Bestellbestätigungen, Passwort-Resets und Rechnungen nützen nur etwas, wenn sie ankommen. Fehlt SPF, DKIM oder DMARC oder ist es falsch eingerichtet, vertrauen Empfänger Ihren E-Mails weniger: Sie landen im Spam oder werden direkt abgewiesen. Gmail und Yahoo verlangen DMARC von Massenversendern, und die Regeln werden immer strenger.
Die Einträge werden einmal angelegt und dann vergessen. Ein neues Newsletter-Tool wird in SPF aufgenommen und treibt den Eintrag über das Lookup-Limit. Jemand legt einen zweiten SPF-Eintrag an, statt den ersten zu bearbeiten. Ein DKIM-Schlüssel wird beim Mailanbieter rotiert, aber nie veröffentlicht. Nichts bricht spürbar zusammen, die Zustellung wird einfach schlechter. Das Monitoring der E-Mail-Authentifizierung erkennt solche Änderungen, solange sie noch klein sind.
Was Uptimecheck prüft
MX: welche Server E-Mails für die Domain empfangen.SPF: genau ein Eintrag, der auf ~all oder -all endet, mit höchstens 10 DNS-Lookups und Includes, die tatsächlich existieren.DKIM: Schlüssel unter den Selektoren Ihres Anbieters und den üblichen, dazu alle Selektoren, die Sie hinzufügen, sowie Schlüssel, die zu schwach sind, als dass Empfänger sie akzeptieren.DMARC: genau ein Eintrag mit gültiger Policy, ob er nur beobachtet (p=none) oder unter Quarantäne stellt und abweist, und ob er Berichte anfordert.MTA-STS und TLS-Reporting: ob Absender verschlüsselte Verbindungen nutzen müssen, um an Sie zuzustellen.Blocklisten: ob die Mailserver, die Sie selbst betreiben, auf SpamCop, PSBL oder UCEPROTECT stehen, mit einer Anleitung, wie Sie von jeder Liste wieder herunterkommen. Geteilte Dienste wie Google Workspace und Microsoft 365 bleiben außen vor, da nur diese selbst auf einen Eintrag reagieren können. Siehe so werden Blocklisten geprüft.
Uptimecheck erkennt gängige Mailanbieter anhand Ihrer MX- und SPF-Einträge, etwa Google Workspace, Microsoft 365, Zoho Mail, Fastmail, Proton Mail, One.com, Loopia und Migadu, und sucht DKIM-Schlüssel dort, wo diese sie veröffentlichen.
Zu jedem Problem die Lösung
Jeder Befund sagt, was falsch ist und was zu tun ist, das Schwerwiegendste zuerst. Wo ein DNS-Eintrag das Problem behebt, bekommen Sie ihn zum Einfügen: Name, Typ und Wert. Eine Domain, die E-Mails versendet, aber keinen DMARC-Eintrag hat, bekommt zum Beispiel diesen:
Name: _dmarc.northwind.shop, Typ: TXT, Wert: v=DMARC1; p=none; rua=mailto:dmarc@northwind.shop
Beginnen Sie mit p=none und lesen Sie die Berichte. Wenn darin nur noch Ihre eigenen Absender auftauchen, wechseln Sie zu p=quarantine und später zu p=reject, damit gefälschte E-Mails in Ihrem Namen nicht mehr in Postfächern landen. Jede Domain erhält außerdem eine Gesamtnote, sodass Sie auf einen Blick sehen, welche Nacharbeit brauchen.
Ein typischer Fall
Northwind führt ein neues E-Mail-Marketing-Tool ein und fügt dessen Include in den SPF-Eintrag ein. Der Eintrag braucht jetzt 12 DNS-Lookups, zwei mehr als SPF erlaubt, und bei den Empfängern schlägt SPF für jede Nachricht fehl. Bei der nächsten Prüfung, spätestens 12 Stunden später, alarmiert Uptimecheck das Team, dass SPF 12 Lookups braucht und über 10 fehlschlägt, und schlägt vor, nicht mehr genutzte Absender zu entfernen. Noch am selben Tag landen die Bestellbestätigungen wieder im Posteingang.
Teil jedes Domain-Monitors
Die E-Mail-Authentifizierung wird von Domain-Monitoren zusammen mit dem Ablaufdatum der Registrierung geprüft. Es gibt also nichts zusätzlich einzurichten: Domain hinzufügen, und beides wird überwacht. Lassen Sie die Prüfung auch für Domains aktiv, die nie E-Mails versenden. Eine solche Domain sollte das in SPF und DMARC angeben, sonst kann jeder in ihrem Namen versenden – und Uptimecheck liefert Ihnen auch diese Einträge.
Um zu sehen, ob sich ein TXT-Eintrag überhaupt ändert, legen Sie zusätzlich einen DNS-Monitor dafür an. Unser Ratgeber zum Erkennen gekaperter DNS-Einträge erklärt, warum das wichtig ist.
Für Agenturen
Bei Kundendomains gerät die E-Mail-Konfiguration am ehesten aus dem Lot: ein Anbieterwechsel, ein neues Formular-Plugin, ein Marketing-Tool, für das sich jemand angemeldet hat. Überwachen Sie alle Kundendomains in einem Workspace, gruppiert nach Kundenprojekt, und schicken Sie dem Kunden genau den Eintrag, den er anlegen muss, statt einer vagen Warnung. Siehe Uptimecheck für Agenturen.
Alarme gehen in jedem Tarif an E-Mail, Slack, Microsoft Teams, Discord, Google Chat, Mattermost, Telegram, PagerDuty, ntfy, Pushover, Webhooks und Push-Benachrichtigungen. Die E-Mail-Authentifizierung ist in jedem Domain-Monitor enthalten: 10 mit Start, 50 mit Professional und 150 mit Business.
Die Tarife beginnen bei 9 € pro Monat bei jährlicher Abrechnung oder 12 € bei monatlicher Abrechnung, zzgl. MwSt. Siehe Preisseite – oder starten Sie eine 14-tägige kostenlose Testphase ohne Kreditkarte.