E-MAIL-SICHERHEITPRÜFEN.

Er fragt die öffentlichen DNS-Einträge Ihrer Domain ab: Mailserver (MX), SPF samt aller eingebundenen Einträge und der Zahl der DNS-Lookups, DMARC mit Richtlinie, Subdomains und Berichtsadresse, DKIM-Schlüssel unter gängigen Selectoren mit Schlüssellänge, MTA-STS mit Richtlinie, TLS-RPT und als Information BIMI und DANE.

DKIM-Schlüssel liegen unter einem frei wählbaren Namen (Selector), zum Beispiel selector1._domainkey.ihre-domain.at. Diese Namen lassen sich über DNS nicht auflisten. Wir fragen die Selector ab, die große Anbieter fest vorgeben. Nutzt Ihr Dienst einen anderen Namen, finden wir den Schlüssel nicht und melden das als Hinweis, nicht als Fehler. Den Selector sehen Sie im Kopf jeder versendeten Mail unter „DKIM-Signature: … s=…“.

Nein. SPF prüft nur die technische Absenderadresse (MAIL FROM, im Kopf als Return-Path sichtbar), nicht die Adresse, die Empfänger im Postfach sehen. Erst DMARC verlangt, dass SPF oder DKIM zur sichtbaren Absenderdomain passen, und sagt Empfängern, was bei einer Fälschung passieren soll (RFC 9989, Abschnitt 4.4). Ohne DMARC bleibt Spoofing Ihrer Domain möglich.

Jede Prüfung hat ein Gewicht, DMARC das größte. Bestanden zählt voll, ein Hinweis halb, ein kritischer Befund nicht. Daraus ergibt sich ein Wert von 0 bis 100 und die Note A+ bis F. Ohne gültiges DMARC ist höchstens C möglich, ebenso mit +all im SPF-Eintrag. A+ gibt es nur ohne kritischen Befund. Informationen wie BIMI und DANE zählen nicht.

Nein. Er liest nur öffentliche DNS-Einträge und, falls eingerichtet, die öffentliche MTA-STS-Richtlinie über HTTPS. Er verbindet sich nicht mit Ihrem Mailserver und verschickt keine Mails. Das Ergebnis liegt fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe nicht erneut abfragen, und ist danach weg.