Webhosting - Best Practices für den E-Mail-Versand

Ziel

Damit Ihre E-Mails Ihre Empfänger erreichen, betreibt OVHcloud eine dedizierte Infrastruktur für den ausgehenden Versand mit automatischer Anti-Spam-Filterung und kontinuierlicher Überwachung der Server-Reputation. Um diese optimal zu nutzen, empfehlen wir, Ihre E-Mails über authentifizierten SMTP anstatt über die native PHP-Funktion mail() zu versenden. Dieser Ansatz stellt sicher, dass jede E-Mail mit einer überprüfbaren Identität versendet wird, was die Zustellbarkeit deutlich verbessert und das Risiko verringert, als Spam eingestuft zu werden.

Diese Anleitung erläutert die Best Practices und Empfehlungen von OVHcloud, um E-Mails zuverlässig und sicher von einem Shared-Hosting-Paket aus zu versenden, egal ob Sie eine WordPress-Website, ein anderes CMS oder eine PHP-Anwendung verwalten.

Voraussetzungen

• Sie verfügen über ein OVHcloud Webhosting-Paket.
• Sie verfügen über eine E-Mail-Adresse, die mit Ihrer Domain verknüpft ist (Lösung MX Plan, E-Mail Pro oder Exchange). Falls Sie noch keine haben, lesen Sie die Anleitung E-Mail-Accounts mit MX Plan erstellen.

Zugriff auf das OVHcloud Kundencenter

• Direkter Link: Hosting-Pakete
• Navigationspfad: Web Cloud > Hosting-Pakete > Wählen Sie Ihr Webhosting aus

In der praktischen Anwendung

1. mail() oder authentifizierter SMTP: Welchen Unterschied macht das für Sie?

Was OVHcloud unternimmt, um Ihren Versand zu schützen

OVHcloud überwacht kontinuierlich die Reputation seiner Versandserver und filtert automatisch verdächtige Nachrichten heraus, damit Ihre legitimen E-Mails nicht darunter leiden. Dieser Schutz hat jedoch eine Grenze: Die PHP-Funktion mail() führt keinerlei Prüfung der in der E-Mail angegebenen Absenderidentität (das Feld From:) durch. Eine über mail() versendete E-Mail kann daher scheinbar von jeder beliebigen Adresse stammen, was ausreicht, um die Filter der Empfängerserver (Gmail, Outlook usw.) auszulösen und die Zustellbarkeit Ihrer eigenen E-Mails zu beeinträchtigen.

E-Mails ohne zuverlässige Signatur

Die Funktion mail() versendet E-Mails, ohne die Identität des Absenders zu garantieren. Empfängerserver (Gmail, Outlook usw.) prüfen anhand der SPF- und DKIM-Einträge, ob die E-Mail tatsächlich von einem für Ihre Domain autorisierten Server stammt. Mit mail() schlägt diese Prüfung häufig fehl: Die Nachricht landet dann möglicherweise im Spam oder wird abgewiesen.

Der Versand über authentifizierten SMTP löst dieses Problem: Die E-Mail wird von dem für Ihre Domain autorisierten OVHcloud Server mit der korrekten Signatur versendet.

Offene Formulare: ein zusätzlicher Angriffsvektor für Missbrauch

Ein öffentlich zugängliches Kontaktformular ohne Schutzmechanismus ist ein bevorzugtes Ziel für Bots. Sie nutzen es aus, um innerhalb weniger Minuten den Versand von Tausenden E-Mails über Ihr Hosting auszulösen, wodurch die geteilte IP-Adresse gesperrt wird und alle Kunden auf dem Cluster beeinträchtigt werden.

Richten Sie die folgenden Schutzmaßnahmen für jedes Formular ein, das einen E-Mail-Versand auslöst:

• Captcha: Integrieren Sie ein Überprüfungssystem (Google reCAPTCHA v3, hCaptcha oder eine einfache Rechenaufgabe), um automatisierte Übermittlungen zu blockieren.
• Rate Limiting: Begrenzen Sie serverseitig die Anzahl der Sendevorgänge pro IP-Adresse, um Missbrauch durch Massenversand zu verhindern.
• Strenge Eingabevalidierung: Prüfen und bereinigen Sie jedes Formularfeld, bevor Sie es in einer E-Mail verwenden. Vertrauen Sie niemals den von Nutzern übermittelten Daten.

2. Die Best Practice: Verwenden Sie einen OVHcloud E-Mail-Account mit authentifiziertem SMTP

Prinzip

Versenden Sie Ihre E-Mails über eine authentifizierte SMTP-Verbindung zum OVHcloud Mailserver, indem Sie einen E-Mail-Account verwenden, der mit Ihrer Domain verknüpft ist (zum Beispiel contact@mydomain.ovh).

Dieser Ansatz bietet drei wesentliche Vorteile:

• Garantierte Authentifizierung: Der OVHcloud Server überprüft Ihre Identität, bevor er die E-Mail annimmt.
• Funktionierende SPF- und DKIM-Einträge: Die E-Mail wird von einem für Ihre Domain autorisierten Server versendet und korrekt signiert.
• Nachverfolgbarkeit: Jeder Versand ist mit einem identifizierten Account verknüpft, was ein schnelles Eingreifen im Missbrauchsfall ermöglicht.

Warum das Feld From: zu Ihrer Domain gehören muss

Das Feld From: Ihrer E-Mail muss zwingend eine Adresse enthalten, die zu Ihrer Domain gehört (zum Beispiel contact@mydomain.ovh), und diese Adresse muss mit dem für die Authentifizierung verwendeten SMTP-Account übereinstimmen.

Wenn das Feld From: nicht mit der im SPF-Eintrag autorisierten Domain übereinstimmt oder wenn die DKIM-Signatur nicht passt, können die Empfängerserver (Gmail, Outlook usw.) die E-Mail abweisen oder als Spam einstufen.

Kontaktformulare: festes Feld From: und Feld Reply-To: des Nutzers

Ein häufiger Fehler besteht darin, die vom Nutzer im Formular eingegebene E-Mail-Adresse direkt in das Feld From: einzutragen. Beispielsweise gibt ein Besucher nutzer@gmail.com ein und das Skript verwendet diese Adresse als Absender.

Dieses Verhalten ist aus zwei Gründen falsch:

• Der SPF-Eintrag Ihrer Domain autorisiert die Gmail-Server (oder die eines anderen Drittanbieters) nicht, in Ihrem Namen zu versenden → Fehlschlagen der SPF-Prüfung.
• Sie versenden "im Namen" einer Adresse, die Ihnen nicht gehört → hohes Risiko, als Spam eingestuft oder abgewiesen zu werden.

Das korrekte Muster für ein Kontaktformular:

Auf diese Weise sendet Ihr Mailprogramm, wenn Sie auf die empfangene E-Mail antworten, die Antwort über das Feld Reply-To: an die Adresse des Nutzers, ohne die SPF/DKIM-Authentifizierung zu beeinträchtigen.

So passen Sie das PHPMailer-Beispiel für ein Kontaktformular an:

// Vom Benutzer bereitgestellte Daten (vor Verwendung validieren und bereinigen)
$userEmail = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
$userName  = htmlspecialchars(strip_tags($_POST['name']));
$message   = htmlspecialchars(strip_tags($_POST['message']));

if (!$userEmail) {
    die('Invalid email address.');
}

// From: immer fest — die Adresse Ihrer Website, niemals die des Benutzers
$mail->setFrom('contact@mydomain.ovh', 'My Website');

// Reply-To: die Adresse des Benutzers, damit Sie ihm direkt antworten können
$mail->addReplyTo($userEmail, $userName);

// Empfänger: Sie selbst (Sie erhalten die Formularnachricht)
$mail->addAddress('contact@mydomain.ovh', 'My Website');

$mail->Subject = '[Contact] ' . $userName;
$mail->Body    = "Name: $userName\nEmail: $userEmail\n\nMessage:\n$message";

OVHcloud SMTP-Einstellungen

Verwenden Sie die folgenden Einstellungen für Ihren MX Plan E-Mail-Account (in Ihrem Webhosting enthalten):

Wo Sie Ihre SMTP-Zugangsdaten finden

Der SMTP-Benutzername ist Ihre vollständige E-Mail-Adresse (zum Beispiel contact@mydomain.ovh).

Das Passwort ist das bei der Erstellung der Adresse festgelegte oder das im OVHcloud Kundencenter geänderte Passwort. Falls Sie es vergessen haben oder zurücksetzen möchten, lesen Sie die Anleitung Passwort eines E-Mail-Accounts ändern.

PHP-Codebeispiel mit PHPMailer

PHPMailer ist die Referenz-PHP-Bibliothek für den E-Mail-Versand über SMTP. Installieren Sie sie über Composer:

composer require phpmailer/phpmailer

Hier ein vollständiges Beispiel für den authentifizierten SMTP-Versand:

<?php
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\SMTP;
use PHPMailer\PHPMailer\Exception;

require 'vendor/autoload.php';

$mail = new PHPMailer(true);

try {
    // Einstellungen des OVHcloud SMTP-Servers
    $mail->isSMTP();
    $mail->Host       = 'smtp.mail.ovh.net';
    $mail->SMTPAuth   = true;
    $mail->Username   = 'contact@mydomain.ovh'; // Ihre OVHcloud E-Mail-Adresse
    $mail->Password   = 'your_password';         // Passwort des E-Mail-Accounts
    $mail->SMTPSecure = PHPMailer::ENCRYPTION_SMTPS; // SSL/TLS
    $mail->Port       = 465;

    // Absender: muss zu Ihrer Domain gehören
    $mail->setFrom('contact@mydomain.ovh', 'My Website');
    $mail->addReplyTo('contact@mydomain.ovh', 'My Website');

    // Empfänger
    $mail->addAddress('mary.johnson@example.com', 'Recipient Name');

    // Inhalt
    $mail->isHTML(true);
    $mail->Subject = 'Your email subject';
    $mail->Body    = 'Email body in <b>HTML</b>';
    $mail->AltBody = 'Email body in plain text (fallback)';

    $mail->send();
    echo 'Email sent successfully.';
} catch (Exception $e) {
    echo "Error while sending: {$mail->ErrorInfo}";
}

3. WordPress und andere CMS: Verwenden Sie ein SMTP-Plugin

3.1 Das Problem mit WordPress in der Standardkonfiguration

Die Funktion wp_mail() in WordPress verwendet im Hintergrund die PHP-Funktion mail(). Sie erbt daher alle im vorherigen Abschnitt beschriebenen Probleme: keine Authentifizierung, unkontrolliertes Feld From:, Spam-Risiko.

Die Lösung besteht darin, ein SMTP-Plugin zu installieren, das wp_mail() durch eine authentifizierte SMTP-Verbindung zu Ihrem OVHcloud Mailserver ersetzt.

3.2 WP Mail SMTP konfigurieren

WP Mail SMTP ist das am häufigsten verwendete Plugin für diese Konfiguration.

Installation:

1. Gehen Sie in Ihrer WordPress-Administration zu Plugins > Neues Plugin hinzufügen.
2. Suchen Sie nach WP Mail SMTP und klicken Sie auf Jetzt installieren und anschließend auf Aktivieren.

Konfiguration:

1. Gehen Sie im Administrationsmenü zu WP Mail SMTP > Einstellungen.
2. Füllen Sie im Bereich From die folgenden Felder aus:

3. Wählen Sie im Bereich Mailer die Option Other SMTP.
4. Füllen Sie die SMTP-Einstellungen aus:

5. Klicken Sie auf Einstellungen speichern.
6. Verwenden Sie im Tab Tools die Funktion Email Test, um die Konfiguration zu überprüfen.

3.3 Alternative: FluentSMTP

FluentSMTP ist eine schlanke, kostenlose Alternative ohne Begrenzung des Versandvolumens.

Installation:

1. Gehen Sie in Ihrer WordPress-Administration zu Plugins > Neues Plugin hinzufügen.
2. Suchen Sie nach FluentSMTP und klicken Sie auf Jetzt installieren und anschließend auf Aktivieren.

Konfiguration:

1. Gehen Sie zu FluentSMTP > Einstellungen.
2. Klicken Sie auf Add Connection und wählen Sie Other SMTP.
3. Füllen Sie dieselben Einstellungen wie bei WP Mail SMTP aus:

4. Klicken Sie auf Save Connection und senden Sie anschließend eine Test-E-Mail.

3.4 Andere CMS (Drupal, Joomla, PrestaShop)

Das Prinzip ist für jedes CMS oder Framework dasselbe: Ersetzen Sie die native Versandfunktion durch ein Modul oder eine authentifizierte SMTP-Konfiguration.

In allen Fällen sind die zu verwendenden SMTP-Einstellungen dieselben: Server smtp.mail.ovh.net, Port 465 (SSL/TLS) oder 587 (STARTTLS), mit Authentifizierung über die vollständige E-Mail-Adresse und deren Passwort.

Weiterführende Informationen

Automatische E-Mails eines Webhostings verwalten

E-Mail-Sicherheit durch SPF-Eintrag verbessern

E-Mail-Sicherheit durch DKIM-Eintrag verbessern

E-Mail-Sicherheit durch DMARC-Eintrag verbessern

Für spezialisierte Leistungen (Referenzierung, Entwicklung usw.) wenden Sie sich an die OVHcloud Partner.

Wenn Sie Unterstützung bei der Nutzung und Konfiguration Ihrer OVHcloud Lösungen benötigen, sehen Sie sich unsere verschiedenen Support-Angebote an.

Treten Sie unserer User Community bei.