SPF- & DMARC-Check

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

E-Mail-Authentifizierung für outlook.com

SPFGültig
DKIM2 Schlüssel gefunden
DMARCp=none

SPF (Sender Policy Framework)

1/10 DNS-Abfragen
v=spf1 include:spf2.outlook.com -all
  • Der SPF-Eintrag ist gültig und endet mit -all.

DKIM (DomainKeys Identified Mail)

Selektor selector1 (über CNAME selector1._domainkey.outbound.protection.outlook.com)

v=DKIM1;k=rsa;p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvWyktrIL8DO/+UGvMbv7cPd/Xogpbs7pgVw8y9ldO6AAMmg8+ijENl/c7Fb1MfKM7uG3LMwAr0dVVKyM+mbkoX2k5L7lsROQr0Z9gGSpu7xrnZOa58+/pIhd2Xk/DFPpa5+TKbWodbsSZPRN8z0RY5x59jdzSclXlEyN9mEZdmOiKTsOP6A7vQxfSya9jg5N81dfNNvP7HnWejMMsKyIMrXptxOhIBuEYH67JDe98QgX14oHvGM2Uz53if/SW8MF09rYh9sp4ZsaWLIg6T343JzlbtrsGRGCDJ9JPpxRWZimtz+Up/BlKzT6sCCrBihb/Bi3pZiEBB4Ui/vruL5…

Selektor selector2 (über CNAME selector2._domainkey.outbound.protection.outlook.com)

v=DKIM1;k=rsa;p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAv4FtIHuwq9952OTOwVZEofzUo9nZJZV7Hn3zOXBHaEOP71nMs+uCheSeYRH34PLvo9MngvAFxXG4X8dpL35onCZq2uivZrSBid1ZPDiDqTsK8y26vCV/RpVSWeJEO0SWejooFY7RJ1sbSIxj3Yj4n95oysVoNk3OIJcLryIgjPwzoxFyFQKfpfzAuBf0xvAs29JW9whxe1A7J9Z+wJVhVs37o2ua+sMb7ypEhVjoGHJnGpHh3qq8ukHMw6XAiSD1bG5jndbWNXEf93E1UAAmIYZvxGqwFU0cpCu9YwmwEXYQtAXORinEYAIQKpIlCtH0hW6XKnsbxnbmUmRs/a1…

DMARC

v=DMARC1; p=none; sp=quarantine; pct=100; rua=mailto:rua@dmarc.microsoft; ruf=mailto:ruf@dmarc.microsoft; fo=1
Richtlinie (p)
none
Subdomain-Richtlinie (sp)
quarantine
Aggregierte Berichte (rua)
mailto:rua@dmarc.microsoft
Prozentsatz (pct)
100%
Alignment
DKIM: R, SPF: R (R = relaxed, S = strict)
  • Die Richtlinie ist p=none (nur Überwachung). Wenn die Berichte sauber aussehen, wechseln Sie zu p=quarantine und danach zu p=reject.

MX-Einträge für outlook.com ansehen (E-Mails verarbeitet von Microsoft 365).

Warum SPF, DKIM und DMARC wichtig sind

E-Mail wurde ohne Absenderprüfung entwickelt, daher kann jeder Ihre Domain in die „Von“-Zeile (From) schreiben. Drei DNS-basierte Standards beheben das. Seit Februar 2024 verlangen Google und Yahoo sie von Massenversendern, und fehlende Einträge sind heute ein häufiger Grund dafür, dass legitime E-Mails im Spam landen.

  • SPF listet in einem TXT-Eintrag, der mit v=spf1 beginnt, die Server auf, die E-Mails für Ihre Domain versenden dürfen.
  • DKIM versieht jede Nachricht mit einer kryptografischen Signatur; Empfänger prüfen sie mit einem öffentlichen Schlüssel, der unter selector._domainkey.yourdomain veröffentlicht ist.
  • DMARC (unter _dmarc.yourdomain) teilt Empfängern mit, was zu tun ist, wenn SPF und DKIM nicht mit der From-Domain übereinstimmen (none, quarantine oder reject), und wohin Berichte gesendet werden sollen.

Was dieser Checker prüft

  • SPF: Ein Eintrag ist vorhanden, es gibt nur einen, er endet auf ~all oder -all (nie +all), und die Gesamtzahl der DNS-Abfragen einschließlich verschachtelter include:-Mechanismen bleibt innerhalb der Grenze von 10 aus RFC 7208.
  • DKIM: Schlüssel unter dem von Ihnen angegebenen Selektor oder unter einem Dutzend gängiger Selektoren, die von Google Workspace, Microsoft 365 und beliebten Versanddiensten verwendet werden.
  • DMARC: Ein Eintrag ist vorhanden, hat eine gültige Richtlinie, gilt für 100 % der E-Mails und versendet Sammelberichte (Aggregate Reports), damit Sie sehen, wer in Ihrem Namen versendet.

Beispieleinträge

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Empfohlene Einführung

  1. Veröffentlichen Sie einen SPF-Eintrag, der jeden Dienst abdeckt, der für Sie versendet, und mit ~all endet.
  2. Aktivieren Sie die DKIM-Signierung bei jedem Anbieter.
  3. Veröffentlichen Sie DMARC mit p=none und einer rua-Adresse und werten Sie zwei bis vier Wochen lang die Berichte aus.
  4. Wechseln Sie zu p=quarantine und dann zu p=reject, sobald alle legitimen E-Mails die Prüfung bestehen.

Ausführliche Anleitung: SPF, DKIM und DMARC erklärt.

Häufig gestellte Fragen

Sollte ich ~all oder -all verwenden?

Wenn DMARC eingerichtet ist, funktioniert beides; DMARC entscheidet über das Ergebnis. ~all ist der sicherere Ausgangspunkt; -all ist strenger, sobald Sie sicher sind, dass jeder Absender aufgeführt ist.

Was bedeutet „zu viele DNS-Abfragen“?

Jedes include, a, mx, exists und redirect kostet eine Abfrage, auch solche innerhalb eingebundener Einträge. Bei mehr als 10 schlägt SPF für alle fehl. Entfernen Sie ungenutzte Dienste oder ersetzen Sie Includes durch ip4/ip6-Bereiche.

Brauchen geparkte Domains diese Einträge?

Ja. Schützen Sie Domains, die nie E-Mails versenden, mit v=spf1 -all und v=DMARC1; p=reject.

Aktualisiert

In die Zwischenablage kopiert