf den Bildschirm gelangen
Unsere Nachricht ist nun gespeichert, aber der Browser, der quietfox42@veylax.com anzeigt, weiß das noch nicht. Webanwendungen haben mehrere Wege, es herauszufinden:
| Verfahren | So funktioniert es | Vor- und Nachteile |
|---|---|---|
| Short Polling | Die Seite fragt den Server alle paar Sekunden | Einfach und verlässlich, erzeugt aber wiederholte Anfragen |
| Long Polling | Eine Anfrage bleibt offen, bis es Neuigkeiten oder eine Zeitüberschreitung gibt | Weniger leere Antworten, mehr offene Verbindungen |
| Server-Sent Events | Ein langlebiger Datenstrom vom Server zum Browser | Effizient in eine Richtung, verbindet sich selbst neu |
| WebSockets | Eine dauerhafte Verbindung in beide Richtungen | Voll interaktiv, braucht eigene Infrastruktur |
Das Postfach von VookMail prüft alle paar Sekunden auf Post, und der Button Aktualisieren prüft von Hand, zum Beispiel nachdem dein Gerät im Ruhezustand war oder dein Netz abgerissen ist. Diese paar Sekunden sind meist die kürzeste Etappe der Reise. Wirkt die Post langsam, ist die Zeit fast immer schon früher verloren gegangen, in der Warteschlange des Absenders oder bei einem erneuten Versuch.
Das Anlegen einer Adresse durchläuft auch einen kleinen Bot-Schutz: eine kurze Rechnung im Browser des Besuchers, bekannt als Proof of Work. Sie kostet einen normalen Besucher fast nichts und macht das massenhafte Erstellen von Adressen teurer.
Die Adresse lässt sich auch anderswo öffnen. Da die Adresse selbst das Postfach bestimmt, genügt es, sie weiterzugeben, um es auf ein anderes Gerät zu holen. Der QR-Button von VookMail zeigt sie als Code, den ein Handy scannen kann, damit sich dort dasselbe Postfach öffnen lässt, und die Android- und Huawei-Apps zeigen Post auf dieselbe Weise an. Das ist bequem, und es zeigt auch, warum diese Postfächer wenig Privatsphäre bieten: Jeder, der eine Adresse kennt oder errät, kann dieses Postfach öffnen. Eine zufällige Adresse ist die sicherere Wahl, denn sie ist viel schwerer zu erraten als ein kurzer Name.
Stufe 8: Löschung
Etwa einen Tag nach der Ankunft unserer Bestätigung ist sie weg. Die Aufbewahrung wird in einem Temp-Mail-System meist mit einem Zeitstempel an jeder gespeicherten Nachricht und einem geplanten Job umgesetzt, der alles entfernt, was älter als die Grenze ist. Anhänge, die als eigene Dateien liegen, verschwinden gleichzeitig. Andere Konzepte nutzen ablaufende Speicherung, bei der die Datenbank selbst alte Datensätze über eine Time-to-Live-Einstellung entfernt. Stapeljobs sind ein Grund, warum Dienste das Ablaufen meist mit „etwa“ einem Tag beschreiben, denn der genaue Zeitpunkt hängt davon ab, wann der Job läuft. Bei VookMail werden Nachrichten, Anhänge und Adressen innerhalb von etwa 24 Stunden gelöscht, und mit dem Button Löschen kannst du Dinge früher entfernen.
Die kurze Aufbewahrung dient zwei Zwecken zugleich. Sie schützt die Privatsphäre, und sie ist auch eine Kapazitätsnotwendigkeit: Wegwerf-Postfächer empfangen viel Werbung, und sie lange aufzuheben würde niemandem nützen. Unsere Datenschutzerklärung und die Methodik-Seite behandeln den Umgang mit Daten genauer.
Beachte, was die Löschung nicht berührt. Bright Parcel hat die Adresse weiter in seiner Kundentabelle, und seine Logs zeigen weiter, dass sie „zugestellt“ wurde. Weg ist nur die Kopie auf der Postfach-Seite.
Der ganze Weg in einer Tabelle
| Stufe | Komponente | Protokoll oder Mechanismus | Typischer Port oder Format |
|---|---|---|---|
| Erstellung | App oder Mail-Programm | RFC-5322-Nachricht, MIME | Text mit Kopfzeilen und Teilen |
| Einlieferung | Mail-Dienst des Absenders | SMTP-Submission oder Sende-API | 587 oder 465 |
| Routing-Abfrage | DNS-Resolver | MX-, dann A- oder AAAA-Abfragen | DNS, Port 53 |
| Weiterleitung | Server des Absenders zum MX des Empfängers | SMTP mit opportunistischem STARTTLS | 25 |
| Eingehender Empfang | Anbieter für Mailzustellung | Catch-all-Annahme für die Domains | Antworten 250, 4xx, 5xx |
| Weiterleitung an die Anwendung | Anbieter an VookMail | HTTPS-Anfrage | 443 |
| Verarbeitung | Temp-Mail-Anwendung | MIME-Auswertung, Bereinigung, Speicherung | Datenbank und Dateispeicher |
| Anzeige | Browser oder mobile App | Prüfung alle paar Sekunden, plus manuelles Aktualisieren | HTTPS |
| Ablauf | Geplante Bereinigung | Aufbewahrungsregel | Bei VookMail etwa ein Tag |
Wo SPF, DKIM und DMARC ins Spiel kommen
Diese drei werden in fast jeder Diskussion über E-Mail erwähnt, es hilft also, genau zu sein, wo sie auf diesem Weg sitzen. Alle drei betreffen den Nachweis, wer eine Nachricht gesendet hat. Keine entscheidet darüber, ob eine temporäre Adresse sie empfangen kann.
SPF (RFC 7208) ist ein DNS-TXT-Eintrag, der die Server auflistet, die eine Domain im Umschlag-Absender zum Senden benutzen dürfen, und Empfänger vergleichen die verbindende IP damit. DKIM (RFC 6376) ist eine kryptografische Signatur, die die sendende Domain zu ausgewählten Kopfzeilen und dem Inhalt hinzufügt und die mit einem öffentlichen Schlüssel im DNS geprüft wird. DMARC (RFC 7489) ist eine Richtlinie, die Empfängern sagt, was zu tun ist, wenn eine Nachricht bei SPF und DKIM nicht mit der sichtbaren From-Domain übereinstimmt, und wohin Berichte zu senden sind.
Bei unserer Nachricht geschehen diese Prüfungen etwa in Stufe 3. Der Server von Bright Parcel wurde gegen seinen SPF-Eintrag geprüft, und seine DKIM-Signatur lässt sich mit seinem veröffentlichten Schlüssel verifizieren. Der empfangende Anbieter kann diese Ergebnisse nutzen, um Fälschungen zu markieren. Weiterleitung macht es etwas komplizierter: Eine DKIM-Signatur bleibt bestehen, solange die Nachricht nicht verändert wird, während sich ein SPF-Ergebnis nur auf den letzten verbindenden Server bezieht. Wird Post weitergereicht, kann ARC (Authenticated Received Chain, RFC 8617) frühere Ergebnisse festhalten. Am Ende aber sind es der MX-Eintrag und die Annahme durch den Empfänger, die die Nachricht zustellen.
Wenn eine Nachricht nie ankommt
Jede der obigen Stufen ist eine Stelle, an der eine Nachricht hängen bleiben kann. Am Ende des Absenders anzufangen findet das Problem meist am schnellsten.
| Stufe | Was schiefging | Was du siehst oder tust |
|---|---|---|
| Vor dem Senden | Ein Tippfehler in der Adresse | Die Mail ging woandershin oder kam zurück. Nimm den Button Kopieren |
| Beim Absender losschicken | Die Nachricht steht in der Warteschlange, oder Stapel laufen langsam | Ein bis zwei Minuten sind bei manchen Diensten normal. Warte |
| Beim Absender losschicken | Die Seite überspringt Wegwerf-Domains stillschweigend | Es kommt nichts an. Respektiere das und nimm dort eine dauerhafte Adresse oder einen Alias |
| SMTP | Eine 4xx-Antwort und später ein erneuter Versuch | Die Nachricht kommt nach einer Verzögerung an, die Minuten oder mehr dauern kann |
| SMTP | Die Nachricht überschreitet das Größenlimit | Eine Ablehnung mit 552 und ein Rückläufer an den Absender |
| Inbound-Anbieter | Ein Ausfall oder DNS-Problem | Die Zustellung an alle Domains kann pausieren, bis es gelöst ist |
| Postfach | Das Zeitfenster ist verstrichen, oder die Adresse wurde gelöscht | Die Nachricht kommt zu spät, um gesehen zu werden |
Einen Fehler lesen, wenn dir die Sendeseite gehört
Testest du deine eigene Anwendung, kannst du viel mehr sehen als ein Nutzer, und unser Leitfaden zu temporärer E-Mail für Entwickler geht weiter auf den Testentwurf ein. Eine sinnvolle Reihenfolge der Prüfungen:
- Öffne die Mail-Logs deiner Anwendung oder das Dashboard deines Versandanbieters. Wurde die Nachricht angenommen, und welchen Endstatus zeigt sie?
- Such nach Rückläufern oder Webhook-Ereignissen, die einen 5xx von der Empfängerseite melden. Der Text nach dem Code nennt oft den Grund.
- Löse die MX-Einträge der Empfänger-Domain aus dem Netz deines Servers auf, mit den Befehlen oben. Ein Resolver-Problem dort zeigt sich vielleicht nirgends sonst.
- Prüfe, dass deine Sende-Domain SPF, DKIM und DMARC eingerichtet hat, denn manche Empfänger sehen nicht authentifizierte Post mit Misstrauen.
- Sende eine kleine Nur-Text-Nachricht, um Größe oder Inhaltsfilterung auszuschließen.
- Nimm pro Test einen eigenen Benutzernamen, damit du weißt, welcher Durchlauf welche Nachricht erzeugt hat.
Kommt eine Nachricht verspätet im Postfach an, lies ihre Received-Kopfzeilen von unten nach oben. Eine große Lücke zwischen zwei Zeitstempeln zeigt, welcher Abschnitt sie aufgehalten hat, wobei du Abweichungen zwischen den Uhren dieser Server einrechnen musst.
Warum viele Domains?
VookMail lässt dich aus mehr als 30 Domains wählen. Dafür gibt es praktische Gründe. Tester können Projekte oder Testsuiten nach Domain trennen. Hat eine Domain ein DNS- oder Zustellproblem, funktionieren die anderen vielleicht weiter. Und man verlässt sich weniger auf einen einzigen Namen, was hilft, wenn Sendesysteme neben Absendern auch Empfänger-Domains beurteilen.
Mehrere Domains sind kein Werkzeug, um Websites zu umgehen, die Wegwerf-Adressen bewusst ablehnen. Weist ein Dienst eine Temp-Mail-Domain ab, signalisiert er, dass er einen dauerhaften Kontakt will, und die richtige Wahl ist deine echte Adresse oder ein dauerhafter Alias für diesen Dienst. Die Ablehnung kann schon am Formular kommen, über eine Domain-Liste oder eine MX-Abfrage wie die in Stufe 2, oder später, wenn der Absender das Senden verweigert.
Was der Weg über Sicherheit verrät
Nachdem du der Nachricht gefolgt bist, siehst du genau, wie weit jeder Schutz reicht.
Verschlüsselung gilt abschnittsweise. STARTTLS schützt jede Etappe von Server zu Server, wenn beide Seiten es unterstützen, und es ist oft opportunistisch, eine Verbindung kann also auf Klartext zurückfallen, sofern nicht eine Richtlinie wie MTA-STS (RFC 8461) etwas anderes verlangt. HTTPS schützt die Etappen der Weiterleitung und der Anzeige. Nichts davon ist Ende-zu-Ende-Verschlüsselung: Jedes System, das die Nachricht verarbeitet, kann sie lesen.
Der Zugriff ist die andere Hälfte. Ohne Passwort verschafft die Kenntnis der Adresse Zutritt, lass dir also nie etwas Vertrauliches dorthin schicken. Kurze Aufbewahrung begrenzt den Schaden durch jede Offenlegung, bedeutet aber auch, dass das Postfach nicht als Nachweis dienen kann. Und da der Inhalt nicht vertrauenswürdig ist, können Phishing und Schadsoftware in diesem Postfach ankommen wie in jedem anderen. Ein temporäres Postfach schützt deine echte Adresse, und es tut wenig für dein Gerät, wenn du eine schlechte Datei öffnest. Angemessene Einsatzzwecke sind Privatsphäre, Spam-Kontrolle und Tests, wie unsere Allgemeinen Geschäftsbedingungen festlegen, und wichtige Konten gehören woandershin.
Wie das bei VookMail aussieht
Die ganze Technik oben steht bereit, bevor du ankommst. Öffnest du VookMail, ist eine Adresse fertig. Du kannst Neu drücken, um einen Benutzernamen zu tippen und eine Domain zu wählen, oder den gelben Zufall-Button benutzen, der in unserer Anleitung zur Nutzung von VookMail beschrieben ist. Es gibt nichts zu registrieren, weil die Domain schon jeden Namen annimmt. Liefert ein Absender Post aus, nimmt der Anbieter hinter den MX-Einträgen sie per SMTP entgegen und leitet sie per HTTPS weiter, und sie erscheint mit allen Anhängen in deinem Postfach, sobald die Seite das nächste Mal nachsieht. Etwa einen Tag später ist sie weg.
Den Dienst gibt es auch als App bei Google Play und in der Huawei AppGallery.
Noch ein paar technische Fragen
Welchen Port nutzt eingehende E-Mail?
Die Zustellung zwischen Mailservern nutzt SMTP auf TCP-Port 25. Die Ports 587 und 465 dienen dazu, ausgehende Post bei deinem eigenen Anbieter einzuliefern, sie tauchen also in Stufe 1 auf und nicht in Stufe 3. Deshalb kann ein Heimanschluss, der Port 25 blockiert, meist trotzdem über seinen Anbieter senden.
Kann ein Temp-Mail-Dienst meine Nachrichten sehen?
Technisch ja. Die Nachricht erreicht den Dienst in lesbarer Form, denn nur so kann er sie dir zeigen, und dasselbe gilt für den Zustellanbieter, der sie unterwegs verarbeitet. Das gilt auch für gewöhnliche gehostete E-Mail, sofern der Inhalt nicht Ende-zu-Ende-verschlüsselt ist. Es ist ein weiterer Grund, alles Sensible aus einem temporären Postfach herauszuhalten.
Warum kann der Absender denken, eine Nachricht sei zugestellt, wenn ich nichts sehe?
Weil „zugestellt“ im Dashboard eines Absenders die 250-Antwort des empfangenden Servers meint. Ereignisse danach, etwa der Weiterleitungsschritt oder eine späte Ankunft, nachdem das Postfach geleert wurde, sind für den Absender unsichtbar.
Könnte ein Absender erkennen, dass meine Adresse ein Catch-all ist?
Oft. Ein Prüfwerkzeug kann einen erfundenen Benutzernamen bei der Domain testen, und nimmt der Server ihn an, ist die Domain wahrscheinlich ein Catch-all. Das allein beweist nicht, dass die Domain eine Wegwerf-Domain ist, denn viele gewöhnliche Firmen-Domains sind genauso eingerichtet, deshalb kombinieren solche Werkzeuge es meist mit anderen Signalen.
Funktionieren Antworten auf die Nachricht?
Antworten von deiner Seite sind nicht der Sinn des Konzepts, da das Postfach hauptsächlich empfängt. Brauchst du einen Austausch in beide Richtungen, passt ein normales Postfach oder ein Alias-Dienst mit Antwortfunktion besser.
Mehr zum Produkt selbst findest du in unseren FAQ. VookMail gehört zum PAYATE-Netzwerk kostenloser Tools.