Zum Inhalt springen
Toolbox

DMARC-Check

Der DMARC-Check zeigt Policy, Subdomain-Regeln und Berichtsempfänger deiner Domain und prüft, ob externe Empfänger die Berichte annehmen dürfen.

DMARC sagt empfangenden Mailservern, was sie mit Mails tun sollen, die weder SPF noch DKIM passend zur Absenderdomain bestehen: zustellen, in den Spam legen oder abweisen. Außerdem legt DMARC fest, wohin Berichte über solche Mails gehen. Der DMARC-Check in der Kategorie Mail liest den Record und erklärt jedes Tag. Er braucht eine Lizenz.

So prüfst du

Gib die Domain ein und klick Prüfen. Die App sucht einen TXT-Record unter _dmarc.<domain>. Findet sie dort keinen, schaut sie bei der Organisations-Domain nach, bei shop.beispiel.de also unter _dmarc.beispiel.de. Dann erscheint der Hinweis „Record von der Organisations-Domain …“, und für die Subdomain gilt sp, falls gesetzt, sonst p.

Die Tabelle DMARC-Record listet jedes Tag mit Wert und Bedeutung:

Tag Bedeutung
p Policy der Domain: none, quarantine oder reject
sp Policy für Subdomains
np Policy für nicht existierende Subdomains
pct Anteil der Mails, auf die die Policy wirkt (Standard 100)
rua Empfänger der Sammelberichte
ruf Empfänger der Fehlerberichte
adkim, aspf DKIM- bzw. SPF-Alignment, r locker oder s strikt
fo wann Fehlerberichte entstehen
ri Berichtsintervall in Sekunden

Die Policy

Policy Befund Bedeutung
p=none Warnung nur Beobachtung, gefälschte Mails werden nicht abgewiesen
p=quarantine In Ordnung Fälschungen landen im Spam
p=reject In Ordnung Fälschungen werden abgewiesen

Der übliche Weg: Mit p=none und rua starten, die Berichte einige Wochen auswerten, bis alle legitimen Absender (Newsletter-Dienst, Shop, CRM) per SPF oder DKIM durchkommen. Dann auf quarantine und schließlich auf reject erhöhen.

Weitere Befunde

Befund Was zu tun ist
Kein DMARC-Record Unter _dmarc.<domain> einen TXT-Record anlegen, zum Einstieg etwa v=DMARC1; p=none; rua=mailto:dmarc@<domain>.
2 DMARC-Records (oder mehr) Bei mehreren Records wenden Empfänger gar kein DMARC an. Auf einen reduzieren.
Fehler im Record Etwa fehlendes p, ungültiger Wert bei sp, pct, adkim, aspf oder fo, oder der Record beginnt nicht mit v=DMARC1.
„p“ sollte direkt nach „v“ stehen Reihenfolge korrigieren.
Unbekanntes Tag Wird von Empfängern ignoriert. Tippfehler prüfen.
Subdomains mit sp=none ungeschützt Angreifer können beliebige Subdomains fälschen. sp entfernen oder anheben.
Policy gilt nur für … % der Mails pct entfernen oder auf 100 setzen, sobald alle legitimen Quellen authentifizieren.
Keine Sammelberichte (rua) Ohne rua erfährst du nicht, wer im Namen der Domain sendet.

Externe Berichtsempfänger

Gehen die Berichte an eine Adresse unter einer anderen Domain, etwa an einen DMARC-Dienstleister, muss diese Domain das ausdrücklich erlauben. Dafür veröffentlicht sie einen TXT-Record v=DMARC1 unter

<deine-domain>._report._dmarc.<empfänger-domain>

Die App prüft das für jeden externen Empfänger in rua und ruf:

  • Externer Empfänger … ist autorisiert: alles in Ordnung.
  • Externer Empfänger … nicht autorisiert: Absender verwerfen die Berichte. Der Dienstleister muss den Record anlegen. Viele machen das automatisch, wenn du die Domain in ihrem Konto einträgst.
  • Autorisierung von … nicht prüfbar: Die Abfrage bekam keine Antwort. Später noch einmal prüfen.

Siehe auch