SPF-, DMARC- und DKIM-Checker

Was die drei Einträge tun

Wenn du eine E-Mail sendest, stellt das Postfach auf der anderen Seite dem DNS deiner Domain zwei Fragen. Darf dieser Dienst für diese Domain senden? Und was soll ich tun, wenn nicht? Drei Einträge antworten.

• SPF listet die Dienste, die für deine Domain E-Mails senden dürfen, zum Beispiel Google Workspace, Microsoft 365 oder dein Newsletter-Tool.
• DKIM setzt eine Signatur auf jede E-Mail. Das Postfach prüft sie mit einem Schlüssel in deinem DNS. Jeder Dienst, der für dich sendet, hat seinen eigenen Schlüssel, zu finden unter einem Namen, der Selektor heißt.
• DMARC sagt dem Postfach, was mit einer E-Mail passiert, die bei beiden durchfällt: durchlassen, in den Spam legen oder abweisen. Es bittet Postfächer auch, dir Berichte zu schicken.

Seit 2024 erwarten Gmail und Yahoo SPF, DKIM und DMARC von allen, die viele E-Mails senden. Ohne sie landen mehr deiner E-Mails im Spam, und jeder kann E-Mails senden, die aussehen, als kämen sie von dir.

So nutzt du den Checker

1. Gib deine Domain ein, zum Beispiel deinefirma.de, und drück auf Prüfen.
2. Lies die Karten für SPF und DMARC. Jede Zeile sagt in einfachen Worten, was wir gefunden haben und ob du etwas tun musst.
3. Für DKIM gib den Selektor ein, den dir dein E-Mail-Dienst gegeben hat, oder drück auf Häufige Selektoren testen.
4. Fehlt etwas, kopiere den Eintrag unter Einträge zum Hinzufügen oder Ändern und füge ihn dort hinzu, wo du das DNS deiner Domain verwaltest.

Wo du einen Eintrag hinzufügst

Einträge fügst du bei der Firma hinzu, die das DNS deiner Domain betreibt. Oft ist das dort, wo du die Domain gekauft hast, zum Beispiel GoDaddy, Namecheap, Squarespace oder Cloudflare, oder dein Webhoster. Der Checker nennt die Firma, wenn er sie kennt.

1. Melde dich dort an und such die Seite namens DNS, DNS-Einträge oder Zoneneditor.
2. Füge einen Eintrag vom Typ TXT hinzu.
3. Kopiere Name und Wert aus dem Checker. Die meisten DNS-Seiten hängen deine Domain selbst an den Namen, also nutze den kurzen Namen, zum Beispiel _dmarc. Für die Domain selbst ist der Name @.
4. Speichere, warte ein paar Minuten und prüfe noch einmal. Manche Änderungen brauchen bis zu einem Tag.

Füge nie einen zweiten SPF-Eintrag hinzu. Ändere stattdessen den, den du hast, und nimm jeden Dienst darin auf.

SPF in einfachen Worten

• ~all am Ende markiert E-Mails von anderen Absendern als verdächtig. Mit DMARC ist das die übliche Wahl.
• -all lässt E-Mails von anderen Absendern durchfallen. Streng, und in Ordnung, wenn jeder Dienst aufgeführt ist, der für dich sendet.
• ?all sagt nichts über andere Absender, und +all lässt jeden in deinem Namen senden. Ändere beides auf ~all.
• Das Limit von 10 Abfragen. Jedes include, a, mx, ptr, exists und redirect lässt das Postfach etwas nachschlagen, und die includes in einem include zählen mit. Über 10 schlägt SPF bei jeder E-Mail fehl. Der Checker zählt sie für dich. Um unter das Limit zu kommen, entferne Dienste, die du nicht mehr nutzt.

DMARC in einfachen Worten

• p=none sammelt nur Berichte. Ein guter erster Schritt, während du lernst, wer in deinem Namen sendet.
• p=quarantine schickt E-Mails, die durchfallen, in den Spam. Wechsle hierher, wenn die Berichte nur deine eigenen Dienste zeigen.
• p=reject weist E-Mails ab, die durchfallen. Die stärkste Einstellung.
• rua ist die Adresse, an die die Berichte gehen. Ohne sie bekommst du keine.
• pct unter 100 wendet die Richtlinie nur auf einen Teil der E-Mails an, die durchfallen. sp legt eine eigene Richtlinie für Subdomains fest.

FAQ

Brauche ich SPF, DKIM und DMARC?

Wenn du E-Mails von deiner eigenen Domain sendest, ja. Gmail und Yahoo erwarten alle drei von allen, die viele E-Mails senden, und jede Domain ist mit ihnen sicherer, weil sie andere daran hindern, E-Mails in deinem Namen zu senden.

Was ist ein DKIM-Selektor?

Der Name eines Schlüssels. Jeder Dienst, der deine E-Mails signiert, hat seinen eigenen, und der Schlüssel liegt im DNS unter selektor._domainkey.deinedomain.de. Google Workspace nutzt google, Microsoft 365 nutzt selector1 und selector2, und Mailchimp nutzt k2 und k3. Amazon SES und Postfjord erstellen lange, zufällige Selektoren pro Domain, die du in ihrer Einrichtung findest.

Warum scheitert mein SPF-Eintrag an zu vielen Abfragen?

Jeder Dienst, den du einbindest, kann andere einbinden, und alle zählen zu einem Limit von 10. Gehst du darüber, hört das Postfach auf zu prüfen, und SPF schlägt fehl. Entferne Dienste, die du nicht mehr nutzt, oder frag einen Dienst, ob er von seiner eigenen Subdomain senden kann.

Ist p=none sicher?

Für deine E-Mails ist es sicher, denn nichts wird blockiert. Deinen Namen schützt es aber nicht: E-Mails, die durchfallen, kommen trotzdem an. Nutze es ein paar Wochen, während du die Berichte liest, und wechsle dann zu quarantine.

Sendet der Checker meine Domain an Postfjord?

Nein. Dein Browser fragt das öffentliche DNS von Cloudflare nach den Einträgen, und der Checker liest die Antworten in deinem Browser. Nichts wird an Postfjord gesendet oder gespeichert.

Kann Postfjord E-Mails von meiner Domain senden?

Ja. Mit postmail können deine Kampagnen und Automationen in jedem bezahlten Tarif von einer Adresse auf deiner eigenen Domain kommen. Du fügst drei Einträge hinzu, und Postfjord prüft sie und sagt dir, wann die Domain bereit ist. So funktioniert es