DMARC-Validator

Ein DMARC-Eintrag ist ein DNS-TXT-Eintrag, der unter der Subdomain _dmarc.yourdomain.com veröffentlicht wird. Wenn ein empfangender Mailserver eine Nachricht erhält, die vorgibt, von deiner Domain zu stammen, fragt er diese Subdomain ab, um herauszufinden, welche Richtlinie du festgelegt hast. Der Eintrag enthält Tags, die die Richtlinienaktion, Alignment-Anforderungen und den Empfangsort für Authentifizierungsberichte definieren. Ohne ihn haben empfangende Server keine DMARC-Anweisungen, denen sie folgen können.

Nachdem du eine Domain eingegeben und auf Prüfen geklickt hast, führt das Tool eine DNS-TXT-Abfrage unter _dmarc.<domain> serverseitig durch. Es ruft den rohen Eintrags-String ab und analysiert dann jeden durch Semikolon getrennten Tag. Jeder Tag wird anhand der DMARC-Spezifikation geprüft: Pflicht-Tags werden auf Vorhandensein bestätigt, Werte auf gültige Optionen geprüft und URI-Formate verifiziert. Die Ausgabe listet jeden analysierten Tag, seinen Wert sowie alle gefundenen Fehler oder Warnungen auf.

Diese drei Werte legen fest, was ein empfangender Server tut, wenn eine Nachricht sowohl die SPF- als auch die DKIM-Prüfung nicht besteht. Mit p=none stellt der Server die Nachricht normal zu und sendet nur einen Bericht. Mit p=quarantine leitet der Server die fehlgeschlagene Nachricht in den Spam- oder Junk-Ordner. Mit p=reject lehnt der Server die Nachricht während der SMTP-Transaktion vollständig ab, sodass sie den Empfänger nie erreicht. Nur quarantine und reject bieten aktiven Schutz gegen Spoofing.

Der pct -Tag teilt empfangenden Servern mit, auf welchen Prozentsatz fehlgeschlagener Nachrichten die Richtlinie angewendet werden soll. Das Setzen von pct=10 bedeutet, dass nur 10 Prozent der Nachrichten, die die Authentifizierung nicht bestehen, in Quarantäne gestellt oder abgelehnt werden; die anderen 90 Prozent werden zugestellt, als ob die Richtlinie none wäre. Dies ist für einen schrittweisen Rollout nützlich, bedeutet aber auch, dass der Großteil gefälschter E-Mails weiterhin durchkommt. Das Tool warnt, wenn pct unter 100 liegt, da die Durchsetzung in diesem Fall unvollständig ist.

Ein DMARC-Checker fragt den _dmarc.<domain> DNS-Eintrag ab und überprüft die Richtlinie, Alignment-Einstellungen und Report-URIs. Er zeigt dir, wie deine Domain Empfänger anweist, mit Authentifizierungsfehlern umzugehen. Ein DKIM-Checker fragt einen selektor-spezifischen DNS-Eintrag ab (zum Beispiel selector._domainkey.domain.com ) und überprüft den öffentlichen Schlüssel, der zur Verifizierung von E-Mail-Signaturen verwendet wird. DMARC liegt als Richtlinien-Schicht über DKIM und SPF; DKIM ist eine der Authentifizierungsmethoden, die DMARC auswertet.

RUA ist die URI für aggregierte Berichte. Empfangende Server senden tägliche XML-Zusammenfassungen an diese Adresse, die Authentifizierungs-Erfolgs- und Fehlerzählungen aus allen Quellen zeigen. RUF ist die URI für forensische Berichte, die Kopien einzelner fehlgeschlagener Nachrichten oder geschwärzte Header erhält, abhängig von der Richtlinie des Empfängers. RUA ist die praktisch nützlichere der beiden und wird breiter unterstützt. Die RUF-Unterstützung variiert je nach empfangendem Server, und einige Anbieter senden überhaupt keine forensischen Berichte. RUA wird dringend empfohlen; RUF ist optional.

Alignment bezeichnet, ob die Domain im From-Header mit der Domain übereinstimmt, die für SPF- oder DKIM-Authentifizierung verwendet wird. Entspanntes Alignment ( r ) erlaubt eine Übereinstimmung zwischen der From-Domain und einer übergeordneten Organisationsdomain, sodass mail.example.com mit example.com übereinstimmt. Striktes Alignment ( s ) erfordert eine exakte Domain-Übereinstimmung. Schlägt das Alignment sowohl für SPF als auch für DKIM fehl, wird die Nachricht als DMARC-fehlgeschlagen behandelt, unabhängig davon, ob SPF oder DKIM einzeln bestanden haben.

Ja. DMARC-Einträge sind öffentlich zugängliche DNS-Einträge, daher kann das Tool jede Domain abfragen. Das ist nützlich, wenn du prüfen möchtest, ob ein Anbieter, Partner oder Versanddienst DMARC konfiguriert hat, bevor du E-Mails von ihm empfängst, oder wenn du Domains im Rahmen einer Sicherheitsüberprüfung auditierst. Keine besonderen Berechtigungen oder der Besitz der Domain sind erforderlich.

Das bedeutet entweder, dass unter _dmarc.<yourdomain> kein TXT-Eintrag existiert, oder dass die DNS-Propagation nach einer kürzlichen Veröffentlichung noch nicht abgeschlossen ist. DMARC-Einträge können bis zu 48 Stunden benötigen, um sich global zu verbreiten, obwohl die meisten Resolver Änderungen innerhalb weniger Stunden übernehmen. Wenn du den Eintrag kürzlich hinzugefügt hast, warte und führe die Prüfung erneut durch. Wenn du noch keinen veröffentlicht hast, musst du über deinen DNS-Anbieter einen TXT-Eintrag hinzufügen, bevor eine Richtlinie wirksam wird.

Nein. DMARC ist eine Richtlinien-Schicht, die auf SPF und DKIM angewiesen ist. Es liest die Ergebnisse dieser beiden Prüfungen und wendet dann die in deiner Richtlinie angegebene Aktion an. Ein DMARC-Eintrag allein, ohne mindestens eines von SPF oder DKIM konfiguriert und bestanden, schützt deine Domain nicht, da keine Authentifizierungsergebnisse vorhanden sind, auf die DMARC reagieren könnte. Du benötigst alle drei, die zusammenarbeiten, für eine vollständige E-Mail-Authentifizierungsabdeckung. Sieh dir den DKIM-Checker an, um diesen Teil deiner Einrichtung zu überprüfen.

Das Tool fragt DNS für die von dir eingegebene Domain ab und gibt das Ergebnis zurück. Es ist kein Konto erforderlich und keine Domainnamen werden für Marketingzwecke gespeichert. Standard-Server-Anfrage-Logs können die Abfrage als Teil des normalen Infrastrukturbetriebs aufzeichnen, entsprechend der Datenschutzrichtlinie der Website. Da DMARC-Einträge öffentliche DNS-Daten sind, sind bei der Abfrage selbst keine sensiblen Informationen beteiligt.

Ja. Das Tool stellt einen GET-Endpoint unter /api/check-dmarc?domain=<domain> bereit. Die Antwort enthält strukturierte JSON-Felder, darunter dmarc_found , dmarc_record , is_valid , policy , pct , rua , ruf , aspf , adkim sowie Arrays für errors und warnings . Das macht es einfach, die DMARC-Validierung in Monitoring-Skripte, CI-Pipelines oder Domain-Audit-Workflows zu integrieren, ohne jedes Mal manuelle browserbasierte Prüfungen durchführen zu müssen.