Vollständige E-Mail-Authentifizierungsprüfung
Kann jemand E-Mails im Namen einer Domain versenden? Sehen Sie alle Einträge, die darüber entscheiden, auf einmal: SPF, DKIM, DMARC, MX, MTA-STS, TLS-RPT und BIMI, mit einer Gesamtbewertung, der Bedeutung jedes Befunds und dem, was zu ändern ist. Die Anforderungen dahinter beschreibt das BSI in der TR-03182 (E-Mail-Authentifizierung).
Sie arbeiten an einem einzelnen Eintrag? Die SPF-Prüfung, die DMARC-Prüfung und die DKIM-Prüfung gehen bei jedem ins Detail, mit den Fehlermeldungen und ihrer Behebung.
Die DNS-Abfragen gehen direkt von Ihrem Browser an öffentliche Resolver (Cloudflare, Google): Wir sehen nichts.
Fragen
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF nennt die Server, die E-Mails für eine Domain senden dürfen. DKIM signiert jede Nachricht mit einem im DNS veröffentlichten Schlüssel. DMARC verknüpft beides mit der Adresse, die man im Absender (From) sieht, und sagt Empfängern, was zu tun ist, wenn keines passt: zustellen, in den Spam verschieben oder abweisen.
Warum ist die Zahl der DNS-Abfragen wichtig?
Jedes include, a, mx, ptr, exists und redirect lässt den Empfänger etwas nachschlagen, und SPF hört bei 10 auf. Darüber hinaus ist das Ergebnis ein Fehler, und SPF scheitert für alle Ihre E-Mails, oft nachdem ein weiterer Dienst hinzugekommen ist.
Warum wird kein DKIM-Schlüssel gefunden?
DKIM-Schlüssel liegen unter einem Namen, den Ihr Anbieter wählt (dem Selektor), und lassen sich nicht auflisten. Wir probieren die gängigen; wenn Ihrer anders lautet, finden Sie ihn im Header DKIM-Signature einer gesendeten E-Mail (s=) und geben ihn oben ein.