Kostenloses Werkzeug
SPF, DKIM und DMARC prüfen: Kommen deine Mails an?
Gib eine Domain ein. Wir lesen ihre SPF-, DKIM- und DMARC-Einträge und die MX-Einträge aus dem DNS, prüfen sie so, wie empfangende Mailserver es tun, und sagen dir in klaren Worten, was fehlt oder falsch ist, mit Beispiel-Einträgen, die du in dein DNS übernehmen kannst. Keine Verbindung zu deinem Mailserver, nichts wird gespeichert.
Was die Ergebnisse bedeuten
- SPF
- Ein TXT-Eintrag, der die Server auflistet, die Mail für deine Domain senden dürfen. Empfänger prüfen den einliefernden Server dagegen. Grenzen: ein Eintrag, höchstens 10 DNS-Lookups und ein abschließendes ~all oder -all. SPF allein scheitert bei Weiterleitungen, darum gibt es DKIM.
- DKIM
- Dein Mailserver signiert jede Nachricht mit einem privaten Schlüssel; der öffentliche steht unter selektor._domainkey.deinedomain im DNS. Empfänger prüfen die Signatur, die auch Weiterleitungen übersteht. Nimm RSA-Schlüssel mit 2048 Bit und wechsle sie ab und zu.
- DMARC
- Ein TXT-Eintrag unter _dmarc.deinedomain, der Empfängern sagt, was sie tun sollen, wenn SPF und DKIM fehlschlagen (none, quarantine, reject), und wohin Berichte gehen. Alignment heißt: Die Domain im From-Header muss zur SPF- oder DKIM-Domain passen. Fang mit p=none an, lies die Berichte, dann zieh an.
- MX
- Die Server, die Mail für die Domain annehmen. Zum Senden nicht nötig, aber große Empfänger misstrauen Domains ohne MX-Einträge, und ohne sie kommen Antworten zurück.
- Warum das zählt
- Große Postfach-Anbieter verlangen SPF oder DKIM von allen und DMARC von Massenversendern; ohne landen Mails im Spam oder werden abgewiesen. Dieselben Einträge verhindern, dass andere Phishing-Mails in deinem Namen senden.
- So bleibt es so
- Einträge ändern sich, wenn du ein Newsletter-Werkzeug einbindest, den Hoster wechselst oder Schlüssel tauschst. Centoculus prüft SPF, DKIM, DMARC, MTA-STS und DNSSEC deiner Domain jede Stunde und alarmiert dich, wenn sich etwas ändert; die Mail-Zustellungsprüfung schickt außerdem eine Testnachricht und sagt dir, wo sie gelandet ist.
Soll das automatisch geprüft werden, mit Alarm, wenn etwas nicht stimmt?
Centoculus prüft deine Website im kostenlosen Tarif alle 5 Minuten und meldet sich per E-Mail und App, bevor deine Kunden etwas merken. 50 Website-Monitore und 5 SSL-Prüfungen täglich, kostenlos, auch für Firmen. Die Anmeldung öffnet bald: Sichere dir den frühen Zugang, dann bist du zuerst dabei.
Frühen Zugang sichernFragen zu SPF, DKIM und DMARC
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF sagt, welche Server für deine Domain senden dürfen. DKIM belegt mit einer Signatur, dass eine Nachricht unverändert ist und wirklich von deinem Server kommt. DMARC verknüpft beides mit der sichtbaren Absenderadresse und sagt Empfängern, was bei einem Fehlschlag passieren soll. Du brauchst alle drei.
Was ist ein DKIM-Selektor, und wo finde ich ihn?
Der Selektor benennt den Schlüssel im DNS: selektor._domainkey.deinedomain. Dein Mail-Anbieter nennt dir den Namen beim Einrichten von DKIM (Google nutzt „google“, Microsoft 365 „selector1“ und „selector2“). Du kannst ihn auch im Header DKIM-Signature jeder gesendeten Mail ablesen: das Feld s=.
Warum gibt es bei SPF die Grenze von 10 Lookups?
Jedes include, a, mx, ptr, exists und redirect lässt den Empfänger das DNS abfragen. Der Standard begrenzt das auf 10 je Prüfung, um Missbrauch zu verhindern. Darüber liefert der Empfänger einen dauerhaften Fehler, den die meisten als Fehlschlag werten. Anbieter, die viele Lookups brauchen, bieten ein flaches Include an.
Soll ich ~all oder -all nehmen?
-all sagt Empfängern, Mails von anderen Servern abzuweisen, ~all, sie als verdächtig zu behandeln. Mit DMARC auf quarantine oder reject ist der Unterschied klein, weil DMARC entscheidet. Fang mit ~all an, solange du nicht sicher bist, dass du jeden Absender aufgeführt hast, und wechsle dann zu -all.
Mit welcher DMARC-Policy fange ich an?
Mit p=none und einer rua-Adresse. Lies ein paar Wochen die Berichte, nimm jeden echten Absender in SPF und DKIM auf, dann wechsle zu p=quarantine und zuletzt zu p=reject. Wer am ersten Tag auf reject springt, blockiert meist ein Newsletter-Werkzeug oder ein CRM, an das niemand gedacht hat.
Wie lange dauert es, bis DNS-Änderungen wirken?
Meist Minuten, höchstens die TTL des alten Eintrags (oft bis zu 24 Stunden). Lass die Prüfung nach der Änderung noch einmal laufen; sie liest das DNS jedes Mal frisch.
Meine Einträge stimmen, aber Mails landen trotzdem im Spam.
Die Authentifizierung ist nur die Eintrittskarte. Inhalt, Listenqualität, Beschwerderate und der Ruf der sendenden IP zählen ebenfalls. Prüf, ob die sendende IP auf einer Sperrliste steht und ob der Reverse-DNS zum Namen des Mailservers passt.