.eml-Datei analysieren: Header, Received-Kette, Links, Hashes von Anhängen, abweichende Absender.
Neu
E-Mail-Authentifizierungs-Check
Netzwerk: DoHNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
E-Mail-Authentifizierungs-Check verwenden
Was es bewirkt
Geben Sie eine Domain ein, um zu sehen, wie gut sie gegen Spoofing geschützt ist: der SPF-Include-Baum mit der Zahl seiner Lookups, die DMARC-Richtlinie, DKIM-Schlüssellängen, MTA-STS, TLS-RPT, BIMI und MX.
Die von Ihnen abgefragten DNS-Namen werden an den PhishDestroy-DNS-Relay (/api/dns-resolve.php) gesendet, der die Abfrage über HTTPS an Cloudflare oder Google DNS weiterleitet.
So verwenden Sie E-Mail-Authentifizierungs-Check
- Domain eingeben. Geben Sie eine Domain, eine E-Mail-Adresse oder eine URL ein. Das Tool behält nur die Domain, entfernt bei einer URL ein führendes www. und streicht Präfixe wie _dmarc.
- DKIM-Selectors hinzufügen. Wenn Sie eine Nachricht von der Domain haben, kopieren Sie den s=-Wert ihres DKIM-Signature-Headers in das Feld für Selectors. Bis zu 10 werden geprüft.
- Prüfung starten. Drücken Sie Check oder Try common DKIM selectors (gängige DKIM-Selectors testen), um 15 häufige Namen zu testen. Der Zähler zeigt, wie viele DNS-Abfragen verbraucht wurden.
- Summary-Tabelle lesen. Jeder Eintrag erhält pass, warn, fail, info oder error mit einem einzeiligen Befund. Die Abschnitte darunter zeigen die Einträge im Rohformat und den SPF-Include-Baum.
- Ergebnis nutzen. Eine Domain ohne SPF und ohne durchgesetzte DMARC-Richtlinie lässt sich leicht fälschen. Berücksichtigen Sie das, wenn Sie eine Nachricht beurteilen, die angeblich von ihr stammt.
Beispiel
Eine Domain, die keine Mail sendet
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject und ein Null-MX (0 .): Die Domain gibt an, dass sie weder E-Mails versendet noch empfängt, sodass jede Nachricht von ihr gefälscht ist. DMARC wird nur mit „warn“ gekennzeichnet, da der Eintrag keine „rua=“-Adresse enthält, sodass der Eigentümer keine aggregierten Berichte erhält; die Richtlinie selbst (p=reject, sp=reject) wird vollständig durchgesetzt.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| SPF-Eintrag | Ein fehlender Eintrag ist ein fail. +all lässt jeden Server bestehen, und ?all oder kein all bietet keinen Schutz; -all oder ~all ist das, was man erwartet. |
| Zahl der SPF-Lookups und Void Lookups | include, a, mx, ptr, exists und redirect kosten jeweils einen DNS-Lookup. Mehr als 10 Lookups oder mehr als 2, die nichts liefern, machen SPF mit einem permerror ungültig. |
| DMARC-Richtlinie | p=none überwacht nur, quarantine schickt durchgefallene Mail in den Spam, und reject weist sie ab. Warnungen gibt es auch für pct unter 100, sp=none und eine fehlende rua-Adresse. |
| Geerbtes DMARC | Hat eine Subdomain keinen Eintrag, wird der Eintrag der Organisationsdomain gelesen und als geerbt markiert. |
| DKIM-Schlüssel | Wird pro Selector mit Typ und Größe angezeigt. RSA unter 1024 Bit ist ein fail, unter 2048 eine Warnung, und ein leeres p= bedeutet, dass der Schlüssel widerrufen ist. |
| MTA-STS und TLS-RPT | Optionale Einträge, die Absender bitten, verifiziertes TLS zu nutzen und Fehler zu melden. Fehlen sie, erhalten Sie einen Hinweis, keinen Fehler. |
| BIMI | Ein optionaler Eintrag für das Markenlogo. Er zählt nur, wenn DMARC auf quarantine oder reject mit pct=100 steht. |
| MX | Listet die Mailserver auf. Ein Null-MX (0 .) bedeutet, dass die Domain keine Mail annimmt; NXDOMAIN bedeutet, dass die Domain nicht existiert. |
Weitere Beispiele
Eine URL statt einer Domain
https://www.example.net/loginEin Hinweis, dass www.example.net als example.net geprüft wird, dann 6 DNS-Abfragen: SPF pass für "v=spf1 -all", DMARC warn für p=reject, sp=reject ohne rua-Adresse, DKIM nicht geprüft, kein MTA-STS-, TLS-RPT- oder BIMI-Eintrag und ein Null-MX.
Eine Domain, die nicht existiert
nothing.exampleSPF fail (kein SPF-Eintrag), DMARC fail (kein DMARC-Eintrag) und MX fail, weil nothing.example nicht existiert (NXDOMAIN). Die BIMI-Zeile vermerkt, dass DMARC nicht durchgesetzt wird.
Ein DKIM-Eintragsname
google._domainkey.example.orgDer Selector google kommt in das Feld für Selectors, und example.org wird geprüft. Die DKIM-Zeile lautet "google: revoked", weil der Schlüsseleintrag ein leeres p= hat.
Häufig gestellte Fragen
Was fragt der Email Authentication Checker ab?
Den SPF-Eintrag und jedes include und redirect, das er einbindet, wobei DNS-abfragende Terme gegen das Limit von 10 und Void Lookups gegen das Limit von 2 gezählt werden (RFC 7208). Außerdem liest er den DMARC-Eintrag, notfalls den der Organisationsdomain, DKIM-Schlüssel für die angegebenen Selectors sowie die Einträge MTA-STS, TLS-RPT, BIMI und MX.
Was kann der Checker nicht sehen?
DNS kann DKIM-Schlüssel nicht auflisten: Jeder liegt unter einem vom Absender gewählten Selector, geben Sie daher den s=-Wert aus dem DKIM-Signature-Header einer Nachricht ein oder probieren Sie die gängigen Selectors; ein Fehltreffer beweist nichts. Die MTA-STS-Richtliniendatei und das BIMI-Logo werden nicht heruntergeladen, und SPF-Makros, die vom Absender abhängen, werden nicht expandiert.
Was wird über das Netzwerk gesendet?
Nur DNS-Namen, die aus der eingegebenen Domain gebildet werden, etwa _dmarc.example.com, gehen an das DNS-Relay von PhishDestroy, das Cloudflare oder Google per DNS over HTTPS fragt. Eine Prüfung braucht etwa 5 bis 25 Abfragen; das Relay erlaubt 60 pro Minute.
Bedeutet ein gutes Ergebnis, dass eine E-Mail von dieser Domain echt ist?
Nein. Der Checker liest die veröffentlichte Richtlinie der Domain, nicht eine bestimmte Nachricht. Um zu sehen, ob eine E-Mail SPF, DKIM und DMARC bestanden hat, öffnen Sie ihren Quelltext in EML Analyzer.
Warum ist DMARC selbst mit p=reject als warn markiert?
Warnungen betreffen auch Einstellungen, die Abdeckung oder Berichte schwächen: keine rua-Adresse für Sammelberichte, pct unter 100 oder sp=none für Subdomains. Die reject-Richtlinie selbst gilt trotzdem.
Was ist ein Void Lookup?
Eine DNS-Abfrage bei der SPF-Auswertung, die keine verwertbaren Einträge liefert, zum Beispiel ein a:- oder mx:-Term, dessen Name keine Adressen oder Mailserver hat. SPF erlaubt zwei; ein dritter lässt die Prüfung mit einem permerror scheitern.