Zum Inhalt springen

E-Mail-Prüfer

SPF, DKIM, DMARC und MX einer Domain, gelesen und erklärt, samt dem SPF-Lookup-Budget, das kaum ein Werkzeug zählt.

Selektoren lassen sich nicht ermitteln. Leer lassen, um die gängigen zu probieren, oder die eigenen angeben, um sicherzugehen.

Über SPF, DKIM und DMARC

Drei Einträge entscheiden, ob Ihrer Mail geglaubt wird. SPF listet, wer für Ihre Domain senden darf, DKIM signiert jede Nachricht mit einem im DNS veröffentlichten Schlüssel, und DMARC sagt Empfängern, was zu tun ist, wenn keines von beiden passt. Fehlt oder bricht eines davon, kommt Ihre Mail nicht lautstark zurück: Sie landet still im Spam, und meist bei genau den Empfängern, auf die es Ihnen ankommt.

Was der empfangende Server prüftSPF und DKIM bürgen jeweils für eine Domain. DMARC prüft, ob diese Domain die der From-Adresse ist, die der Empfänger sieht.
  1. Die Nachricht verlässt Ihren Server
    Sendender Servermail.example.com 198.51.100.25
    DKIM-Signatur: Domain und Selektord=example.com; s=selector1
    Umschlag-Absender (MAIL FROM), für den Leser unsichtbarbounce@example.com
    From-Adresse, die der Leser siehtnews@example.com
  2. Der empfangende Server prüft
    1. SPF

      Steht die sendende Adresse im SPF-Eintrag der Domain des Umschlag-Absenders?

      TXT example.comv=spf1 ip4:198.51.100.25 -all
    2. DKIM

      Lässt sich die Signatur mit dem öffentlichen Schlüssel prüfen, den die signierende Domain (d=) unter ihrem Selektor veröffentlicht?

      TXT selector1._domainkey.example.comv=DKIM1; p=MIIBIjANBg…
    3. DMARC

      Hat SPF oder DKIM für eine Domain bestanden, die zur From-Adresse passt (Alignment)? Ein passendes Ergebnis genügt; sonst greift die Richtlinie der Domain.

      TXT _dmarc.example.comv=DMARC1; p=quarantine

      Passend heißt: dieselbe Domain wie im From oder, im standardmäßigen Relaxed-Modus, dieselbe übergeordnete Domain: mail.example.com passt zu example.com. Ein Erfolg für eine andere Domain, etwa die eines Dienstleisters, zählt nicht.

  3. Danach
    • DMARC bestandenDie Nachricht durchläuft die üblichen Spamfilter und landet im Posteingang.
    • Fehlgeschlagen, p=noneZugestellt, als gäbe es kein DMARC: Der Fehler erscheint nur in den Berichten, sofern Sie welche anfordern (rua).
    • Fehlgeschlagen, p=quarantineLandet im Spam-Ordner.
    • Fehlgeschlagen, p=rejectBei der Zustellung abgewiesen: Der Absender erhält eine Unzustellbarkeitsnachricht.
die E-Mail-Prüfung von github.com: MX, SPF mit seinem Budget von 10 DNS-Abfragen, DKIM-Schlüssel und DMARC-Richtlinie, und was Aufmerksamkeit braucht.

Die Zahl, die man zuerst ansieht, ist das SPF-Lookup-Budget. SPF erlaubt zehn Terme, die DNS abfragen, und sie werden über jeden Include hinweg gezählt: Ein Eintrag aus zwei Wörtern kann ein Dutzend verbrauchen, sobald die Includes Ihres Anbieters verfolgt werden. Über dem Limit ist die gesamte Auswertung ein permanenter Fehler, und Empfänger verhalten sich, als hätten Sie nichts veröffentlicht. Das ist der Fehler, der auftritt, ohne dass bei Ihnen jemand etwas geändert hat, an dem Tag, an dem ein Anbieter seinem Eintrag einen Include hinzufügt. Das Zweite ist die DMARC-Richtlinie: p=none beobachtet und schützt nichts, und dort bleiben die meisten Domains stehen. Bei DKIM gilt: Ein Selektor lässt sich nicht erraten. Ein Werkzeug, das keinen Schlüssel findet, beweist nur, dass es falsch geraten hat. Geben Sie Ihren an, dann bekommen Sie eine echte Antwort.

Häufige Fragen

Mein SPF-Eintrag ist kurz. Wie kann er über zehn Lookups kommen?
Weil das Limit über Includes hinweg zählt. Ihr Eintrag enthält vielleicht drei Includes, aber jeder davon ist ein weiterer Eintrag mit eigenen Includes. Große Anbieter kosten regelmäßig vier bis sechs Lookups pro Stück. Die Aufschlüsselung oben zeigt, was jeder wirklich kostet.
Reicht p=none?
Es ist ein legitimer erster Schritt: Es sammelt Berichte, ohne die Zustellung zu beeinflussen. Aber es schützt nichts. Jeder kann Mail im Namen Ihrer Domain senden, und Empfänger tun genau so viel dagegen wie zuvor. p=none ist als Übergang gedacht.
Das Werkzeug hat keinen DKIM-Schlüssel gefunden. Ist das ein Problem?
Wahrscheinlich nicht. DKIM-Selektoren sind frei gewählte Namen und nicht auflistbar, also probieren wir die gängigen und sagen ehrlich, wenn keiner trifft. Tragen Sie Ihren ein, den Ihr Mail-Anbieter anzeigt, und Sie bekommen eine echte Antwort.
Warum wird ein 1024-Bit-Schlüssel markiert?
RFC 8301 hat die Empfehlung 2018 auf 2048 Bit angehoben, und mehrere große Empfänger gewichten eine 1024-Bit-Signatur inzwischen niedriger. Es funktioniert weiterhin, deshalb ist es ein Hinweis und kein Fehler, aber ein Wechsel bei nächster Gelegenheit lohnt sich.

Passende Anleitungen

Verwandte Werkzeuge

Weiterführend

Netzwerk-Glossar: Reverse DNS, TTL

Visuelles Traceroute zu diesem Host starten