Frag die DNS-Einträge jeder Domain ab und prüfe, ob ihre E-Mail-Sicherheit richtig eingerichtet ist. Anders als die meisten Snowkit-Tools muss dieses online gehen: Der eingegebene Domainname wird an den öffentlichen Resolver deiner Wahl gesendet, sonst nichts.
So fragst du eine Domain ab
- Gib einen Domainnamen in „Domainname“ ein. Eine vollständige Webadresse geht auch, sie wird auf die Domain gekürzt.
- Wähle im Tab „Einträge“ einen Eintragstyp: Alle, A, AAAA, CNAME, MX, TXT, NS, SOA, CAA oder SRV.
- Wähle einen Resolver: Cloudflare (1.1.1.1) oder Google Public DNS.
- Drück „Abfragen“ und lies die Ergebnisse. „Ergebnisse kopieren“ speichert sie als Text.
- Öffne den Tab „E-Mail-Sicherheit“, um SPF, DMARC und DKIM zu prüfen. Gib einen Selektor an oder lass „Auch gängige Selektoren testen“ eingeschaltet.
Was gesendet wird
Die Abfrage nutzt DNS over HTTPS. Dein Browser fragt den gewählten Resolver nach den Einträgen der Domain und zeigt die Antwort an. Gesendet werden nur der Domainname und der Eintragstyp. Sonst wird nichts über dich oder deine Dateien hochgeladen. Ist der gewählte Resolver nicht erreichbar, kannst du zum anderen wechseln.
Was die einzelnen Eintragstypen tun
A- und AAAA-Einträge verweisen einen Namen auf eine IPv4- oder IPv6-Adresse. CNAME macht einen Namen zum Alias eines anderen. MX listet die Server, die E-Mails empfangen, die niedrigste Zahl zuerst. TXT enthält Text wie SPF-Regeln und Codes zur Website-Verifizierung. NS nennt die Server, die die Zone verwalten, und SOA enthält ihre Seriennummer und Timer. CAA legt fest, welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen, und SRV verweist Dienste wie SIP oder IMAP auf einen Host und Port.
SPF, DMARC und DKIM einfach erklärt
SPF ist ein TXT-Eintrag, der die Server auflistet, die E-Mails für deine Domain senden dürfen. Er darf höchstens 10 DNS-Abfragen verwenden, jedes include mitgezählt, deshalb folgt diese Prüfung jedem include und zählt sie zusammen. DKIM signiert jede Nachricht mit einem Schlüssel, der unter einem Selektor veröffentlicht ist, etwa google._domainkey.example.com. Dein E-Mail-Anbieter nennt dir den Selektor. DMARC unter _dmarc.example.com sagt Empfängern, was zu tun ist, wenn eine Nachricht bei beiden durchfällt, und wohin Berichte gehen. Fang mit p=none an, lies die Berichte und wechsle dann zu quarantine und reject.
Warum Einträge anderswo anders aussehen können
DNS-Antworten werden für die neben jedem Eintrag angezeigte TTL in Sekunden zwischengespeichert. Nachdem du einen Eintrag geändert hast, können Resolver die alte Antwort behalten, bis diese Zeit abgelaufen ist, sodass verschiedene Tools und Netzwerke eine Weile unterschiedliche Ergebnisse liefern. Wenn du oben den Resolver wechselst, kannst du zwei große öffentliche Caches vergleichen.
Typische Einsätze
- Prüfen, ob eine neue Website nach einem Umzug auf den richtigen Server zeigt.
- Herausfinden, warum E-Mails von deiner Domain im Spam landen oder zurückkommen.
- Prüfen, ob ein Verifizierungseintrag richtig angelegt wurde.
- Anhand der MX-Einträge sehen, welchen E-Mail-Anbieter eine Firma nutzt.
Für die Header, die eine Website sendet, probier den HTTP-Header-Checker.
Fragen
Warum wird mein neuer Eintrag nicht angezeigt?
Er ist eventuell noch zwischengespeichert. Warte, bis die TTL abgelaufen ist, und frag erneut ab, oder probier den anderen Resolver.
Ist das dasselbe wie WHOIS?
Nein. DNS zeigt, wohin eine Domain verweist. WHOIS zeigt, wer sie registriert hat.
Ändert es mein DNS?
Nein. Es liest nur öffentliche Einträge.