DMARC-Checker:
blockiert Ihre Richtlinie überhaupt etwas?

Geben Sie Ihre Domain oben ein. Wir holen den TXT-Eintrag unter _dmarc.yourdomain, bestätigen, dass es genau ein v=DMARC1 gibt (bei zweien sehen Empfänger gar keines), und parsen jedes Tag nach RFC 7489 mit ausgeschriebenen Standardwerten (p=, sp=, pct=, adkim=/aspf=, rua=/ruf=, fo=). Dann bewerten wir die Durchsetzungsstufe und prüfen, ob die bewerteten Berichtsziele überhaupt Berichte empfangen können. Kostenlos, ohne Anmeldung.

Es sagt jedem Empfänger: »Wenn Mail bei DMARC durchfällt: keine Aktion — zustellen, aber einen Bericht an mich schicken.« Nichts wird in Quarantäne gestellt, nichts abgewiesen. Eine gefälschte Rechnung landet im Posteingang Ihres Kunden, genau so, als hätten Sie überhaupt kein DMARC. Was p=none Ihnen bringt, ist Sichtbarkeit: Die aggregierten Berichte benennen jeden Server, der in Ihrem Namen sendet, legitim oder nicht. Das macht es zur richtigen ersten Stufe eines Rollouts und zu einer furchtbaren Dauerlösung. Wenn Ihr Eintrag seit mehr als 2 Quartalen p=none sagt, betreiben Sie kein DMARC. Sie sehen in HD zu, wie andere sich als Sie ausgeben.

Leiter, kein Sprung. Zuerst: p=none mit rua= für ein Quartal. Berichte lesen, jeden legitimen Absender finden (das Rechnungs-Tool, von dem nie jemand erzählt hat) und dessen SPF-/DKIM-Alignment in Ordnung bringen. Dann: p=quarantine; pct=10, und pct auf 50, dann 100 anheben, solange die Berichte sauber bleiben. Dann: p=reject. Hinkt eine Subdomain hinterher (eine Newsletter-Plattform mitten in der Migration), geben Sie ihr einen eigenen _dmarc.sub-Eintrag, statt die ganze Domain auf none zu halten. Entscheiden Sie jeden Schritt anhand der Berichtsdaten — die Berichte sind das Netz, das Strenge erst ungefährlich macht.

rua= ist die aggregierte Berichterstattung: tägliche XML-Zusammenfassungen von jedem Empfänger — welche IP-Adressen in Ihrem Namen gesendet haben, wie viele bestanden oder durchgefallen sind und unter welcher Richtlinie. Das ist der Strom, auf den es ankommt; damit steuern Sie die Leiter. ruf= ist die forensische Berichterstattung: Kopien einzelner fehlgeschlagener Nachrichten. Die meisten großen Empfänger, Gmail und Microsoft eingeschlossen, senden sie aus Datenschutzgründen nicht mehr. Behandeln Sie ruf= als Zugabe kleinerer Empfänger, nicht als verlässliche Datenquelle. Beide nehmen ausschließlich mailto:-URIs, und für beide gilt die Freigabeprüfung für externe Ziele, die dieses Tool ausführt.

Der klassische Grund ist genau die Prüfung, für die es dieses Tool gibt: Ihr rua= zeigt auf eine Domain, die Ihnen nicht gehört, und diese Domain hat nie den Freigabeeintrag veröffentlicht. RFC 7489 §7.1 verpflichtet Empfänger, die Freigabe zuerst zu prüfen: Sie fragen yourdomain._report._dmarc.destinationdomain ab und erwarten eine v=DMARC1-Antwort. Keine Antwort → der Bericht wird stillschweigend verworfen, ohne Bounce und ohne sichtbaren Fehler. Das passiert, wenn die Anbieterdomain vertippt ist oder wenn Sie den Anbieter gewechselt haben, den Eintrag aber nicht. Es passiert auch, wenn Berichte an ein Agenturpostfach gehen, das nie für domainübergreifende Berichterstattung eingerichtet wurde. Wir führen die Abfrage für jedes bewertete Ziel aus und zeigen Ihnen den fehlenden Eintrag genau so, wie er lauten müsste.

Alignment ist die Verbindung, die DMARC zwischen SPF/DKIM und der From:-Zeile herstellt, die Ihr Leser sieht. Relaxed (der Standard, r) akzeptiert eine Übereinstimmung auf Ebene der organisatorischen Domain — Mail, die von news.yourdomain.com signiert wurde, passt zu yourdomain.com. Strict (s) verlangt eine exakte Übereinstimmung. Lockeres Alignment ist für fast alle die richtige Wahl; striktes schließt eine schmale Lücke — eine kompromittierte oder delegierte Subdomain, die für Ihre Hauptdomain bürgt — um den Preis, dass jeder vergessene Subdomain-Absender nicht mehr durchkommt. Stellen Sie erst dann auf strikt um, wenn Ihre Berichte ein Quartal lang sauberes Alignment mit exakter Domain zeigen.

Es stoppt Fälschungen mit exakt Ihrer Domain bei kooperierenden Empfängern — und das ist der Großteil des Postfachvolumens im Internet. Drei Lücken bleiben. DMARC beurteilt ausschließlich das Alignment und ist damit exakt so stark wie SPF und DKIM darunter. Ein SPF mit permerror oder ein zurückgezogener DKIM-Schlüssel schwächt reject unbemerkt. Ein pct<100 oder ein schwächeres sp= lässt absichtliche Löcher offen. Und ähnlich aussehende Domains (yourcompany-billing.com) liegen außerhalb der Reichweite von DMARC, denn kein DMARC-Eintrag von Ihnen kann für eine Domain sprechen, die Ihnen nicht gehört. Prüfen Sie den gesamten Stack — unsere SPF- und DKIM-Tools decken die erste Lücke ab.