„554 5.7.5 Permanent error evaluating DMARC policy“ — der Record ist defekt

Der wichtige Unterschied

Bei einer normalen DMARC-Ablehnung steht in der Meldung, dass die Nachricht die Policy nicht bestanden hat. Hier steht permanent error evaluating — der Empfänger konnte gar nicht erst zu einem Urteil kommen. Der Fehler liegt also im Record, nicht in der Nachricht.

Die typischen Formfehler

1. v=DMARC1 steht nicht an erster Stelle. RFC 7489 §6.3 verlangt das Versions-Tag als allererstes Tag. Ein Record, der mit p=reject; v=DMARC1 beginnt, ist ungültig — auch wenn alle Bestandteile vorhanden sind.
2. Kein p=-Tag. Die Policy ist Pflicht. Ein Record aus nur v=DMARC1; rua=… ist unvollständig.
3. Mehrere DMARC-Records am selben Namen. Liefert _dmarc.deinedomain.de zwei TXT-Einträge mit v=DMARC1, ist das Ergebnis laut RFC undefiniert und wird als Fehler behandelt. Klassisch nach einem Anbieterwechsel.
4. Ungültiger pct-Wert oder ein Tag doppelt.
5. Der Record steht am falschen Namen. Er gehört auf _dmarc.deinedomain.de, nicht auf die Domain selbst. Viele DNS-Oberflächen hängen den Domainnamen automatisch an.
6. Smart Quotes. Aus einem Textdokument kopierte typografische Anführungszeichen sehen im DNS-Panel richtig aus und sind es nicht.

Selbst nachsehen

Kommen zwei Zeilen zurück, ist die Ursache gefunden. Kommt eine Zeile, die nicht mit v=DMARC1 beginnt, ebenfalls.