SPF-, DKIM- und DMARC-Validator
Analysieren Sie die Anti-Spoofing-Konfiguration einer Domain: Gültigkeit des SPF (Limit von 10 Lookups), DMARC-Richtlinie und DKIM-Schlüssel gängiger Selektoren.
So funktioniert es
SPF, DKIM und DMARC schützen Ihre Domain vor E-Mail-Spoofing. SPF (TXT „v=spf1“) listet die Server auf, die für Ihre Domain senden dürfen; enthält es mehr als 10 Mechanismen mit DNS-Auflösung, lehnen Mailserver es ab (Permerror). DKIM signiert Nachrichten kryptografisch über einen im TXT „selektor._domainkey“ veröffentlichten Schlüssel. DMARC (TXT „_dmarc“) gibt an, was bei fehlgeschlagenem SPF oder DKIM zu tun ist (überwachen, in Spam verschieben, ablehnen).
Eine vollständige Konfiguration vereint alle drei: SPF auf „~all“ oder „-all“, DKIM bei jedem Absender aktiv und DMARC auf „p=quarantine“ oder „p=reject“, um Spoofing tatsächlich zu blockieren.
Beispiele
Domain ohne Schutz
Kein SPF und kein DMARC: muss konfiguriert werden.
| domain | example.com |
Häufige Fragen
Was besagt das Limit von 10 SPF-Lookups?
RFC 7208 begrenzt die SPF-Mechanismen, die eine DNS-Auflösung auslösen (include, a, mx, ptr, exists, redirect), auf 10. Darüber hinaus liefern Server „permerror“ und lehnen das SPF ab.
Kann ich mehrere SPF-Records haben?
Nein: Zwei TXT-Records, die mit „v=spf1“ beginnen, verursachen einen Permerror. Alle Mechanismen müssen in einem einzigen Record Platz finden.
Wozu dient DMARC, wenn ich bereits SPF und DKIM habe?
DMARC teilt den Servern mit, was mit nicht authentifizierten Nachrichten geschehen soll, und sendet Ihnen Berichte. Ohne DMARC bleibt ein SPF/DKIM-Fehler oft folgenlos.
Warum wird kein DKIM-Selektor erkannt?
Selektoren sind anbieterspezifisch (z. B. „s1“ bei einem Mail-Gateway, „google“ bei Google Workspace). Das Tool testet die gängigsten; ein benutzerdefinierter Selektor ist weiterhin möglich.
Was bedeutet p=none?
Überwachungsrichtlinie: DMARC sammelt Berichte, blockiert aber nichts. Dies ist der empfohlene Schritt, bevor Sie zu quarantine und dann zu reject wechseln.