DMARC-Datensatz-Inspektor

Den DMARC-Inspektor richtig nutzen

Prüfen Sie die Richtlinie, die Empfänger tatsächlich lesen, bevor Sie die Durchsetzung verschärfen. Das Tool fragt _dmarc.<domain> ab, interpretiert jedes Tag und hebt von der API zurückgegebene Warnungen hervor.

Domain vorbereiten

Geben Sie die Organisationsdomain genau so ein, wie sie in E-Mail-Adressen erscheint. Der Inspektor ergänzt automatisch _dmarc, folgt eventuellen CNAMEs und sammelt alle TXT-Antworten.

Badges lesen

Jede Richtlinie erhält ein Badge mit Status, Ausrichtungsmodi, angewandtem Prozentsatz sowie rua/ruf-Adressen. Fehler bedeuten, dass die Richtlinie ignoriert wird, Warnungen zeigen riskante Einstellungen an.

Antworten vergleichen

Resolver, Latenz und eventueller DoH-Endpunkt ermöglichen die Bestätigung der Propagation oder die Identifizierung eines lokalen DNS-Problems. Bewahren Sie Vorher-/Nachher-Schnappschüsse zur Dokumentation Ihrer Änderungen auf.

Nach der Prüfung

Archivieren Sie die Analyse zusammen mit Ihrem Änderungsprotokoll. Ergänzen Sie sie mit dem DMARC-Syntax-Validator sowie den SPF- und DKIM-Inspektoren, um die gesamte Authentifizierungskette vor der Aktivierung von Reject zu validieren.

Warum diesen DMARC-Inspektor verwenden?

Prüfen Sie vor dem Versand, ob Ihr DMARC-Eintrag lesbar und nutzbar ist.
Das Tool fragt _dmarc.domain ab, liest den zurückgegebenen TXT-Eintrag, hebt fehlende oder ungültige Tags hervor und erklärt die tatsächliche Wirkung der Richtlinie. Sie sparen Zeit und vermeiden Iterationen während der Produktivschaltung.

DMARC kurz erklärt

DMARC verknüpft SPF- und DKIM-Ergebnisse mit der in From sichtbaren Domain. Wenn SPF oder DKIM erfolgreich ist und mit From übereinstimmt, ist die Nachricht konform. Das Tag p= gibt an, was sonst zu tun ist Beobachtung, Quarantäne oder Ablehnung. Die Tags rua und ruf senden Berichte zur Steuerung der schrittweisen Verschärfung.

Anleitung

Geben Sie die zu testende Domain ein.
Klicken Sie auf DMARC inspizieren.
Lesen Sie die Zusammenfassung und detaillierten Abschnitte. Fehler blockieren die Durchsetzung. Warnungen weisen auf Risiken oder zu verbessernde Praktiken hin.
Veröffentlichen Sie eine korrigierte Version und führen Sie dann eine weitere Prüfung durch.

Was der Inspektor prüft

DMARC-TXT

Vorhandensein eines einzelnen TXT-Eintrags auf _dmarc.domain.
Vorhandensein und Reihenfolge der wesentlichen Tags v=DMARC1 und p=.
Keine CNAME-Verwendung. DMARC muss ein direkter TXT-Eintrag sein.
Angemessene Größe und lesbarer TTL.

Richtlinie und Subdomains

p= none, quarantine oder reject und operative Auswirkungen.
sp= falls vorhanden, auf Subdomains angewandte Richtlinie andernfalls Vererbung von p.
pct= Prozentsatz der Richtliniendurchsetzung.

Ausrichtungen

adkim= und aspf= in r für relaxed standardmäßig oder s für strict.
Erklärung der Ausrichtung mit From für SPF und DKIM.

Berichte

rua= gültige mailto:-Adressen, mehrere durch Kommas getrennt erlaubt.
ruf= optional, selten von Betreibern verteilt.
Erkennung externer Adressen und Erinnerung an erforderliche Autorisierung über _report._dmarc auf der Empfängerdomain.
ri= Intervall der aggregierten Berichte.

Fehleroptionen

fo= standardmäßig 0, Varianten 1, d, s erklärt und empfohlene Verwendung.

Häufige Fehler

Zwei DMARC-Einträge mit demselben Namen.
rua oder ruf ohne mailto:-Präfix.
Richtlinie p=none zu lange in Produktion belassen.
Strikte Ausrichtung aktiviert, während legitime Flows noch nicht bereit sind.
Externe Berichtsadresse ohne _report._dmarc-Autorisierung.
Verwechslung zwischen pct-Durchsetzung und ri-Berichtshäufigkeit.

Best Practices

Mit p=none und aktivem rua zur Beobachtung beginnen.
Zu p=quarantine mit schrittweisem pct übergehen, dann zu p=reject, sobald Fehlalarme beseitigt sind.
adkim und aspf zunächst in r belassen, s erwägen, wenn alles stabilisiert ist.
sp definieren, wenn Ihre Subdomains unterschiedlich senden.
Änderungsprotokoll führen Datum, vorheriger und neuer Wert, Grund, TTL.

Schnelle Fehlerbehebung

Kein Eintrag auf _dmarc.domain veröffentlichen Sie einen minimalen TXT mit v und p.
Keine Berichte erhalten prüfen Sie rua, externe Autorisierung falls zutreffend und mailboxseitige Filter.
Unerwartete Ablehnungen pct senken oder vorübergehend zu p=quarantine zurückkehren, Flow-Ausrichtung korrigieren, erneut versuchen.
Regionale Unterschiede TTL und Caches berücksichtigen.