SPF, DKIM und DMARC prüfen
Geben Sie einen Domainnamen ein. Wir lesen die drei Einträge zur E-Mail-Authentifizierung, verfolgen die SPF-Kette bis zum Ende und sagen Ihnen, was Ihre E-Mails am Ankommen hindert.
Die drei Einträge, und was jeder beweist
| Eintrag | Was er aussagt | Der häufigste Fehler |
|---|---|---|
| SPF | welche Server für die Domain senden dürfen | mehr als zehn DNS-Abfragen, weil Versanddienst um Versanddienst hinzukam |
| DKIM | eine Signatur, die beweist, dass die E-Mail nicht verändert wurde | ein Versanddienst hinzugefügt, ohne seinen Schlüssel zu veröffentlichen |
| DMARC | was mit einer E-Mail geschehen soll, die an beidem scheitert, und an wen berichtet wird | p=none vor Jahren gesetzt und nie verschärft |
Warum es Pflicht geworden ist
Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender SPF oder DKIM sowie DMARC; Microsoft folgte 2025. Ohne sie werden Ihre E-Mails abgelehnt oder als Spam einsortiert, auch Ihre Rechnungen und Bestellbestätigungen.
Die Grenze von zehn Abfragen
Jedes include:, a, mx oder redirect= in Ihrem SPF erfordert eine DNS-Abfrage, und jedes include ruft oft weitere auf. Über zehn ist SPF laut Standard fehlerhaft: für alle Ihre E-Mails, ohne dass sichtbar etwas kaputtgeht. Das ist der häufigste Fehler, und der unsichtbarste. Dieses Tool verfolgt die Kette bis zum Ende und zählt mit.
DMARC, der Reihe nach
Beginnen Sie mit p=none und einer rua-Adresse für die Berichte, korrigieren Sie die Versanddienste, die scheitern, wechseln Sie zu p=quarantine, dann zu p=reject. Bei p=none zu bleiben heißt beobachten, ohne je zu schützen.
Was dieses Werkzeug nicht tut
- Es sendet keine E-Mail: Es liest das DNS. Das echte Ergebnis eines Versands zeigt der Header Authentication-Results einer empfangenen E-Mail.
- Es kann nicht beweisen, dass DKIM fehlt: Es kann den Schlüssel nur unter den gängigen Selektoren suchen.
- Es prüft weder BIMI noch MTA-STS, die nach einer strengen DMARC-Konfiguration kommen.
Häufige Fragen
Meine E-Mails landen im Spam, obwohl SPF gültig ist. Warum?
Weil SPF allein nicht mehr reicht: Gmail und Yahoo verlangen auch DKIM und DMARC sowie die Übereinstimmung (Alignment) zwischen Absenderdomain und signierender Domain. Ein Versanddienst (Newsletter, Rechnungen), der mit seiner eigenen Domain signiert, scheitert oft am Alignment.
Was ist der Unterschied zwischen ~all und -all?
~all markiert E-Mails von anderswo als verdächtig, -all verlangt, sie abzulehnen. ~all ist die übliche Einstellung: DMARC entscheidet danach. -all ist strenger und bricht Weiterleitungen.
Sollte ich DMARC sofort auf reject setzen?
Nein. Bleiben Sie zuerst einige Wochen bei p=none mit Berichten (rua), korrigieren Sie die scheiternden Versanddienste, dann quarantine, dann reject. Zu früh auf reject zu gehen, lässt legitime E-Mails verschwinden.
Die anderen Werkzeuge
SSL-Zertifikat prüfen
Ablaufdatum des Zertifikats, Aussteller und die tatsächlich abgedeckten Namen.
Security-Header prüfen
HSTS, CSP, X-Frame-Options und die übrigen: eine Note von 100, mit Bewertungsschema und den rohen Headern.
Kann meine Seite indexiert werden?
Noindex, robots.txt, Canonical, HTTP-Status: was Google und Bing an der Indexierung einer Seite hindert, für jede Suchmaschine einzeln.
Ihre Website und Ihre Domain, überwacht
Expansel prüft Ihre Website und ihr Zertifikat in regelmäßigen Abständen und warnt Sie vor dem Ablauf Ihrer Domain: die drei Ausfälle, die auch die E-Mails lahmlegen.