DNS- und Mail-Check

Was geprüft wird

Einträge: A, AAAA, CNAME, NS, MX, TXT, CAA und SOA. DNSSEC: ob die Domain signiert ist und die Signatur bei einem prüfenden Resolver gültig ist, „kaputt“ heißt, dass Resolver mit DNSSEC-Prüfung die Domain gar nicht mehr auflösen. Mail: SPF (samt Zahl der DNS-Abfragen, mehr als zehn machen SPF ungültig), DMARC-Richtlinie, DKIM unter gängigen Selektoren oder deinem eigenen, MTA-STS-Richtlinie (abgerufen von mta-sts.deine-domain) und TLS-RPT.

Zum Schluss vergleichen wir die Antworten von Cloudflare, Google und Quad9. Weichen sie voneinander ab, ist eine Änderung meist noch nicht überall angekommen. Die Einträge haben eine Gültigkeitsdauer (TTL), bis zu der Resolver alte Antworten behalten dürfen.

Warum SPF, DKIM und DMARC?

Ohne SPF und DKIM kann jeder Mails im Namen deiner Domain verschicken, und große Postfachanbieter sortieren deine echten Mails in den Spam. DMARC sagt Empfängern, was mit Mails passieren soll, die keine der beiden Prüfungen bestehen, „none“ beobachtet nur, „quarantine“ und „reject“ schützen wirklich. MTA-STS sorgt dafür, dass Mails an dich nur verschlüsselt zugestellt werden.