SPF, DKIM und DMARC einer Domain prüfen
Drei DNS-Einträge entscheiden, ob Ihre E-Mails im Posteingang oder im Spam landen. Dieses Werkzeug liest sie live: wer in Ihrem Namen schreiben darf (SPF), wie Ihre Nachrichten signiert sind (DKIM) und was Sie Empfängern für Fälschungen auftragen (DMARC).
Eine Domain, eine URL oder eine E-Mail-Adresse — die Domain wird daraus gezogen.
deSo funktioniert die Prüfung
- 1
Die MX-Einträge werden gelesen
Sie benennen die Server, die die Post der Domain annehmen. Fehlen sie, ist die Domain nicht auf Empfang eingerichtet — die häufigste Ursache harter Bounces.
- 2
SPF wird analysiert, nicht nur angezeigt
Wir zählen die Mechanismen mit DNS-Abfrage (die RFC erlaubt zehn, keinen mehr), lesen den Qualifizierer des »all« und melden Dubletten — zwei SPF-Einträge lassen die ganze Prüfung scheitern.
- 3
DMARC und DKIM vervollständigen das Bild
Die DMARC-Regel wird samt Prozentsatz und Berichtsadressen gelesen. Auf DKIM-Seite werden rund zwanzig gängige Selektoren sondiert.
Die drei Einträge leisten Verschiedenes
SPF erklärt, welche Server für Ihre Domain senden dürfen. DKIM signiert jede Nachricht kryptografisch und belegt so, dass sie unterwegs nicht verändert wurde. DMARC ist die Anweisung: Was soll der Empfänger tun, wenn weder SPF noch DKIM zur angezeigten Domain passt.
SPF und DKIM ohne DMARC lassen den Empfänger allein entscheiden. DMARC mit p=none beobachtet, ohne zu schützen. Wirklich schützend ist p=quarantine oder p=reject, sobald die Berichte sauber sind.
Was das Werkzeug nicht sehen kann
Ein fehlender DKIM-Selektor beweist nichts: eine Domain mit eigenem Selektor taucht in der sondierten Liste nicht auf. Das ist eine Grenze von DKIM, nicht des Werkzeugs.
Der Ruf Ihrer Versand-IP, Ihr Eintrag auf einer Blockliste und der Inhalt Ihrer Nachrichten wiegen bei der Zustellbarkeit schwer und stehen nicht im DNS.
Häufige Fragen
Braucht man alle drei oder reicht einer?
Alle drei. Seit 2024 verlangen Gmail und Yahoo von jedem Absender SPF oder DKIM und von Versendern ab 5.000 Nachrichten pro Tag an ihre Nutzer alle drei. Eine Domain ohne DMARC sieht ihre Post zunehmend gefiltert, auch die legitime.
Warum scheitert mein SPF, obwohl er richtig aussieht?
Häufigste Ursache ist das Limit von zehn DNS-Abfragen. Jedes »include:« verbraucht eine, und ein Include kann weitere enthalten: drei E-Mail-Dienstleister genügen, um das Limit zu sprengen. Darüber liefert die Prüfung einen dauerhaften Fehler — genau so, als gäbe es kein SPF.
Was bedeutet ~all, und sollte ich auf -all wechseln?
Die Tilde bittet darum, nicht konforme Nachrichten zu markieren statt abzuweisen; der Bindestrich bittet um Abweisung. Wechseln Sie, sobald Ihre DMARC-Berichte bestätigen, dass kein legitimer Versand scheitert — sonst kappen Sie Ihre eigenen Rechnungen oder Systembenachrichtigungen.
Laufen diese Abfragen über Ihre Server?
Nein. Sie gehen aus Ihrem Browser an die öffentlichen Resolver von Google und Cloudflare über DNS-over-HTTPS. Wir sehen die geprüften Domains nicht, und das Kontingent ist das Ihrer Verbindung — deshalb kann das Werkzeug kostenlos und ohne Konto bleiben.
Dieselbe Prüfung per API
Dieses Werkzeug läuft in Ihrem Browser. Für dieselbe Prüfung aus Ihrem Code, in großer Menge oder serverseitig, antwortet die API in JSON.
Zur Dokumentation