netlupaDMARC-Eintrag einer Domain prüfen
DMARC sagt der Welt, was mit E-Mails passieren soll, die deine Domain fälschen. Gib sie ein, um Richtlinie und Berichte zu prüfen.
So liest man einen DMARC-Eintrag
DMARC ist ein TXT-Eintrag unter _dmarc.deinedomain.de, der mit „v=DMARC1“ beginnt und durch Semikolons getrennte Angaben enthält. Zum Beispiel:
- v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=s
Die wichtigste Angabe ist p, die Richtlinie: none (nur beobachten), quarantine (in den Spam) oder reject (ablehnen). Eine E-Mail besteht DMARC, wenn sie SPF oder DKIM besteht und die dabei geprüfte Domain außerdem zur sichtbaren Absenderdomain passt.
Mit rua erhältst du täglich XML-Berichte der großen Anbieter mit allen IPs, die in deinem Namen gesendet haben: So entdeckst du legitime Dienste, die scheitern, und Fälschungsversuche.
Jeder Eintrag im Detail
Häufige Fragen
Kann ich direkt „p=reject“ setzen?
Nur wenn du sicher bist, dass jeder Versanddienst ausgerichtetes SPF oder DKIM besteht. Sonst verlierst du legitime E-Mails. Sicher ist es, mit „none“ zu beginnen, die Berichte zu prüfen und schrittweise zu verschärfen.
Brauchen Subdomains einen eigenen DMARC-Eintrag?
Nein: Sie erben die Richtlinie der Hauptdomain (oder die von „sp“, falls gesetzt). Einen eigenen Eintrag brauchst du nur für eine abweichende Richtlinie.
Was ist mein DKIM-Selektor?
Öffne eine E-Mail, die du gesendet hast, sieh dir den Quelltext oder die Originalheader an und suche DKIM-Signature: Der Wert von „s=“ ist der Selektor, der von „d=“ die Domain. Google Workspace nutzt meist „google“, Microsoft 365 „selector1“ und „selector2“.
Ist „~all“ oder „-all“ besser?
Mit DMARC ist der praktische Unterschied klein, weil die DMARC-Richtlinie entscheidet. „-all“ ist strenger; „~all“ ist nachsichtiger bei Weiterleitungen und vergessenen Diensten. Ohne DMARC schützt „-all“ mehr.
Ich habe das DNS geändert und das Tool sieht es nicht. Warum?
DNS-Einträge werden so lange zwischengespeichert, wie ihre TTL angibt (oft eine Stunde). Warte diese Zeit ab und prüfe erneut. Prüfe auch, ob der Eintrag am richtigen Namen hängt (zum Beispiel _dmarc.deinedomain.de für DMARC).
Brauche ich SPF und DMARC für eine Domain, die keine E-Mails sendet?
Ja, das ist sehr empfehlenswert: Veröffentliche „v=spf1 -all“ und „v=DMARC1; p=reject;“, damit niemand diese Domain für gefälschte E-Mails nutzen kann.
Speichert ihr die Domains, die ich prüfe?
Nein. Wir fragen das öffentliche DNS im Moment der Prüfung mit unserem eigenen Resolver ab und speichern weder die Domain noch das Ergebnis.