E-Mail-Server-Audit
Das Audit prüft die öffentliche Mail-Einrichtung einer Domain (DNS und SMTP) von außen. Es loggt sich nicht ins Postfach ein. Anlegen unter Facilities → Audit.
Das Audit ist kostenlos. Bezahlte Extras laufen über Cart und Checkout.
Voraussetzungen
- Domain-Facility (FQDN) und Server-Facility anlegen.
- E-Mail-Server-Facility verknüpft beide und setzt DKIM selector (z. B.
googleoders1). Ohne Selektor wird DKIM übersprungen und zählt 0 als Warnung. - New audit, diesen E-Mail-Server wählen.
Prüfungen starten
Auf der Audit-Seite: Run all checks, oder DNS als eine Karte und SMTP STARTTLS extra. Die Audit-Liste startet alle Checks ebenso.
Status:
- PASS — Prüfung ok
- FAIL — Problem in DNS oder SMTP (rot)
- ERROR — Prüfung nicht beendet (Timeout, Refuse); erneut (gelb)
Punktzahl
Summe, wenn alle elf Checks ein Ergebnis haben (DKIM ohne Selektor = 0 / Warnung). Gewichte ergeben 100:
| Check | Weight |
|---|---|
| MX | 15 |
| SPF | 12 |
| DKIM | 12 |
| DMARC | 12 |
| MX hosts | 10 |
| PTR | 10 |
| SMTP | 10 |
| DNS block lists | 10 |
| MTA-STS | 4 |
| BIMI | 3 |
| TLS-RPT | 2 |
100 ist grün. Unter 100 gelb nur bei Warnungen, rot bei FAIL. Strich: nicht alle Checks gelaufen.
MX records (mx)
MX der Domain nach Preference. Fehlendes MX FAIL. Priorität 0 und Exchange . ist Null-MX (keine Mail) und FAIL.
Fix: MX auf Hosts, die Mail annehmen, oder Null-MX, wenn die Domain keine Mail annehmen soll (dieser Audit schlägt trotzdem fehl).
MX hosts (mx-hosts)
Jeder MX-Name braucht A oder AAAA, kein CNAME. AAAA darf fehlen. Null-MX FAIL.
Fix: MX auf einen Hostnamen mit eigenem A/AAAA, nicht CNAME.
PTR (ptr)
Jede MX-Adresse braucht PTR, der zurück auf dieselbe Adresse zeigt. PTR ≠ MX-Hostname wird notiert und bleibt PASS.
Fix: PTR beim IP-Owner setzen, dann A/AAAA dieses Namens auf die IP.
SMTP STARTTLS (smtp)
TCP 25 je MX: Banner 220, EHLO, STARTTLS, Zertifikat passt zum MX-Namen, gültig, TLS 1.2 oder 1.3. Refuse/Timeout ERROR.
Fix: Port 25, STARTTLS, Zertifikat für den MX-Hostnamen.
DNS block lists (dnsbl)
IPv4/IPv6 jedes MX: zen.spamhaus.org, bl.spamcop.net, psbl.surriel.com. Domain und MX-Namen: dbl.spamhaus.org. Nur bestätigtes Listing FAIL. Verbindungsfehler ERROR.
Fix: Listing prüfen, Missbrauch beenden, Removal-Seite der Liste.
SPF (spf)
Genau ein TXT v=spf1. all zuletzt, -all oder ~all. Höchstens 10 DNS-Lookups. +all, ?all, fehlendes all, ptr, zwei Records oder Redirect-Schleife FAIL.
- RFC 7208 (§4.6.4 lookup limit)
Fix: ein SPF-Record, -all oder ~all, Includes unter 10 Lookups.
DKIM (dkim)
TXT {selector}._domainkey.{domain} (CNAME wird gefolgt). Ein Record, p= nicht leer, kein t=y. RSA ≥ 2048; k=ed25519 PASS. Leeres p=, Testmodus, kurzes RSA oder fehlender Record FAIL.
Fix: Selektor am E-Mail-Server, Production-Key veröffentlichen.
DMARC (dmarc)
Ein TXT v=DMARC1 bei _dmarc.{domain}, p=quarantine oder p=reject, pct fehlt oder 100. p=none oder pct < 100 FAIL. Externes rua=mailto: braucht {domain}._report._dmarc.{rua-domain}.
- RFC 7489 (§7.1 external reports)
Fix: Quarantine oder Reject bei 100 %, externe rua autorisieren.
MTA-STS (mta-sts)
TXT v=STSv1; id=... bei _mta-sts.{domain}, dann HTTPS https://mta-sts.{domain}/.well-known/mta-sts.txt ohne Redirects. Modus enforce, max_age > 0, jedes Live-MX matcht ein mx-Muster (* eine linke Label). testing / none FAIL.
Fix: TXT und HTTPS-Policy enforce mit Ihren MX-Hosts.
TLS-RPT (tls-rpt)
Ein TXT v=TLSRPTv1 bei _smtp._tls.{domain} mit rua mailto: oder https:.
Fix: TLS-Report-TXT mit Mailbox oder HTTPS, die Sie lesen.
BIMI (bimi)
Ein TXT v=BIMI1 bei default._bimi.{domain} mit HTTPS l=. DMARC quarantine oder reject. Logo-URL 200, image/svg+xml, kein Redirect. a= (VMC) wird gespeichert und ist nicht nötig für PASS.
Fix: SVG Tiny PS per HTTPS, DMARC auf Enforcement, dann BIMI-TXT.
Anforderungen der Postfachanbieter
Keine extra Emperor-Checks; sie erklären, warum SPF, DKIM, DMARC und PTR zählen:
- Google email sender guidelines
- Yahoo sender best practices
- Outlook.com policies (high-volume senders)