hollop.net

SPF-, DMARC- und DKIM-Check

Prüf, ob deine Domain für den Mailversand richtig eingerichtet ist, und erzeuge die passenden DNS-Einträge. Mit verständlichen Hinweisen statt Fachchinesisch.

Generatoren laufen lokal im BrowserPrüft auch verschachtelte SPF-IncludesKostenlos, ohne Anmeldung
DKIM-Selektoren angeben

Ohne Angabe werden gängige Selektoren ausprobiert. Den richtigen findest du im Header einer gesendeten Mail unter DKIM-Signature bei s=.

Domain zum Ausprobieren:

Gib eine Domain ein und klick auf „Prüfen“.

Für die Prüfung fragt hollop.net die öffentlichen DNS-Einträge der Domain ab. Es wird nichts gespeichert.

SPF, DKIM und DMARC verstehen

Seit Google, Yahoo und Microsoft strengere Regeln für Absender eingeführt haben, landen Mails ohne korrekte SPF-, DKIM- und DMARC-Einträge schnell im Spam oder werden abgelehnt. Die drei Verfahren arbeiten zusammen und werden alle als TXT-Einträge im DNS der Absenderdomain veröffentlicht.

SPF: Wer darf für die Domain senden?

Der SPF-Eintrag (Sender Policy Framework) auf der Domain selbst listet die Server auf, die Mails für sie verschicken dürfen. Der Empfänger vergleicht die IP-Adresse des einliefernden Servers mit dieser Liste.

beispiel.de.  TXT  "v=spf1 mx include:spf.protection.outlook.com ~all"

DKIM: Ist die Mail unverändert?

Bei DKIM (DomainKeys Identified Mail) signiert der Mailserver jede ausgehende Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichst du unter selektor._domainkey.beispiel.de. Über den Selektor kann eine Domain mehrere Schlüssel parallel betreiben, etwa einen pro Dienst. Empfohlen sind RSA-Schlüssel mit 2048 Bit.

DMARC: Was passiert bei einem Fehlschlag?

DMARC verknüpft SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was mit Mails passiert, die keine der beiden Prüfungen passend zur Absenderdomain bestehen. Der Eintrag liegt unter _dmarc.beispiel.de.

_dmarc.beispiel.de.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.de"

Empfohlene Reihenfolge

  1. SPF mit allen legitimen Versandwegen und ~all einrichten.
  2. DKIM für jeden Dienst aktivieren, der in deinem Namen sendet.
  3. DMARC mit p=none und rua starten und die Berichte einige Wochen auswerten.
  4. Wenn alle legitimen Mails bestehen, auf p=quarantine und später p=reject umstellen.

Domains ohne Mailversand schützen

Auch Domains, die nie Mails verschicken, sollten gegen Missbrauch abgesichert sein: v=spf1 -all als SPF, v=DMARC1; p=reject als DMARC und optional ein Null-MX (MX 0 .).

FAQ

Warum landen meine Mails trotz SPF im Spam?

SPF allein reicht großen Anbietern nicht mehr. Gmail, Yahoo und Outlook erwarten zusätzlich eine gültige DKIM-Signatur und einen DMARC-Eintrag. Wichtig ist außerdem, dass SPF oder DKIM zur Domain in der sichtbaren Absenderadresse passen.

Was bedeutet „too many DNS lookups“ bei SPF?

Ein SPF-Eintrag darf beim Auswerten höchstens 10 DNS-Abfragen auslösen, verschachtelte Includes eingeschlossen. Wird die Grenze überschritten, schlägt SPF komplett fehl. Abhilfe: nicht mehr genutzte Includes entfernen oder feste IP-Bereiche mit ip4/ip6 eintragen.

Wie finde ich meinen DKIM-Selektor?

Öffne den Quelltext einer Mail, die du über den Dienst verschickt hast, und suche den Header DKIM-Signature. Der Wert hinter s= ist der Selektor, der hinter d= die signierende Domain. Microsoft 365 verwendet selector1 und selector2, Google Workspace standardmäßig google.

Sollte ich -all oder ~all verwenden?

Mit DMARC ist ~all in der Praxis ausreichend, weil DMARC die eigentliche Entscheidung trifft. -all ist strenger und sinnvoll, wenn du sicher alle Versandwege kennst. Für Domains ohne Mailversand nimmst du immer -all.

Werden meine Daten gespeichert?

Nein. SPF-, DMARC- und DKIM-Generator laufen komplett in deinem Browser, auch der private DKIM-Schlüssel entsteht nur dort. Für den Check fragt hollop.net öffentliche DNS-Einträge ab und speichert dabei nichts.