Email DNS Checker: SPF, DKIM und DMARC
Dieser kostenlose Email-DNS-Checker sucht die MX-Einträge, SPF-Einträge, DMARC-Richtlinie und DKIM-Schlüssel einer Domain auf und bewertet jeden: Ist SPF genau einmal vorhanden und innerhalb des Zehn-Lookup-Limits, setzt DMARC eine Richtlinie durch und sammelt Berichte, veröffentlicht ein DKIM-Selektor einen Schlüssel. Jeder Fehler kommt mit dem hinzuzufügenden Eintrag. Verwenden Sie ihn, wenn E-Mails im Spam landen oder abgelehnt werden.
Email DNS Checker
Domain and Server
Über dieses Tool
Seit 2024 verlangen Gmail, Yahoo und Microsoft von Absendern, E-Mails mit SPF und DKIM zu authentifizieren und eine DMARC-Richtlinie zu veröffentlichen, und E-Mails, die fehlschlagen, werden in den Spam verschoben oder abgelehnt. Die meisten kleinen Unternehmen entdecken dies, wenn Angebote und Rechnungen nicht mehr ankommen. Die Einträge befinden sich im DNS, wo ein Tippfehler, ein zweiter SPF-Eintrag oder ein vergessenes Include alles stillschweigend bricht.
Der Checker fragt das DNS der Domain direkt ab. Er listet die MX-Einträge auf und benennt den Mail-Provider, wenn möglich. Er findet den TXT-Eintrag, der mit v=spf1 beginnt, überprüft, dass es genau einen gibt, analysiert seine Mechanismen, zählt die, die eine DNS-Abfrage gegen das Limit von zehn kosten, und liest den all-Qualifier. Er ruft _dmarc.domain ab und liest die Richtlinie, Subdomain-Richtlinie, Prozentsatz, Report-Adressen und Alignment-Einstellungen. Für DKIM sucht er den von Ihnen angegebenen Selektor auf oder versucht eine Liste häufiger Selektoren und bestätigt, dass ein öffentlicher Schlüssel veröffentlicht ist.
DNS kann nur zeigen, was veröffentlicht ist, nicht ob Ihr Mail-Server tatsächlich mit dem Schlüssel signiert oder ob die Adressen in Ihrer SPF die sind, die wirklich senden. DKIM-Selektoren sind privat für jeden Absender, daher kann eine Domain perfekt eingerichtet sein mit einem Selektor, den das Tool nicht erraten hat: geben Sie ihn aus den Einstellungen Ihres Mail-Providers ein. Eine DMARC-Richtlinie von none erfüllt die Grundanforderung, schützt aber niemanden; der Checker sagt das.
Häufig gestellte Fragen
Was tun SPF, DKIM und DMARC jeweils?
SPF listet die Server auf, die berechtigt sind, E-Mails für Ihre Domain zu versenden. DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu, damit Empfänger überprüfen können, dass sie nicht verändert wurde und von Ihnen stammt. DMARC teilt Empfängern mit, was zu tun ist, wenn beide fehlschlagen (nichts, Quarantäne oder Ablehnung) und wohin Berichte gesendet werden. Sie benötigen alle drei.
Warum ist mehr als ein SPF-Eintrag ein Problem?
Der SPF-Standard besagt, dass eine Domain genau einen Eintrag haben muss, der mit v=spf1 beginnt; Empfänger behandeln zwei als permanenten Fehler und schlagen die Überprüfung fehl. Dies geschieht normalerweise, wenn ein zweiter Service seinen eigenen Eintrag hinzufügt, anstatt ihn in den ersten zu integrieren. Kombinieren Sie jeden Include in einen Eintrag, der mit ~all oder -all endet.
Was ist das SPF-10-Lookup-Limit?
Empfänger stoppen die SPF-Auswertung nach zehn DNS-Abfragen, die durch include, a, mx, ptr, exists und redirect verursacht werden, und geben einen permanenten Fehler zurück. Jedes Include kann mehr Lookups von sich selbst abrufen. Entfernen Sie Services, die Sie nicht mehr verwenden, ersetzen Sie Includes durch ip4-Einträge, wo möglich, oder verwenden Sie einen SPF-Flattening-Service.
Welche DMARC-Richtlinie sollte ich verwenden?
Beginnen Sie mit p=none und einer rua=-Adresse, um Berichte für einige Wochen zu sammeln, beheben Sie jeden legitimen Absender, der fehlschlägt, und wechseln Sie dann zu p=quarantine und schließlich zu p=reject. p=none erfüllt die Anforderung von Gmail und Yahoo, stoppt aber niemanden vor dem Spoofing Ihrer Domain; reject ist das Ziel.
Wie finde ich meinen DKIM-Selektor?
Er befindet sich in den DNS-Setup-Anweisungen Ihres Mail-Providers: Google Workspace verwendet google, Microsoft 365 verwendet selector1 und selector2, Zoho und andere lassen Sie wählen. Sie können auch die Header einer gesendeten Nachricht öffnen und den s=-Wert in der DKIM-Signature-Zeile lesen. Geben Sie ihn im Selektor-Feld ein, um diesen genauen Schlüssel zu überprüfen.