Geben Sie eine Domain ein, um ihre SPF-, DKIM- und DMARC-Einträge in einem Durchgang zu prüfen, mit verständlichen Lösungen für alles, was nicht stimmt.
Dies prüft die Einträge so, wie sie gerade im DNS veröffentlicht sind. Es testet nicht, ob eine bestimmte Nachricht bestanden hat. Öffnen Sie dazu die Nachrichten-Header und lesen Sie die Authentication-Results-Zeile. Aufgrund von DNS-Caching können neue Änderungen etwas dauern, bis sie erscheinen.
SPF legt fest, welche Server für eine Domain senden dürfen. DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu, damit der Empfänger prüfen kann, dass sie nicht verändert wurde und wirklich von einem Inhaber des Signaturschlüssels stammt. DMARC verbindet beides: Es teilt Empfängern mit, dass die Domain in der sichtbaren From-Adresse mit der Domain übereinstimmen muss, die SPF oder DKIM validiert hat, und was zu tun ist, wenn nicht.
Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und zur From-Domain passt. Beides einzurichten ist die robusteste Wahl, denn Weiterleitungen brechen SPF, und manche Dienste signieren neu oder verändern Nachrichten so, dass DKIM betroffen ist.
Alles stammt aus dem öffentlichen DNS, daher können Sie die Prüfung für jede Domain ausführen.
DKIM-Keys werden unter einem Namen veröffentlicht, den Sie wählen, dem Selektor. Das DNS kann sie nicht auflisten, daher findet die Prüfung einen Key nur, wenn sie den Selektor kennt. Die verlässliche Quelle ist eine echte Nachricht: Öffnen Sie die Header, suchen Sie die DKIM-Signature-Zeile und lesen Sie den s=-Wert (und d= für die signierende Domain). Ihr Versanddienst zeigt den Selektor auch bei der Einrichtung der Domain an.
Wenn unsere Prüfung keinen der gängigen Namen findet, heißt das nicht, dass DKIM fehlt. Es bedeutet, dass der Selektor anders lautet. Geben Sie ihn ein und starten Sie die Prüfung erneut.
Ein DMARC-Eintrag mit p=none und ohne rua-Adresse überwacht nichts. Wenn Sie nur eines beheben, fügen Sie eine Reporting-Adresse hinzu.
| Richtlinie | Wirkung auf fehlschlagende Mails | Typische Phase |
|---|---|---|
| p=none | Wird normal zugestellt. Berichte gehen an Ihre rua-Adresse. | Starten Sie hier und beobachten Sie die Berichte. |
| p=quarantine | Empfänger sollen sie als verdächtig behandeln, meist im Spam-Ordner. | Während Sie die Absender fertig korrigieren. Erhöhen Sie pct schrittweise. |
| p=reject | Empfänger sollen sie abweisen. | Der Endzustand, sobald jeder legitime Absender besteht. |
Die Prüfung liest die Schlüssellänge aus dem veröffentlichten öffentlichen Key. 2048-Bit-RSA-Keys sind heute die gängige Empfehlung; 1024-Bit-Keys funktionieren bei den meisten Empfängern noch, sind aber schwächer, und kürzere Keys gelten als unsicher. Ein 2048-Bit-Key macht den TXT-Eintrag länger als 255 Zeichen, sodass er als mehrere Strings gespeichert werden muss; die meisten DNS-Oberflächen erledigen das für Sie.
Google und Yahoo verlangen seit 2024 eine Authentifizierung von Massenversendern: Absender großer Volumina sollen SPF, DKIM und einen DMARC-Eintrag haben, die Spam-Beschwerderate niedrig halten und einfaches Abmelden unterstützen. Microsoft hat vergleichbare Anforderungen für Outlook.com angekündigt. Die genauen Schwellenwerte und deren Durchsetzung legt jeder Anbieter fest und sie haben sich im Lauf der Zeit geändert; prüfen Sie daher deren aktuelle Absenderrichtlinien, statt sich auf eine hier genannte Zahl zu verlassen.
Beheben Sie zuerst SPF (ein Eintrag, unter zehn Abfragen), veröffentlichen Sie dann den DKIM-Key, den Ihr Versanddienst liefert, und fügen Sie danach DMARC mit p=none hinzu. Unsere Anleitung zur Behebung von SPF-, DKIM- und DMARC-Fehlern geht jede Fehlermeldung durch. Denken Sie daran, dass DNS-Änderungen Zeit zur Verbreitung brauchen; testen Sie daher erneut, nachdem die TTL des alten Eintrags abgelaufen ist.
Findet den Eintrag, zählt die DNS-Abfragen gegen das Limit von 10 und markiert doppelte Einträge, fehlerhafte Syntax und riskante Einstellungen.
Fragt den öffentlichen Key für Ihren Selektor ab, liest seine Länge und markiert widerrufene, nicht lesbare oder zu kurze Keys sowie den Testmodus.
Liest Richtlinie, Reporting-Adressen und Prozentsatz und markiert ungültige Tags, mehrere Einträge und eine fehlende Richtlinie.
Zu jedem Problem gibt es eine verständliche Lösung, und die Anleitungen unten decken die vollständige Einrichtung ab.
Er liest die öffentlichen DNS-Einträge Ihrer Domain: den SPF-Eintrag, den DMARC-Eintrag unter _dmarc.yourdomain und den öffentlichen DKIM-Key unter selector._domainkey.yourdomain. Er sagt Ihnen, ob jeder existiert, gültig ist und gängige Probleme aufweist.
Ein Selektor ist der Name, den Ihr Versanddienst für Ihren DKIM-Key gewählt hat, sodass eine Domain mehrere Keys haben kann. Sie finden ihn im s=-Wert des DKIM-Signature-Headers jeder von Ihnen gesendeten Nachricht oder in den Domaineinstellungen Ihres Versanddienstes. Geben Sie ihn ein, um genau diesen Key zu prüfen.
Ohne Selektor können wir nur eine kurze Liste gängiger Namen probieren, und jeder Dienst wählt seinen eigenen. Ein „nicht gefunden“ bei diesen Namen beweist nicht, dass DKIM fehlt. Geben Sie Ihren Selektor für eine eindeutige Antwort ein.
p=none ist der Überwachungsmodus. Empfänger unternehmen nichts gegen Mails, die DMARC nicht bestehen, senden aber Berichte an die Adresse in rua. Es ist der empfohlene Startpunkt; sobald die Berichte zeigen, dass jeder legitime Absender besteht, können Sie auf quarantine und dann auf reject umstellen.
Nein. Diese Einträge zeigen, dass Ihre Domain für die Authentifizierung eingerichtet ist. Die Posteingangsplatzierung hängt außerdem von Absenderreputation, Listenqualität, Beschwerderaten und Inhalt ab. Um zu sehen, ob eine Nachricht bestanden hat, lesen Sie den Authentication-Results-Header dieser Nachricht.
Die Abfragen laufen auf unseren Servern, und Ergebnisse werden etwa fünf Minuten vorgehalten, damit wiederholte Prüfungen die DNS-Abfragen nicht wiederholen. Prüfungen sind keinem Konto zugeordnet, und das Tool unterliegt einem Rate Limit, um die abgefragten DNS-Server zu schützen.
Folgen Sie der Schritt-für-Schritt-Anleitung, um SPF, DKIM und DMARC für Ihre Versanddomain zu veröffentlichen.
Konto erstellen, Domain hinzufügen und die erste E-Mail senden.