SPF-, DKIM- und DMARC-Checker
Prüfe die E-Mail-Authentifizierung einer Domain in einem Schritt. Sieh den SPF-Eintrag und seine DNS-Abfragen, finde die DKIM-Schlüssel und lies die DMARC-Richtlinie – jeweils mit klarem Urteil und dem, was zu tun ist. Kostenlos und ohne Anmeldung.
Domain prüfen
Gib die Domain aus der From:-Adresse deiner Mails ein. Die Einträge werden live aus dem öffentlichen DNS gelesen.
Domain eingeben und Prüfen drücken.
Noch nichts geprüft.
Die Abfragen gehen direkt aus deinem Browser per HTTPS an Google Public DNS. Nichts wird an unsere Server gesendet, protokolliert oder gespeichert.
Drei DNS-Einträge entscheiden, ob deinen Mails vertraut wird. SPF listet die Server, die für deine Domain senden dürfen, DKIM veröffentlicht den Schlüssel, der die Signatur jeder Nachricht prüft, und DMARC sagt Empfängern, was bei Fehlschlag zu tun ist und wohin Berichte gehen. Eine Lücke in einem davon ist der übliche Grund, warum Mails im Spam landen oder eine Domain gefälscht wird. Dieses Tool liest alle drei und erklärt jedes Ergebnis.
Die wichtigsten Vorteile
Typische Anwendungsfälle
So verwenden Sie es
- 1.Domain eingeben. Tippe die Domain aus deiner From:-Adresse ein, z. B.
beispiel.de. Eine E-Mail-Adresse oder URL geht auch; die Domain wird herausgelöst. - 2.DKIM-Selektor angeben, wenn bekannt. Leer lassen, um übliche Selektoren zu testen. Dein echter Selektor ist der Wert
s=im DKIM-Signature-Header einer gesendeten Mail. - 3.Domain prüfen drücken. SPF, DKIM und DMARC werden parallel abgefragt. Jeder bekommt ein Urteil und eine Liste klarer, umsetzbarer Befunde.
- 4.Korrigieren und erneut prüfen. Ändere den Eintrag bei deinem DNS-Anbieter und prüfe noch einmal. Änderungen können bis zur TTL des Eintrags brauchen.
Was jeder Eintrag tut
Sie arbeiten zusammen. SPF und DKIM beweisen, dass eine Nachricht echt ist; DMARC verknüpft sie mit der sichtbaren From:-Domain und legt die Richtlinie fest.
ip4:, include: und ähnlichen Angaben und endet mit ~all oder -all. Es darf genau einen geben.include, a, mx, exists und redirect kostet eine DNS-Abfrage, verschachtelte includes mitgezählt. Mehr als 10 ist ein permanenter Fehler.p= bedeutet, dass der Schlüssel widerrufen wurde._dmarc. plus Domain. Sein Tag p= ist die Richtlinie: none, quarantine oder reject.Die wichtigsten Funktionen
- Prüft SPF, DKIM und DMARC zusammen und gibt jedem ein Urteil
- Folgt SPF-includes und -redirects und zählt Abfragen gegen das Limit von 10
- Meldet +all, ?all, fehlendes all, ptr und doppelte SPF-Einträge
- Testet 17 übliche DKIM-Selektoren oder deine und schätzt die Schlüssellänge
- Liest DMARC-Richtlinie, Subdomain-Richtlinie, pct und Berichtsadressen
- Akzeptiert Domain, E-Mail-Adresse oder URL
- Abfragen laufen per HTTPS über Google Public DNS, direkt aus deinem Browser
Bestehen heißt nicht automatisch Posteingang
Diese Einträge beweisen, wer eine Nachricht gesendet hat. Empfänger bewerten außerdem Absenderreputation, Inhalt, Beschwerden und Volumen. Eine Domain mit perfektem SPF, DKIM und DMARC kann also trotzdem im Spam landen, und eine Korrektur wirkt oft erst nach ein paar Tagen.
Führe DMARC stufenweise ein: Beginne mit p=none und einer rua-Adresse, lies die Berichte, bis jeder echte Absender besteht, dann wechsle zu quarantine und schließlich zu reject. Unsere Anleitung zum Lesen eines DMARC-Berichts zeigt, worauf du achten musst, und das DNS-Lookup-Tool zeigt jeden anderen Eintragstyp.
Häufige Fragen
Was ist der Unterschied zwischen SPF, DKIM und DMARC?⌄
SPF listet die Server, die für eine Domain senden dürfen. DKIM versieht jede Nachricht mit einer kryptografischen Signatur, die mit einem im DNS veröffentlichten Schlüssel geprüft wird. DMARC verlangt, dass SPF oder DKIM für die sichtbare From:-Domain besteht, legt fest, was sonst passiert, und fordert Berichte an. Du brauchst alle drei.
Warum findet der Checker keinen DKIM-Schlüssel?⌄
DKIM-Schlüssel liegen unter selektor._domainkey.deinedomain, und den Selektor wählt der Dienst, der deine Mails signiert – per DNS lässt er sich nicht entdecken. Der Checker testet übliche Selektoren. Ist deiner anders, suche s= im DKIM-Signature-Header einer gesendeten Mail und trage ihn ein.
Was bedeutet „zu viele DNS-Abfragen“ bei SPF?⌄
SPF erlaubt bei der Auswertung höchstens 10 DNS-Abfragen und zählt jedes include, a, mx, exists und redirect, auch in eingebundenen Einträgen. Über 10 ist das Ergebnis ein permanenter Fehler und SPF scheitert für jede Nachricht. Entferne ungenutzte Dienste oder ersetze includes durch ihre ip4- und ip6-Bereiche.
Sollte ich ~all oder -all verwenden?⌄
Beides ist in Ordnung, sobald DMARC aktiv ist, denn DMARC entscheidet. ~all (Softfail) ist die sichere Wahl, solange du noch alle sendenden Dienste findest. -all (Fail) ist strenger. Verwende nie +all, das dem ganzen Internet erlaubt, zu senden.
Reicht p=none für DMARC?⌄
Es ist der richtige Anfang, nicht das Ziel. p=none beobachtet nur: fehlschlagende Mails werden trotzdem zugestellt, Spoofing wird nicht gestoppt. Wenn die Berichte zeigen, dass alle legitimen Absender bestehen, wechsle zu p=quarantine und dann zu p=reject. Google und Yahoo verlangen von Massenversendern mindestens einen DMARC-Eintrag.