SPF, DKIM & DMARC Check für deine Domain – inklusive MX

Der Check fragt gleichzeitig vier Dinge über einen öffentlichen DNS-Resolver (1.1.1.1) ab: den SPF-Record (TXT mit v=spf1) an der Domain selbst, den DMARC-Record unter _dmarc.deinedomain.de, die MX-Records und DKIM unter 13 gängigen Selektoren (google, selector1, selector2, s1, s2, k1, k2, k3, mta, default, dkim, mail, smtp). Einen eigenen DKIM-Selektor kannst du zusätzlich eintragen. Die Ergebnisse siehst du zusammen auf einen Blick.

Alle drei sind DNS-Einträge, die Mail-Server nutzen, um zu prüfen, ob eine E-Mail wirklich von der angegebenen Domain stammt. SPF listet erlaubte Absender-Server, DKIM signiert Mails digital und DMARC legt fest, was mit Mails passiert, die diese Prüfungen nicht bestehen.

Gib deine Domain oben ein und starte die Prüfung. Der Check zeigt dir, ob ein SPF-Record mit v=spf1 existiert, welchen Qualifier er am Ende hat (-all, ~all, ?all oder +all) und den Record im Klartext. Er warnt bei mehreren SPF-Records, bei +all oder einem „all“ ohne Qualifier, weil damit jeder Server in deinem Namen senden darf, und bei ?all, weil das neutral ist.

DKIM-Records liegen unter einem frei wählbaren Selektor, den nur dein Mail-Anbieter kennt, und per DNS lässt sich nicht abfragen, welche Selektoren es gibt. Der Check probiert deshalb 13 gängige Selektoren durch. Kennst du deinen Selektor, trag ihn im Feld für den DKIM-Selektor ein. Ein Schlüssel mit leerem p= gilt als widerrufen und zählt nicht als Treffer. Kein Treffer bedeutet nicht zwangsläufig, dass DKIM fehlt.

Ein DMARC-Eintrag ist ein TXT-Record unter _dmarc.deinedomain.de, zum Beispiel v=DMARC1; p=quarantine; rua=mailto:dmarc@deinedomain.de. p=none heißt reine Überwachung: Mails, die die Prüfungen nicht bestehen, werden trotzdem zugestellt. Erst p=quarantine (Spam-Ordner) oder p=reject (abgelehnt) schützen vor gefälschten Absendern. Der Check warnt bei p=none, bei fehlender oder ungültiger Policy, bei fehlender rua-Adresse und bei mehreren DMARC-Records.

Nicht zwangsläufig. Domains, die keine E-Mails empfangen, zum Beispiel reine Versand- oder Weiterleitungs-Domains, brauchen keine MX-Records. Ein Null MX („.“, RFC 7505) zeigt der Check gesondert an: Die Domain lehnt den E-Mail-Empfang dann ausdrücklich ab.

DNS-Änderungen brauchen Zeit, bis sie überall sichtbar sind, und das Ergebnis einer Domain kann bis zu 6 Stunden zwischengespeichert sein. Ob ein neuer Eintrag schon weltweit sichtbar ist, zeigt dir der DNS Propagation Checker. Schlägt die Abfrage von SPF, DMARC oder MX fehl, meldet der Check einen Fehler statt „nicht gefunden“, damit du keinen funktionierenden Eintrag umsonst änderst. Zum DNS Propagation Checker

Der Check ist kostenlos und ohne Anmeldung nutzbar: Domain eingeben, prüfen, fertig. Damit das Tool nicht massenhaft abgefragt wird, ist die Zahl der Prüfungen pro IP-Adresse begrenzt, und nach jeder Prüfung wartest du ein paar Sekunden bis zur nächsten. Nach der Prüfung steht die Domain in der Adresse der Seite, so kannst du den Link zum Check zum Beispiel an deinen DNS-Anbieter schicken.