So funktioniert es
- Geben Sie eine Domain ein oder fügen Sie eine E-Mail-Adresse ein (der Teil nach dem @ wird verwendet).
- Klicken Sie auf Nachschlagen, um die Ergebnisse für MX, SPF, DKIM und DMARC zu sehen. Wird kein DKIM-Schlüssel gefunden, geben Sie Ihren Selektor ein und schlagen Sie erneut nach.
- Beheben Sie die Einträge wie vorgeschlagen bei Ihrem DNS-Anbieter und prüfen Sie erneut, sobald sie wirksam sind.
Optionen erklärt
- SPF
- Ein TXT-Eintrag an der Domain-Wurzel, der mit v=spf1 beginnt und die Server auflistet, die im Namen der Domain senden dürfen. Es darf nur einen geben.
- DMARC
- Ein TXT-Eintrag bei _dmarc, der mit v=DMARC1 beginnt und Empfängern sagt, was zu tun ist, wenn SPF- und DKIM-Prüfungen fehlschlagen.
- Lookup-Anzahl
- Jedes include, a, mx, ptr, exists und redirect in SPF kostet eine DNS-Abfrage, und die Summe darf 10 nicht überschreiten. Includes und Redirects werden aufgelöst, verschachtelte Lookups also mitgezählt.
Die Einträge lesen
Ein SPF-Eintrag ist eine Liste von Bestandteilen. Jeder Bestandteil kann mit einem Qualifier beginnen, der angibt, was bei einem Treffer geschieht (RFC 7208):
| Qualifier | Bedeutung | Beispiel |
|---|---|---|
+ (Standard) |
Pass: bestanden | a oder +a |
- |
Fail: abweisen | -all |
~ |
Softfail: annehmen, aber markieren | ~all |
? |
Neutral: keine Aussage | ?all |
Der Checker meldet +all (oder ein einfaches all) als Erlaubnis für jeden Server zu senden, ?all als wirkungslos gegen Spoofing und einen Eintrag ohne all oder redirect= als unvollständig. Außerdem warnt er vor dem Mechanismus ptr und vor einem zweiten SPF-Eintrag.
Ein DMARC-Eintrag besteht aus tag=value-Paaren, die durch Semikolons getrennt sind (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Tag | Bedeutung |
|---|---|
v |
Version, immer DMARC1 und am Anfang des Eintrags |
p |
Richtlinie für die Domain: none, quarantine oder reject |
sp |
Richtlinie für Subdomains; fehlt sie, gilt p |
rua |
Wohin aggregierte Berichte gesendet werden |
ruf |
Wohin Fehlerberichte gesendet werden |
pct |
Anteil der fehlschlagenden Mails, auf den die Richtlinie angewendet wird; 100, wenn nicht angegeben |
adkim, aspf |
DKIM- und SPF-Alignment: r relaxed (Standard) oder s strict |
fo |
Optionen für Fehlerberichte; 0, wenn nicht angegeben |
Ein DMARC-Eintrag ohne rua wird markiert, weil Sie so keine Berichte erhielten. Auf der DKIM-Seite wird ein RSA-Schlüssel mit weniger als 2048 Bit als schwach markiert, und ein Schlüssel mit leerem p=-Wert wird als „Widerrufen“ angezeigt.
Häufig gestellte Fragen
Soll SPF mit ~all oder -all enden?
-all weist Empfänger an, nicht aufgeführte Server abzulehnen; ~all markiert sie als verdächtig. Verwenden Sie ~all, bis Sie sicher sind, dass die Liste vollständig ist. Mit DMARC ist der Unterschied gering.
Mit welcher DMARC-Richtlinie sollte ich beginnen?
Beginnen Sie mit p=none und einer rua-Adresse, beobachten Sie die Berichte ein bis zwei Wochen, um sicherzustellen, dass jeder legitime Absender die Prüfung besteht, und wechseln Sie dann zu quarantine und schließlich zu reject.
Warum wird kein DKIM-Schlüssel gefunden?
DKIM-Schlüssel liegen bei selector._domainkey.domain, und der Selektor wird von Ihrem E-Mail-Anbieter gewählt. Gängige Selektoren wie default, selector1, selector2 und google werden automatisch ausprobiert; andernfalls suchen Sie den s=-Wert im DKIM-Signature-Header einer Nachricht und geben ihn als DKIM-Selektor ein.
Datenschutz
Dateien werden zur Verarbeitung per HTTPS hochgeladen und innerhalb einer Stunde automatisch gelöscht.