Wie Sie jede Domain prüfen, die Ihrer Firma gehört (DMARC, CNAMEs und Weiterleitungen)

Schicken Sie jede Domain, die Ihrer Firma gehört, durch drei Prüfungen: DMARC, CNAMEs und Weiterleitungen. In Reserve-Domains, Tippfehler-Domains, alten Kampagnen-Websites und übernommenen Marken verstecken sich Fälschung, verwaiste Einträge und kaputte Weiterleitungen, weil niemand sie sich ansieht. Der Bulk-DMARC-Checker, die Bulk-CNAME-Abfrage und der Bulk-Redirect-Checker nehmen jeweils die ganze Liste auf einmal.

Mit DMARC auf jeder Domain beginnen →

Die drei Prüfungen ausführen

1. Die Liste erstellen. Die Domainliste in Ihrem Registrar-Konto ist die maßgebliche Quelle; ergänzen Sie Domains, die bei anderen Registraren oder von anderen Teams gehalten werden.
2. DMARC. Fügen Sie die Domains in den Bulk-DMARC-Checker ein und klicken Sie auf Check DMARC (DMARC prüfen). Filtern Sie auf No DMARC und Monitoring only.
3. CNAMEs. Exportieren Sie die Hostnamen jeder Zone, fügen Sie sie in die Bulk-CNAME-Abfrage ein und klicken Sie auf Look up CNAMEs (CNAMEs abfragen). Filtern Sie auf Dangling und Doesn't exist.
4. Weiterleitungen. Fügen Sie jede Domain als http://domain in den Bulk-Redirect-Checker ein und klicken Sie auf Check redirects (Weiterleitungen prüfen). Filtern Sie auf Broken, Loop und lange Ketten.

Jedes Tool nimmt bis zu 100 Zeilen pro Durchlauf, oder 500 nach einer kostenlosen Google-Anmeldung, und lädt eine CSV herunter.

Von Hand

Eine Schleife für DMARC, MX, SPF und wo die Website landet:

printf "fb.com\ninstagr.am\nwikipedia.com\n" > portfolio.txt

while read -r d; do
  p=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1' | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  mx=$(dig +short mx "$d" | sort -n | head -1)
  spf=$(dig +short txt "$d" | grep -o 'v=spf1[^"]*' | head -1 | cut -c1-20)
  web=$(curl -s -o /dev/null -m 10 -L -w '%{num_redirects} hops,%{http_code},%{url_effective}' "http://$d")
  echo "$d | dmarc=${p:-NONE} | mx=${mx:-none} | spf=${spf:-none} | $web"
done < portfolio.txt
# fb.com | dmarc=reject | mx=10 mxa-00082601.gslb.pphosted.com. | spf=v=spf1 redirect=_spf | 2 hops,200,https://www.facebook.com/
# instagr.am | dmarc=reject | mx=1 ASPMX.L.GOOGLE.COM. | spf=v=spf1 include:spf.m | 2 hops,200,https://www.instagram.com/
# wikipedia.com | dmarc=NONE | mx=none | spf=v=spf1 -all | 2 hops,200,https://www.wikipedia.org/

Wir haben das am 9. November 2026 mit drei öffentlichen Kurz- oder Alternativdomains ausgeführt. Das cut hält die SPF-Spalte kurz; lassen Sie es weg, um den vollständigen Eintrag zu sehen. Für den CNAME-Teil nutzen Sie die Schleife aus verwaiste CNAMEs finden.

Die dritte Zeile ist die typische Reserve-Domain: kein MX und ein SPF-Eintrag, der keinen Absender erlaubt, aber kein DMARC-Eintrag, sodass nichts die Empfänger auffordert, Mails abzulehnen, die sie fälschen.

Wie jede Reserve-Domain aussehen sollte

• Sendet keine Mails: ein SPF-Eintrag v=spf1 -all und ein DMARC-Eintrag mit p=reject. Da keine legitimen Mails kaputtgehen können, gibt es keinen Grund, bei none anzufangen. Den Eintrag für geparkte Domains finden Sie unter DMARC-Eintrag-Beispiele.
• Empfängt keine Mails: ein Null-MX. RFC 7505 definiert ihn als einen einzigen MX-Eintrag mit Präferenz 0 und dem Ziel ., der Absendern sagt, dass die Domain keine Mails annimmt. Siehe Null-MX-Einträge.
• Erfundene Subdomains: RFC 9989, der DMARC-Standard seit Mai 2026, führt np= für Subdomains ein, die nicht existieren. Ohne dieses Tag gilt für sie sp= oder p=.
• Website: ein oder zwei permanente Hops auf eine aktive Seite. Eine Reserve-Domain, die mit der Parking-Seite eines Registrars oder einem Fehler antwortet, wirkt verlassen; siehe was eine geparkte Domain ist.
• Keine verwaisten CNAMEs. Entfernen Sie Einträge für Dienste, die Sie nicht mehr nutzen. Die MDN-Seite zur Subdomain-Übernahme empfiehlt, "an inventory of all of your organization's domains and their hosting providers" (ein Verzeichnis aller Domains Ihrer Organisation und ihrer Hosting-Anbieter) zu führen, damit nichts verwaist zurückbleibt. Die Domainliste, die Sie gerade erstellt haben, ist dieses Verzeichnis.

Nächster Schritt: die Domains prüfen, von denen Sie tatsächlich senden

Reserve-Domains müssen abgesichert werden; Versanddomains brauchen saubere Listen. Laden Sie die Liste, an die Sie senden, unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: DMARC für alle Ihre Kundendomains prüfen, Ihre Versanddomains überwachen.