Teste deine E-Mail: Quelltext einfügen, Ergebnis lesen
Die bekannten Spam-Tester verlangen, dass du ihnen eine echte E-Mail schickst, denn sie brauchen einen Mailserver, der sie annimmt. Diese Website hat keinen Server, der irgendetwas annehmen könnte — also fügst du die Nachricht ein, und der Browser macht die ganze Analyse vor deinen Augen.
- Läuft in deinem Browser, nicht auf unserem Server
- Keine Anmeldung
- Kein Wasserzeichen
Werkzeug wird geladen…
So funktioniert es
- Öffne die Nachricht in deinem E-Mail-Programm und hol dir den Quelltext: „Original anzeigen“ in Gmail, Strg+U in Thunderbird, „Nachrichtenquelle anzeigen“ in Outlook im Web. Lade wenn möglich die .eml-Datei herunter — Kopieren und Einfügen kann Leerzeichen und Zeilenumbrüche verändern, und dann scheitert die DKIM-Prüfung, die die Nachricht Zeichen für Zeichen vergleicht.
- Füg ihn oben ein, oder zieh die .eml-Datei in das Feld.
- Klick auf „Analyse“ (Analysieren). Lies zuerst den Block „Authentication“ (Authentifizierung) — er zeigt, ob die Mail belegt, wer sie geschickt hat, und darauf achten empfangende Server am meisten — danach die Inhaltsregeln, jede mit ihren eigenen Punkten.
Warum nichts hochgeladen wird
Alles, was auf dieser Seite passiert, erledigt Code, der im Tab deines Browsers läuft — mit derselben Engine, die auch Webseiten darstellt. Die Datei wird von der Festplatte in den Speicher des Tabs gelesen, dort umgewandelt und als Download wieder herausgeschrieben. Sie wird nirgendwohin geschickt — weder zu uns noch zu Dritten.
Prüf es selbst nach
- Öffne die Entwicklerwerkzeuge deines Browsers (F12) und wähle den Tab „Netzwerk“.
- Lade deine Datei und starte das Werkzeug.
- Die einzigen Anfragen, die du siehst, holen den Code des Werkzeugs selbst — und bei ein paar schweren Werkzeugen dessen Open-Source-Engine von einem öffentlichen CDN — dazu ein kleines Seitenaufruf-Signal an loreatec.jp (Adresse und Titel der Seite, mehr nicht). Keine davon trägt deine Datei.
Häufige Fragen
Warum den Quelltext einfügen, statt eine Testmail zu schicken?
Weil das Empfangen einer Nachricht einen Mailserver braucht, und diese Website hat keinen — alles hier läuft in deinem Browser. Der Tausch ist fair: Ein Spam-Tester, der deine Mail empfängt, kann sie lesen und behält sie tagelang; hier verlässt sie deinen Rechner nie. Verloren geht dabei die Adresse des sendenden Servers, so wie ein Empfänger sie sehen würde — das Werkzeug liest sie stattdessen aus den Zustellkopfzeilen der Nachricht und lässt dich sie korrigieren.
Wie kann es DKIM ohne Server prüfen?
DKIM ist eine digitale Signatur, die belegt, dass die Mail wirklich von der Domain des Absenders kommt und unterwegs nicht verändert wurde. Zum Prüfen braucht es nur zwei Dinge, die jeder Browser schon eingebaut hat: einen Weg, einen Fingerabdruck der Nachricht zu berechnen, und einen Weg, eine Signatur gegen einen öffentlichen Schlüssel zu prüfen. Das Werkzeug bereitet die Nachricht genau so auf, wie der Standard (RFC 6376) es verlangt, holt den öffentlichen Schlüssel über seinen Namen aus dem DNS und prüft. Getestet ist es gegen die offiziellen Beispiele aus RFC 8463, für RSA- und für Ed25519-Schlüssel.
DKIM sagt, der Nachrichtentext passt nicht — angekommen ist die Mail trotzdem.
Fast immer liegt es am Einfügen. Eine Nachricht durch einen Browser zu kopieren, kann Tabulatoren, Leerzeichen am Zeilenende und Zeilenumbrüche verändern, und die DKIM-Signatur deckt den Text Zeichen für Zeichen ab. Lade das Original als .eml-Datei herunter und zieh diese stattdessen hier herein. Scheitert es auch mit der .eml, hat wirklich etwas den Text nach dem Signieren verändert — eine Fußzeile einer Mailingliste, ein vom Virenscanner angehängter Hinweis oder ein weiterleitender Server.
Ist die Bewertung dieselbe wie die bekannte Zehnerskala?
Nein, und sie gibt das auch nicht vor. Es ist unser eigener Regelsatz, und jede Regel steht mit ihren Punkten auf der Seite, du siehst also genau, woher die Zahl kommt. Keine Bewertung kann vorhersagen, wo eine Mail landet: Der größte Faktor ist dein Ruf als Absender bei jedem einzelnen Empfänger, und der ist von außen unsichtbar — für alle, auch für die kostenpflichtigen Werkzeuge.
Warum stehen manche Sperrlisten als „nicht prüfbar“ da?
Eine Sperrliste ist eine öffentliche Liste von Adressen, die bekanntermaßen Spam verschicken. Einige von ihnen weisen Anfragen ab, die über öffentliche DNS-Dienste kommen — und ein Browser kann nur über öffentliche DNS-Dienste fragen. Spamhaus, URIBL und SURBL antworten mit einem Code, der „das sage ich dir nicht“ bedeutet. Das als „sauber“ zu melden, wäre der gefährlichste aller Irrtümer, also nennt das Werkzeug sie beim Namen und verlinkt stattdessen auf ihre eigenen Abfrageseiten. Die fünfzehn Listen, die antworten, werden ganz normal geprüft.
Kann ich eine Nachricht ganz ohne Netz prüfen?
Ja — nimm den Haken bei DNS weg. Alles, was sich allein aus der Nachricht prüfen lässt, läuft weiter: Kopfzeilen, Zustellweg, Aufbau, HTML, Links, die rechtlichen Pflichtangaben und die DKIM-Prüfung des Nachrichtentexts. Nur die Teile, die wirklich DNS brauchen, werden als „nicht geprüft“ markiert.