Kann jemand in eurem Namen mailen? Findet es in zehn Sekunden heraus.
SPF, DKIM und DMARC entscheiden darüber, ob eure E-Mails im Posteingang landen und ob sich jemand als ihr ausgeben kann. Die drei Einträge sind in fast jedem Shop, den wir übernehmen, unvollständig. Domain eingeben, wir schauen nach.
Der Check liest ausschließlich öffentliche DNS-Einträge. Es wird keine Mail gesendet, kein Postfach angefasst und nichts verändert.
Zustellbarkeit ist kein Marketingthema, sondern Konfiguration.
Google und Yahoo verlangen seit 2024 für regelmässigen Versand an ihre Postfächer SPF, DKIM und eine gültige DMARC-Richtlinie. Wer das nicht hat, landet im Spam, ohne eine Fehlermeldung zu bekommen. Das Tückische daran: Es fällt in keiner Statistik auf, es kommen einfach weniger Bestellungen an.
Legt fest, welche Server in eurem Namen senden dürfen. Wir lösen den Record inklusive aller includes auf und zählen die DNS-Lookups, weil SPF ab dem elften Lookup komplett ausfällt.
Die Signatur, mit der sich eure Mail unterwegs nicht unbemerkt verändern lässt. Wir probieren die Selektoren der gängigen Versanddienste durch, von Google über Shopify bis Klaviyo.
Die Regel, was mit gefälschter Mail in eurem Namen passieren soll. Wir lesen Policy, Prozentsatz, Ausrichtung und ob überhaupt Berichte eingesammelt werden.
Die Mailserver eurer Domain. Ohne MX kommt bei euch nichts an, und ein Tippfehler an dieser Stelle fällt oft erst auf, wenn Kundschaft sich beschwert.
Wir lösen eure MX-Server zu ihren IP-Adressen auf und prüfen sie gegen sieben Blacklisten. Steht eine Sende-IP drauf, landet eure Mail im Spam, ohne dass es eine Fehlermeldung dazu gibt.
Signiert eure DNS-Antworten, damit sie sich auf dem Weg nicht manipulieren lassen. Bei den meisten Providern ein einziger Schalter.
Erzwingen verschlüsselte Zustellung an eure Mailserver und melden euch, wenn sie scheitert. Die beiden unbekanntesten Einträge mit der besten Wirkung.
In dieser Reihenfolge aufräumen.
Die Schritte bauen aufeinander auf. Wer mit DMARC anfängt, bevor SPF und DKIM sitzen, blockiert die eigene Mail. Nach jeder Änderung den Check hier oben noch einmal laufen lassen.
- 01Alle Systeme sammeln, die in eurem Namen senden: Shop, Newsletter, CRM, Rechnungstool, Support.
- 02SPF auf einen einzigen Record bringen, der unter zehn Lookups bleibt und auf -all endet.
- 03DKIM bei jedem dieser Systeme aktivieren und den Schlüssel im DNS hinterlegen.
- 04DMARC mit p=none und einer rua-Adresse starten und die Berichte ein paar Wochen lesen.
- 05Auf p=quarantine gehen, danach auf p=reject, sobald in den Berichten nichts Legitimes mehr fehlschlägt.
- 06DNSSEC, MTA-STS und TLS-RPT nachziehen, das ist die Kür und schnell erledigt.
Häufige Fragen
Was prüft der Domain Check genau?
SPF inklusive rekursiver Auflösung aller includes und Zählung der DNS-Lookups, DKIM über die gängigen Selektoren, DMARC mit Policy, pct und Ausrichtung, die MX-Einträge, DNSSEC, MTA-STS samt Policy-Datei, TLS-RPT und BIMI. Daraus entsteht eine Bewertung von 0 bis 100 und eine Liste konkreter Befunde.
Warum ist das SPF-Lookup-Limit so wichtig?
SPF erlaubt pro Prüfung maximal zehn DNS-Lookups. Jeder include eines Dienstes zählt mit, und die Dienste bringen ihrerseits weitere includes mit. Wird die Grenze überschritten, brechen empfangende Server die Prüfung mit permerror ab. SPF schlägt dann nicht teilweise fehl, sondern grundsätzlich, und zwar unbemerkt. Genau deshalb löst dieses Tool den Record vollständig auf, statt nur zu schauen, ob er existiert.
Warum wird kein DKIM gefunden, obwohl DKIM aktiv ist?
DKIM-Selektoren stehen nirgends im DNS aufgelistet, sie müssen erraten werden. Wir probieren die Selektoren der verbreiteten Versanddienste durch. Nutzt euer System einen eigenen Namen, findet ein Test von außen ihn nicht. Kein Fund heißt also: entweder DKIM fehlt, oder der Selektor ist ungewöhnlich.
Warum ist p=none nicht genug?
Mit p=none beobachtet DMARC nur, es schützt nicht. Gefälschte Mail in eurem Namen wird weiterhin zugestellt. p=none ist die richtige Startstufe, um über die Aggregatberichte zu sehen, welche Systeme tatsächlich senden. Das Ziel ist p=reject, der Weg dorthin führt über quarantine.
Prüft das Tool auch Blacklists?
Ja. Wir lösen die MX-Server zu ihren IP-Adressen auf und prüfen diese gegen sieben Blacklisten, darunter SpamCop, Barracuda, PSBL und GBUdb. Wichtig ist uns dabei die Ehrlichkeit: Spamhaus beantwortet Anfragen über öffentliche Resolver nicht mehr, sondern liefert einen Blockcode statt eines Ergebnisses. Diesen Fall erkennen wir und weisen die Liste als nicht prüfbar aus, statt eine Entwarnung zu geben, die keine ist.
Werden meine Eingaben gespeichert?
Wir speichern die geprüfte Domain und das Ergebnis, um das Tool zu verbessern und Missbrauch zu erkennen. Die IP-Adresse wird ausschließlich als Hash abgelegt und lässt sich nicht zurückrechnen. Es werden keine Mails gesendet und keine Postfächer angefasst.