So funktioniert’s
- 1.Gib eine Domain wie
example.comein oder füge eine E-Mail-Adresse ein; geprüft wird dann der Teil nach dem @. - 2.Ergänze einen DKIM-Selector, falls du ihn kennst (der
s=-Wert imDKIM-Signature-Header einer E-Mail). Sonst werden die Selectors großer Anbieter ausprobiert. - 3.Klicke auf „Prüfen“. Das Ergebnis oben fasst SPF, DKIM und DMARC zusammen; jeder Abschnitt darunter zeigt den Eintrag, was er bedeutet und was zu korrigieren ist.
- 4.Klappe die Includes unter SPF auf, um zu sehen, welcher Dienst wie viele der 10 DNS-Lookups verbraucht, und fahr mit der Maus über eine Domain oder einen IP-Bereich, um sie in einem anderen Tool abzufragen.
Was SPF, DKIM und DMARC tun
E-Mail wurde ohne jede Prüfung des Absenders entworfen, daher kann jeder deine Domain in die Absenderzeile (From) schreiben. Drei DNS-Einträge beheben das. SPF (ein TXT-Eintrag, der mit v=spf1 beginnt) listet die Server auf, die Mails für die Domain senden dürfen. DKIM signiert jede Nachricht mit einem Schlüssel, dessen öffentlicher Teil unter <selector>._domainkey.<domain> veröffentlicht ist. So können Empfänger prüfen, dass die Nachricht nicht verändert wurde und wirklich von der Domain stammt. DMARC (ein TXT-Eintrag unter _dmarc.<domain>) verknüpft beide mit der Adresse, die Menschen tatsächlich in der Absenderzeile sehen, und sagt Empfängern, was zu tun ist, wenn keines von beiden besteht: nichts (p=none), Spam-Ordner (p=quarantine) oder abweisen (p=reject).
Eine Nachricht besteht DMARC, wenn SPF oder DKIM für eine Domain besteht, die zur From-Domain passt. Weiterleitungen brechen oft SPF, deshalb ist DKIM so wichtig: Eine Signatur übersteht die Weiterleitung, die Adresse des sendenden Servers nicht. Gmail, Yahoo und Microsoft verlangen inzwischen SPF, DKIM und einen DMARC-Eintrag von allen, die Mails in großen Mengen versenden.
Das SPF-Limit von 10 DNS-Lookups
Um SPF auszuwerten, darf ein empfangender Server höchstens 10 DNS-Lookups machen (RFC 7208). Jedes include, a, mx, ptr, exists und redirect kostet einen, auch die in eingebundenen Einträgen. ip4, ip6 und all kosten nichts. Über 10 ist das Ergebnis ein permanenter Fehler (permerror): SPF schlägt für jede Nachricht fehl, oft ohne dass es jemand bemerkt.
Jeder E-Mail-Dienst, den du hinzufügst (ein CRM, ein Newsletter-Tool, ein Helpdesk), bringt meist ein Include mit mehreren eigenen Lookups mit, und Anbieter ändern ihre Einträge mit der Zeit. Entferne Includes für Dienste, die du nicht mehr nutzt, verwende das engere Include eines Anbieters, falls es eines gibt, und versende Marketing-Mails von einer Subdomain mit eigenem SPF-Eintrag. Auch Lookups, die nichts finden, zählen: Mehr als zwei davon sind ebenfalls ein Fehler.
DMARC sicher von none auf reject umstellen
Beginne mit p=none und einer rua-Adresse. Empfänger schicken dann täglich Aggregate Reports, die jeden Server auflisten, der Mails als deine Domain verschickt hat, und zeigen, ob SPF und DKIM bestanden wurden. Ein Report-Dienst oder ein kostenloser Parser macht aus dem XML eine lesbare Liste.
Korrigiere jede legitime Quelle, die durchfällt: Nimm sie in SPF auf, schalte in diesem Dienst die DKIM-Signierung ein oder verlege sie auf eine Subdomain. Wenn in den Reports nur noch deine eigenen Mails bestehen, wechsle zu p=quarantine, für einen sanften Start optional mit pct unter 100, und nach ein paar ruhigen Wochen zu p=reject. Lies die Reports auch danach weiter: Ein neues Tool, das als deine Domain sendet, taucht dort zuerst auf.
Häufige Fragen
Wie behebe ich „SPF permerror: too many DNS lookups“?
Zähle die Lookups: Dieser Check addiert jedes include, a, mx, ptr, exists und redirect über alle verschachtelten Einträge. Entferne Includes für Dienste, die du nicht mehr nutzt, ersetze Includes deiner eigenen Server durch ip4/ip6-Bereiche und verlege Massenversender auf eine Subdomain mit eigenem SPF-Eintrag. Meide „SPF-Flattening“-Dienste, es sei denn, sie halten die Adressen aktuell, denn Anbieter ändern ihre Bereiche.
Warum findet der Check meinen DKIM-Schlüssel nicht?
DKIM-Schlüssel lassen sich nur über den Selector abfragen, auflisten kann man sie nicht. Ohne Selector probiert nestoo die Namen großer Anbieter aus (Google, Microsoft 365, Mailchimp, SendGrid, Zoho und weitere). Öffne eine E-Mail von der Domain, sieh dir den DKIM-Signature-Header an und gib seinen s=-Wert, zum Beispiel s=20230601, als Selector ein.
Reicht p=none aus?
Nein. p=none fordert nur Reports an; Mails, die DMARC nicht bestehen, werden wie bisher zugestellt, Spoofing funktioniert also weiterhin. Als erster Schritt ist es richtig. Wechsle zu p=quarantine und dann zu p=reject, sobald die Reports zeigen, dass alle deine echten Mails bestehen.
Soll SPF mit ~all oder -all enden?
Beide schützen die Domain, wenn DMARC eingerichtet ist, denn DMARC entscheidet, was mit durchgefallenen Mails passiert. ~all (Softfail) ist die übliche Wahl und verzeiht eher, wenn du einen Absender vergisst. -all ist strenger und passt, sobald du sicher bist, dass der Eintrag vollständig ist. Verwende nie +all oder ?all.
Braucht eine Domain, die keine E-Mails sendet, diese Einträge?
Ja, sonst können Spammer sie missbrauchen. Veröffentliche v=spf1 -all, einen DMARC-Eintrag mit p=reject und optional einen Null-MX-Eintrag (0 .) sowie einen leeren DKIM-Schlüssel unter *._domainkey. Zusammen sagen sie jedem Empfänger, dass keine Mail von dieser Domain echt ist.