SPF, DKIM & DMARC Check
Analysiere E-Mail-Authentifizierung, erkenne fehlende oder riskante DNS-Einträge und verbessere die Zustellbarkeit sowie den Schutz vor Spoofing.
Guide & Best Practices
SPF, DKIM & DMARC Check
Analysiere E-Mail-Authentifizierung, erkenne fehlende oder riskante DNS-Einträge und verbessere die Zustellbarkeit sowie den Schutz vor Spoofing.
Was sind SPF/DKIM/DMARC?
SPF legt fest, welche Server E-Mails für eine Domain senden dürfen. DKIM signiert Nachrichten kryptografisch. DMARC verbindet SPF und DKIM mit einer Policy, die Empfängern sagt, wie sie mit verdächtigen Nachrichten umgehen sollen.
SPF 10-Lookup-Limit
SPF erlaubt maximal zehn DNS-Lookups pro Prüfung. Zu viele include-, a-, mx- oder redirect-Mechanismen können SPF fehlschlagen lassen. Reduziere verschachtelte Includes und entferne nicht genutzte Versanddienste.
DKIM-Selektoren finden
DKIM-Keys liegen unter selector._domainkey.example.com. Viele Provider nutzen Selektoren wie default, google, selector1, selector2 oder k1. Der richtige Selektor hängt vom Mailanbieter ab.
DMARC-Policy richtig setzen
Starte DMARC häufig mit p=none und Reporting, prüfe legitime Versandquellen und erhöhe anschließend kontrolliert auf quarantine oder reject. Eine zu harte Policy ohne Vorbereitung kann legitime E-Mails blockieren.
Häufige Fragen
Was ist das SPF 10-Lookup-Limit?
RFC 7208 begrenzt SPF auf zehn DNS-Lookups pro Auswertung. Wird das Limit überschritten, kann SPF mit permerror fehlschlagen und legitime E-Mails werden schlechter bewertet.
Wie finde ich meinen DKIM-Selector?
Der DKIM-Selector steht meist im Mailprovider-Adminbereich oder im DKIM-Signature-Header gesendeter E-Mails. Häufige Selektoren sind default, google, selector1, selector2, k1 oder s1.
Was bedeutet p=reject?
p=reject ist die strengste DMARC-Policy. Empfänger sollen Nachrichten ablehnen, wenn sie DMARC nicht bestehen. Aktiviere sie erst, wenn SPF/DKIM für alle legitimen Versandquellen korrekt ausgerichtet sind.
Reihenfolge SPF→DKIM→DMARC?
Richte zuerst SPF und DKIM für alle legitimen Absender ein. Danach aktiviere DMARC mit Reporting, analysiere die Reports und verschärfe die Policy schrittweise.
Was bedeuten -all, ~all und ?all in SPF?
Der all-Qualifier legt fest, wie nicht gelistete Absender behandelt werden: -all ist Hard Fail (ablehnen), ~all Soft Fail (markieren), ?all neutral. Beispiel: v=spf1 mx ~all erlaubt die MX-Server und markiert den Rest.
Welche DMARC-Tags brauche ich?
Wichtig sind v und p (Policy) sowie pct, rua/ruf (Reports) und adkim/aspf (Alignment), z. B. v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@example.com; adkim=s; aspf=s.
Welche DKIM-Schlüssellänge sollte ich nutzen?
Verwende mindestens 2048-Bit-RSA oder alternativ ed25519; 1024 Bit gilt als veraltet und sollte ersetzt werden.