E-Mail-Prüfer
SPF, DKIM, DMARC und MX einer Domain, gelesen und erklärt, samt dem SPF-Lookup-Budget, das kaum ein Werkzeug zählt.
Über SPF, DKIM und DMARC
Drei Einträge entscheiden, ob Ihrer Mail geglaubt wird. SPF listet, wer für Ihre Domain senden darf, DKIM signiert jede Nachricht mit einem im DNS veröffentlichten Schlüssel, und DMARC sagt Empfängern, was zu tun ist, wenn keines von beiden passt. Fehlt oder bricht eines davon, kommt Ihre Mail nicht lautstark zurück: Sie landet still im Spam, und meist bei genau den Empfängern, auf die es Ihnen ankommt.
Die Zahl, die man zuerst ansieht, ist das SPF-Lookup-Budget. SPF erlaubt zehn Terme, die DNS abfragen, und sie werden über jeden Include hinweg gezählt: Ein Eintrag aus zwei Wörtern kann ein Dutzend verbrauchen, sobald die Includes Ihres Anbieters verfolgt werden. Über dem Limit ist die gesamte Auswertung ein permanenter Fehler, und Empfänger verhalten sich, als hätten Sie nichts veröffentlicht. Das ist der Fehler, der auftritt, ohne dass bei Ihnen jemand etwas geändert hat, an dem Tag, an dem ein Anbieter seinem Eintrag einen Include hinzufügt. Das Zweite ist die DMARC-Richtlinie: p=none beobachtet und schützt nichts, und dort bleiben die meisten Domains stehen. Bei DKIM gilt: Ein Selektor lässt sich nicht erraten. Ein Werkzeug, das keinen Schlüssel findet, beweist nur, dass es falsch geraten hat. Geben Sie Ihren an, dann bekommen Sie eine echte Antwort.
Häufige Fragen
- Mein SPF-Eintrag ist kurz. Wie kann er über zehn Lookups kommen?
- Weil das Limit über Includes hinweg zählt. Ihr Eintrag enthält vielleicht drei Includes, aber jeder davon ist ein weiterer Eintrag mit eigenen Includes. Große Anbieter kosten regelmäßig vier bis sechs Lookups pro Stück. Die Aufschlüsselung oben zeigt, was jeder wirklich kostet.
- Reicht p=none?
- Es ist ein legitimer erster Schritt: Es sammelt Berichte, ohne die Zustellung zu beeinflussen. Aber es schützt nichts. Jeder kann Mail im Namen Ihrer Domain senden, und Empfänger tun genau so viel dagegen wie zuvor. p=none ist als Übergang gedacht.
- Das Werkzeug hat keinen DKIM-Schlüssel gefunden. Ist das ein Problem?
- Wahrscheinlich nicht. DKIM-Selektoren sind frei gewählte Namen und nicht auflistbar, also probieren wir die gängigen und sagen ehrlich, wenn keiner trifft. Tragen Sie Ihren ein, den Ihr Mail-Anbieter anzeigt, und Sie bekommen eine echte Antwort.
- Warum wird ein 1024-Bit-Schlüssel markiert?
- RFC 8301 hat die Empfehlung 2018 auf 2048 Bit angehoben, und mehrere große Empfänger gewichten eine 1024-Bit-Signatur inzwischen niedriger. Es funktioniert weiterhin, deshalb ist es ein Hinweis und kein Fehler, aber ein Wechsel bei nächster Gelegenheit lohnt sich.
Verwandte Werkzeuge
Weiterführend
Netzwerk-Glossar: Reverse DNS, TTL