SPF-, DKIM- en DMARC-check voor je domein – inclusief MX

De check vraagt tegelijk vier onderdelen op via een openbare DNS-resolver (1.1.1.1): het SPF-record (TXT met v=spf1) op het domein zelf, het DMARC-record op _dmarc.deinedomain.de, de MX-records en DKIM onder 13 veelgebruikte selectors (google, selector1, selector2, s1, s2, k1, k2, k3, mta, default, dkim, mail, smtp). Je kunt ook een eigen DKIM-selector invoeren. Je ziet alle resultaten in één overzicht.

Alle drie zijn DNS-records die mailservers gebruiken om te controleren of een e-mail echt van het opgegeven domein afkomstig is. SPF vermeldt toegestane verzendservers, DKIM ondertekent e-mails digitaal en DMARC bepaalt wat er gebeurt met e-mails die deze controles niet doorstaan.

Voer bovenaan je domein in en start de controle. De check toont of er een SPF-record met v=spf1 bestaat, welke qualifier aan het einde staat (-all, ~all, ?all of +all) en het record als platte tekst. Je krijgt een waarschuwing bij meerdere SPF-records, bij +all of een ‘all’ zonder qualifier, omdat daarmee elke server namens jou mag verzenden, en bij ?all, omdat dit neutraal is.

DKIM-records staan onder een vrij te kiezen selector die alleen je mailprovider kent. Via DNS kun je niet opvragen welke selectors er zijn. Daarom probeert de check 13 veelgebruikte selectors. Ken je jouw selector? Vul die dan in het veld voor de DKIM-selector in. Een sleutel met een lege p= geldt als ingetrokken en telt niet als treffer. Geen treffer betekent niet per se dat DKIM ontbreekt.

Een DMARC-record is een TXT-record op _dmarc.deinedomain.de, bijvoorbeeld v=DMARC1; p=quarantine; rua=mailto:dmarc@deinedomain.de. p=none betekent alleen monitoren: mails die de controles niet doorstaan, worden toch afgeleverd. Pas p=quarantine (spammap) of p=reject (geweigerd) beschermt tegen vervalste afzenders. De check waarschuwt bij p=none, een ontbrekend of ongeldig beleid, een ontbrekend rua-adres en meerdere DMARC-records.

Niet per se. Domeinen die geen e-mails ontvangen, bijvoorbeeld domeinen die alleen e-mails versturen of doorsturen, hebben geen MX-records nodig. Een Null MX („.“, RFC 7505) wordt apart weergegeven: het domein weigert dan expliciet e-mail te ontvangen.

Het duurt even voordat DNS-wijzigingen overal zichtbaar zijn, en het resultaat voor een domein kan tot 6 uur in de cache blijven. Met de DNS Propagation Checker zie je of een nieuw record al wereldwijd zichtbaar is. Als het opvragen van SPF, DMARC of MX mislukt, toont de check een fout in plaats van ‘niet gevonden’, zodat je een werkend record niet onnodig wijzigt. Naar de DNS Propagation Checker

De check is gratis en zonder registratie te gebruiken: voer een domein in, controleer en klaar. Om massale aanvragen te voorkomen, is het aantal controles per IP-adres beperkt en moet je na elke controle een paar seconden wachten. Na de controle staat het domein in het pagina-adres, zodat je de link bijvoorbeeld naar je DNS-provider kunt sturen.