Einen DMARC-Eintrag prüfen oder bauen
Ein DMARC-Eintrag ist eine Zeile mit bis zu elf Einstellungen, und zwei davon entscheiden, ob er überhaupt etwas bewirkt. Hier werden sie in Klartext vorgelesen, und danach wird das eine geprüft, was deine Berichte lautlos ausbleiben lässt.
- Läuft in deinem Browser, nicht auf unserem Server
- Keine Anmeldung
- Kein Wasserzeichen
Werkzeug wird geladen…
So funktioniert es
- Tipp deine Domain ein und klick auf „Check“ (Prüfen).
- Lies die Einstellungen und die Befunde: Nach p= (der Richtlinie) handeln die Empfänger, und pct= begrenzt, für welchen Anteil deiner Post sie gilt.
- Gehen deine Berichte an eine Adresse bei einer anderen Firma, sieh dir den Block zur Erlaubnis an — ohne diesen Eintrag kommt nie ein Bericht an.
Warum nichts hochgeladen wird
Alles, was auf dieser Seite passiert, erledigt Code, der im Tab deines Browsers läuft — mit derselben Engine, die auch Webseiten darstellt. Die Datei wird von der Festplatte in den Speicher des Tabs gelesen, dort umgewandelt und als Download wieder herausgeschrieben. Sie wird nirgendwohin geschickt — weder zu uns noch zu Dritten.
Prüf es selbst nach
- Öffne die Entwicklerwerkzeuge deines Browsers (F12) und wähle den Tab „Netzwerk“.
- Lade deine Datei und starte das Werkzeug.
- Die einzigen Anfragen, die du siehst, holen den Code des Werkzeugs selbst — und bei ein paar schweren Werkzeugen dessen Open-Source-Engine von einem öffentlichen CDN — dazu ein kleines Seitenaufruf-Signal an loreatec.jp (Adresse und Titel der Seite, mehr nicht). Keine davon trägt deine Datei.
Häufige Fragen
Ich habe DMARC eingerichtet, und es kam nie ein Bericht. Warum?
Liegt die Berichtsadresse (rua) auf einer anderen Domain als deiner — ein Auswertungsdienst, deine Agentur, ein privates Postfach —, muss diese Domain einen Eintrag veröffentlichen, der besagt, dass sie Berichte für dich annimmt: deinedomain._report._dmarc.fremdedomain mit dem Wert v=DMARC1. Empfänger prüfen das vor dem Senden und schicken lautlos nichts, wenn er fehlt. Diese Seite prüft es für dich. Die andere häufige Ursache ist schlicht ein fehlendes „mailto:“ vor der Adresse.
Was ändern adkim und aspf tatsächlich?
Sie legen fest, wie genau die Domain, die SPF oder DKIM bestanden hat, zur sichtbaren From-Adresse passen muss. Relaxed (die Voreinstellung) akzeptiert jede Subdomain derselben Organisation — mail.example.com zählt für example.com. Strict verlangt eine exakte Übereinstimmung. Relaxed ist für fast alle richtig; strict ist für Organisationen, die jede Subdomain kontrollieren und verhindern wollen, dass eine gekaperte benutzt wird.
Ist p=none nutzlos?
Es ist der nötige erste Schritt und ein schlechter letzter. Mit p=none ändert sich nichts an deiner Post, aber du bekommst die Berichte — genau das, was du für die paar Wochen brauchst, in denen du jeden legitimen Absender findest. Jahrelang auf none stehen gelassen, schützt es nichts: Jeder kann weiterhin als deine Domain senden, und jetzt gibt es zusätzlich einen Eintrag, der bezeugt, dass du davon weißt.
Wofür ist sp= da?
Für eine eigene Richtlinie für Subdomains. Ohne sie erben Subdomains das p=. Das zählt, weil Angreifer Subdomains benutzen, die nie zum Senden eingerichtet waren — rechnung.deinedomain.de —, und dort geht durch sp=reject nichts kaputt, selbst wenn die Hauptdomain noch auf none steht.
Und pct?
Es wendet die Richtlinie nur auf einen Prozentsatz der durchgefallenen Post an, du kannst also mit 10 % auf quarantine gehen und zusehen. Es ist eine Rampe, kein Ziel: Bei pct=50 mit p=reject kommt die Hälfte der Fälschungen weiterhin durch.