SPF und DMARC prüfen: Mail-Einträge Ihrer Domain testen

So verwenden Sie es

Geben Sie Ihre Domain unter Domain ein, etwa example.com.
Wenn Sie den Selektor kennen, tragen Sie ihn unter DKIM-Selektor (optional) ein, aus einer signierten Mail, etwa google oder selector1. Lassen Sie das Feld leer, wenn Sie ihn nicht kennen.
Drücken Sie auf Domain prüfen. Im Bereich SPF-Eintrag muss die Zahl der DNS-Abfragen bei 10 oder darunter bleiben.
Lesen Sie die DMARC-Richtlinie. none beobachtet nur; quarantine und reject wirken auf fehlerhafte Mails.

Was SPF prüft

SPF (RFC 7208) nennt in einem TXT-Eintrag die Server, die Mails für eine Domain senden dürfen. Ein Empfänger nimmt die Domain des Absenders, liest ihren SPF-Eintrag und prüft den sendenden Server von links nach rechts gegen jede Angabe. Die erste passende Angabe entscheidet über das Ergebnis, je nach Kennzeichen: + besteht (der Standard, wenn nichts geschrieben steht), - scheitert, ~ ist ein weiches Scheitern und ? ist neutral.

include, a, mx, ptr, exists und redirect kosten je eine DNS-Abfrage, und die Abfragen der eingebundenen Einträge zählen mit. Empfänger brechen nach 10 ab und werten das Ergebnis als Fehler; so kann eine große Mail-Einrichtung SPF brechen, ohne dass es jemand bemerkt.
ip4 und ip6 kosten keine Abfrage. Ein Anbieter, der seine Adressbereiche veröffentlicht, kann in diesen Angaben eingetragen werden.
Zwei SPF-Einträge unter demselben Namen sind ein Fehler (RFC 7208, Abschnitt 4.5), und ptr wird nicht empfohlen (Abschnitt 5.5).

Was DMARC tut

DMARC (RFC 7489) legt fest, was Empfänger mit Mails tun, die die Prüfungen für Ihre Domain nicht bestehen, und wohin sie Berichte senden. Es ist ein TXT-Eintrag unter _dmarc und Ihrer Domain, aus Tags zusammengesetzt, die durch Semikolons getrennt sind: p ist die Richtlinie, sp die Richtlinie für Subdomains, pct der Anteil fehlerhafter Mails, auf den die Richtlinie wirkt, rua die Adresse für Sammelberichte, und adkim und aspf die Ausrichtung, r für locker und s für streng.

Dieses Werkzeug liest den Eintrag unter _dmarc und der von Ihnen eingegebenen Domain. Empfänger, die dort keinen Eintrag finden, schauen auch auf die übergeordnete Organisationsdomain; diese ermittelt das Werkzeug nicht.

DKIM-Schlüssel

DKIM signiert jede Mail mit einem Schlüssel, der im DNS unter einem Selektor veröffentlicht ist, und zwar unter dem Selektor, dann ._domainkey und Ihrer Domain (RFC 6376, Abschnitt 3.6.1). Die Seite liest den Schlüsseltyp und die Größe eines RSA-Schlüssels aus dem öffentlichen Schlüssel. Ein leerer Schlüssel bedeutet, dass er widerrufen wurde. Ed25519-Schlüssel (RFC 8463) haben eine feste Größe von 256 Bit.

Was dieser Prüfer nicht tut

Er sendet keine Mail und testet keine echte Nachricht, daher kann er nicht sagen, ob Ihre Mail besteht.
Er löst keine Makros wie %{d} auf; ein Eintrag, der sie nutzt, kann deshalb eine andere Abfragezahl ergeben als beim Empfänger.
Er ermittelt für DMARC nicht die Organisationsdomain und prüft keine Abfragen, die nichts liefern.

Beispiel: die SPF- und DMARC-Einträge einer Domain

Der SPF-Eintrag v=spf1 +mx a:colo.example.com/28 -all lässt die Mailserver der Domain und die Adressen von colo.example.com innerhalb eines /28-Netzes Mails senden. Alle anderen Absender scheitern (-all). Der Eintrag kostet zwei DNS-Abfragen, mx und a.

Der DMARC-Eintrag v=DMARC1; p=reject; rua=mailto:[email protected] bittet Empfänger, fehlerhafte Mails abzuweisen, und Sammelberichte an [email protected] zu senden.

Prüfung	Ergebnis
DNS-Abfragen in SPF	2
Richtlinie (p)	reject
Berichte (rua)	[email protected]

Häufig gestellte Fragen

Reicht ein SPF-Eintrag, um gefälschte Mails zu stoppen?

Nein. SPF prüft den Server, der eine Mail gesendet hat, nicht den Namen, den der Leser in der Zeile Von sieht. Kombinieren Sie ihn mit DKIM und einer DMARC-Richtlinie über p=none.

Warum scheitert mein SPF-Eintrag wegen zu vieler Abfragen?

Jedes include, a, mx, ptr, exists und redirect kostet eine DNS-Abfrage, und die Einträge, zu denen sie führen, zählen mit. Überschreitet die Summe 10, werten Empfänger SPF als Fehler. Entfernen Sie nicht mehr benötigte include-Angaben oder nutzen Sie die ip4- und ip6-Bereiche Ihres Anbieters, die keine Abfrage kosten.

Welche DMARC-Richtlinie soll ich verwenden?

Beginnen Sie mit p=none und einer rua-Adresse, lesen Sie die Berichte einige Wochen lang und prüfen Sie, ob Ihre echten Mails bestehen. Dann wechseln Sie zu quarantine und, wenn die Berichte sauber sind, zu reject.

Was ist ein DKIM-Selektor?

Es ist der Name vor ._domainkey in einem DKIM-Eintrag. Jeder sendende Dienst nutzt seinen eigenen Selektor, und eine signierte Mail nennt ihn im Tag s= ihrer DKIM-Signature-Kopfzeile. Öffnen Sie die Kopfzeilen einer Mail, die Sie gesendet haben, um ihn zu finden.

Was bedeutet die Schlüsselgröße?

Bei einem RSA-Schlüssel ist es die Länge des Moduls in Bit, so wie Schlüsselgrößen üblicherweise angegeben werden: 1024 oder 2048. Ist ein Eintrag beim Kopieren abgeschnitten oder beschädigt, lässt sich der Schlüssel nicht lesen, und die Seite sagt das.

Sendet dieser Prüfer meine Domain an jemanden?

Nur die Namen, die er prüft, gehen als DNS-Anfragen an den von Ihnen gewählten Resolver. Nichts wird gespeichert; der Rest der Seite bleibt in Ihrem Browser.

Quellen

Zahlen und Text zuletzt geprüft: Dienstag, 10. November 2026.