Beliebte Tools

Design

DMARC-Generator

Erstellen Sie Ihren DMARC-Eintrag nach RFC 9989, ausgehend von dem, den Sie jetzt veröffentlichen, und sehen Sie, was Empfänger mit Mails tun, die durchfallen.

RFC 9989, 9990 und 9991 · Ihr aktueller Eintrag, aus Ihrem Browser gelesen · nichts, was Sie eingeben, wird gespeichert
DNS aus Ihrem Browser gelesen

Lädt den Eintrag bei _dmarc Ihrer Domain ins Formular. Oder bauen Sie unten einen: Er aktualisiert sich bei jeder Änderung.

Beispiel

Läuft in Ihrem Browser. Nur DNS-Abfragen verlassen ihn, per HTTPS an den Resolver von Cloudflare (den von Google als zweite Meinung).

Beispiel

Ein Beispieleintrag für example.com

Geben Sie oben Ihre Domain ein, um von dem auszugehen, was sie jetzt veröffentlicht, oder ändern Sie unten etwas. Der Eintrag rechts aktualisiert sich laufend.

pRichtlinie für example.com
tTestmodus
Empfänger wenden eine Stufe weniger an: reject wirkt wie quarantine, quarantine wie none. Schalten Sie ihn aus, um durchzusetzen.
ruaWohin die Aggregatberichte gehen
dmarc@example.com
Tägliche Zählungen, wer als Ihre Domain sendet. Ein Postfach, das Sie lesen, oder ein DMARC-Berichtsdienst.
spSubdomains
news.example.com, mail.example.com …
npSubdomains, die nicht existieren
Ausgedachte Namen wie invoices.example.com, ein Liebling von Spoofern.
adkimAlignment
DKIM
SPF
Relaxed lässt mail.example.com für example.com gelten; Strict verlangt den genauen Namen.
Diese Domain sendet keine Mails
Alles ablehnen und die Einträge ergänzen, die eine geparkte Domain braucht.
Fehlerberichte und mehr
rufWohin die Fehlerberichte gehen
Ein Bericht pro durchgefallener Nachricht. Sie können Nachrichteninhalte enthalten, und Gmail und Microsoft senden sie nicht.
foFehlerberichte senden, wenn

psd= ist nur für Betreiber von Public Suffixes gedacht und wird daher nicht angeboten.

Was mit Mails geschieht, die DMARC nicht bestehen

Mails, die bestehen, sind nie betroffen. Bei Mails, die durchfallen, lesen Empfänger Ihren Eintrag so:

Von example.comexample.com
p=noneentscheidet
—
Zugestelltund berichtet
Von einer Subdomainnews.example.com
p=noneentscheidet
—
Zugestelltund berichtet
Von einem Namen, der nicht existiertx7q.example.com
p=noneentscheidet
—
Zugestelltund berichtet

Eine Richtlinie ist eine Bitte: Empfänger treffen die endgültige Entscheidung. Mit eingeschaltetem Honor DMARC record policy, wie Microsoft es empfiehlt, weist Microsoft 365 Mails, die bei reject durchfallen, mit 550 5.7.1 ab und stellt Mails, die bei quarantine durchfallen, in Junk zu.

Einführung

  1. 1
    Beobachtenp=nonep=none mit Berichten, mindestens einen MonatjetztSie sind hier
  2. 2
    Testp=quarantine; t=yquarantine mit t=y: optional
  3. 3
    Quarantänep=quarantinemindestens so lange, wie Sie beobachtet haben 
  4. 4
    Ablehnenp=rejectwenn Ihre Nutzer nicht an Mailinglisten schreiben 

Bevor Sie veröffentlichen

Bereit zur Veröffentlichung

Ein Eintrag, ohne etwas, das Empfänger überspringen oder falsch lesen würden.

Gut

Wohin Ihre Berichte gehen

Empfänger senden Berichte an die Adresse einer anderen Organisation nur, wenn diese einen Berechtigungseintrag veröffentlicht.

dmarc@example.com ruaInnerhalb von example.com: keine Erlaubnis nötig
OK

Berichtsdienste veröffentlichen einen Eintrag, der jede Domain abdeckt, daher zeigen ihre Adressen meist sofort Berechtigt.

Wohin füge ich das ein?

Wählen Sie Ihren DNS-Anbieter: Die Felder unten sind so geschrieben, wie sein Formular sie will.

Zeile für die Zonendatei
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Nach dem Veröffentlichen

Vollständige Prüfung: example.comDer Link enthält diese Einstellungen, nie einen Schlüssel. Aus Ihrem Browser gefragt: Resolver von Cloudflare, der von Google als zweite Meinung.

DMARC einrichten: Wie erstelle ich einen DMARC-Eintrag?

Veröffentlichen Sie einen TXT-Eintrag namens _dmarc bei Ihrer Domain, der mit v=DMARC1, einer Richtlinie und einer Adresse für Berichte beginnt: Der Generator oben schreibt ihn, und er wirkt, sobald Ihr DNS-Anbieter ihn ausliefert.

Prüfen Sie, dass Ihre Mails schon SPF oder DKIM bestehen, und beginnen Sie dann bei p=none mit einer rua-Adresse, die Sie lesen: Empfänger stellen weiter zu wie bisher und senden Ihnen täglich Berichte, wer als Ihre Domain sendet.

Lesen Sie die Berichte mindestens einen Monat lang, beheben Sie jeden legitimen Absender, der durchfällt, und wechseln Sie dann zu quarantine und reject. Ein Eintrag bei Ihrer Organisationsdomain deckt auch deren Subdomains ab.

  1. 1Bei _dmarc veröffentlichen_dmarc.example.com · TXT
    v=DMARC1; p=none; rua=mailto:dmarc@example.com
  2. 2Empfänger schlagen ihn nachTXT-Abfrage _dmarc.example.com
  3. 3Sie wenden Ihre Richtlinie anp=none → zugestellt
  4. 4Täglich kommen Berichte zurückAggregatbericht (XML, täglich)dmarc@example.com
Ein Eintrag, vier Schritte
DMARC-Generator mit einem für RFC 9989 umgeschriebenen RFC-7489-Eintrag, dem Weg der Richtlinie und den BerichtsrechtenDMARC-Generator mit einem für RFC 9989 umgeschriebenen RFC-7489-Eintrag, dem Weg der Richtlinie und den BerichtsrechtenVon dem ausgehen, was Sie veröffentlichenLaden liest _dmarc aus Ihrem Browser und füllt das Formular; nichts läuft über unseren Server.Jeder Tag, farbigJeder Teil des Eintrags entspricht seiner Einstellung: Zeigen Sie auf einen, um den anderen zu finden.Was sich geändert hat und warumTags, die RFC 9989 entfernt hat, fallen weg, jeweils mit Begründung.So kopieren, wie Ihr Anbieter es willHost, Typ und Wert, jeweils mit Kopieren-Schaltfläche, für Ihren DNS-Anbieter umgeschrieben.Berichtsadressen, geprüftEine Adresse bei einer anderen Organisation wird markiert, und ihr Berechtigungseintrag wird live geprüft.
Ein aus DNS geladener veröffentlichter Eintrag: pct, rf und ri mit Begründung entfernt, jeder Tag in der Farbe seiner Einstellung, und eine Berichtsadresse bei einer anderen Organisation markiert.

Was bedeutet jeder DMARC-Tag?

Ein DMARC-Eintrag ist eine Liste von Paaren tag=value: v sagt, was er ist, p, was mit durchfallenden Mails geschieht, rua, wohin Berichte gehen, und jeder andere Tag ändert nur einen Standardwert.

RFC 9989 behält v, p, sp, adkim, aspf, rua, ruf und fo, fügt np (Namen, die nicht existieren), t (Testmodus) und psd (für Betreiber von Public Suffixes) hinzu und entfernt pct, rf und ri.

Nur v muss an erster Stelle stehen und genau DMARC1 lauten; Tags, die RFC 9989 nicht kennt, werden ignoriert, ein entfernter Tag ist also harmlos, bewirkt aber nichts.

TagWerteStandardWas er bewirkt
vDMARC1erforderlichKennzeichnet den Eintrag; muss an erster Stelle stehen
pnone · quarantine · rejectnoneWas Empfänger mit durchfallenden Mails der Domain tun
spnone · quarantine · rejectpDasselbe für Subdomains, die existieren
np neunone · quarantine · rejectsp, dann pDasselbe für Namen, die nicht existieren
t neuy · nnTestmodus: eine Stufe weniger anwenden
ruamailto:-AdressenkeineWohin die täglichen Aggregatberichte gehen
rufmailto:-AdressenkeineWohin Fehlerberichte je Nachricht gehen
fo0 · 1 · d · s0Wann Fehlerberichte gesendet werden
adkimr · srDKIM-Alignment: relaxed oder strict
aspfr · srSPF-Alignment: relaxed oder strict
psd neuy · n · uuNur für Betreiber von Public Suffixes
pct entfernt0–100Entfernt: nur 0 und 100 funktionierten zuverlässig
rf entferntafrfEntfernt: er hatte nur einen Wert
ri entferntSekundenEntfernt: Berichte kommen ohnehin täglich
Die Tags von RFC 9989

Welche DMARC-Richtlinie sollte ich nutzen: none, quarantine oder reject?

Beginnen Sie bei none mit Berichten, wechseln Sie zu quarantine, sobald jeder legitime Absender besteht, und zu reject, wenn Sie sicher sind: RFC 9989 verlangt mindestens einen Monat bei none und ebenso lange bei quarantine.

none ändert nichts an der Zustellung; quarantine schickt durchfallende Mails in den Spam; reject weist sie ab. Eine Richtlinie ist eine Bitte: Empfänger treffen die endgültige Entscheidung.

Domains, deren Nutzer an Mailinglisten schreiben, SHOULD NOT reject verwenden, weil Listen, die Nachrichten verändern, DMARC für sie brechen. Google schlägt einen schnelleren Weg vor (eine Woche bei none, dann ein kleiner Anteil bei quarantine).

  1. 1
    Beobachtenp=none; rua=…mindestens einen MonatjetztZugestellt und berichtet
  2. 2
    Testp=quarantine; t=yfreiwilligEine Stufe weniger
  3. 3
    Quarantänep=quarantinemindestens noch einmal so langefrühestens am 27. Nov. 2026Spam-Ordner
  4. 4
    Ablehnenp=rejectwenn Ihre Nutzer nicht an Listen schreibenfrühestens am 27. Dez. 2026Abgewiesen
Der schnellere Weg von Googlenone · 1 Wochequarantine · ein kleiner Anteilquarantine 100 %reject (freiwillig)
Die Einführung, mit echten Daten ab heute

Was hat sich mit RFC 9989 bei DMARC geändert?

RFC 9989 (Mai 2026) hat RFC 7489 abgelöst: Er hat pct, rf und ri entfernt, np, t und psd hinzugefügt und findet die Organisationsdomain, indem er im DNS nach oben läuft, statt die Public Suffix List zu lesen.

pct=0 liest sich jetzt als t=y; jedes andere pct entfällt, weil Empfänger es uneinheitlich angewendet haben. Das Größensuffix für Berichte (!10m) wird ignoriert.

Der Baumlauf fragt _dmarc beim Namen und bei jedem übergeordneten Namen, höchstens acht Abfragen; ein sehr tiefer Name sollte daher einen eigenen Eintrag tragen. Die Hilfeseiten von Google und Microsoft beschreiben pct noch.

Vorher
v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com!10m; rf=afrf; ri=86400
Nachher
v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com
  • pct=0 wurde zu t=y
  • rf entfernt
  • ri entfernt
  • !10m entfernt
Der Gang durch den DNS-Baum_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓der erste gefundene Eintrag gilt; höchstens 8 Abfragen
Ein veröffentlichter RFC-7489-Eintrag, umgeschrieben

Wie sende ich DMARC-Berichte an einen anderen Dienst?

Tragen Sie die Adresse des Dienstes in rua ein; gehört seine Domain nicht Ihnen, muss er einen Berechtigungseintrag namens example.com._report._dmarc.reports.example.net (Ihre Domain, dann deren) veröffentlichen, was Berichtsdienste mit einer Wildcard einmal für jede Domain tun.

Ohne diesen Eintrag senden Empfänger die Berichte ins Leere, und nichts sagt Ihnen das. Der Generator prüft jede externe Adresse live und zeigt den Eintrag, den ihr Inhaber veröffentlichen muss.

Nutzen Sie ein Postfach oder einen Dienst, der für Menge gebaut ist: Große Absender bekommen Hunderte Berichte am Tag. Fehlerberichte (ruf) können Nachrichteninhalte enthalten, und Gmail und Microsoft senden sie nicht.

Ihr Eintrag
v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net
fragt
Berechtigungseintragexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"
sendet den Bericht
Der Berichtsdienstreports@rua.vendor.example.net

Berichtsdienste, die eine Wildcard-Berechtigung veröffentlichen

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report
Wer was prüft

DMARC für Absender an Gmail, Yahoo und Outlook.com

Gmail, Yahoo und Outlook.com verlangen von Massenversendern einen DMARC-Eintrag, und p=none genügt; die From-Domain muss zudem mit SPF oder DKIM aligned sein.

Gmail und Outlook.com zählen mehr als 5000 Nachrichten am Tag; Yahoo nennt keine Schwelle. Outlook.com will, dass SPF und DKIM beide bestehen, und weist Mails, die durchfallen, mit 550 5.7.515 ab.

BIMI-Logos brauchen mehr: quarantine oder reject bei der Organisationsdomain und der From-Domain, ohne eine Subdomain-Richtlinie von none.

GmailYahooOutlook.com
SeitFebruar 2024Februar 20245. Mai 2025
Wer betroffen istüber 5000 am Tagkeine Schwelle genanntüber 5000 am Tag
DMARCp=none genügtp=none, und er muss bestehenp=none, im Alignment
SPF und DKIMbeidebeidebeide müssen bestehen
AlignmentSPF oder DKIMrelaxed genügtSPF oder DKIM
Was jeder Postfachanbieter von Massenversendern verlangt

DMARC für eine Domain ohne Mailversand

Veröffentlichen Sie DMARC p=reject, SPF v=spf1 -all und einen Null-MX, mit Wildcard-SPF und -MX für Subdomains und gar keinem DKIM-Eintrag: das Set von M3AAWG von 2022 für geparkte Domains.

Da nichts senden darf, kann reject echten Mails nicht schaden, und Empfänger weisen Fälschungen sofort ab. M3AAWG rät hier nicht mehr zu einem leeren DKIM-Schlüssel (sein Rat von 2015): Veröffentlichen Sie gar keinen DKIM-Eintrag.

Viele geparkte Domains? Lassen Sie jedes _dmarc per CNAME auf einen gemeinsamen Eintrag zeigen, damit eine spätere Änderung nur einmal nötig ist.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .
Ein Fälscher sendet als invoices@example.netAbgewiesen: SPF schlägt fehl, kein DKIM, DMARC sagt reject
Das Set für geparkte Domains für example.net

Wo füge ich den DMARC-Eintrag hinzu?

Bei Ihrem DNS-Anbieter, als TXT-Eintrag namens _dmarc: Die meisten Anbieter ergänzen Ihre Domain selbst, Sie tippen also nur _dmarc, nie _dmarc.example.com.

Tippen Sie bei einem Anbieter, der die Domain ergänzt, den vollen Namen, entsteht _dmarc.example.com.example.com, ein Eintrag, den niemand liest. Wählen Sie im Generator Ihren Anbieter, um seine genauen Felder zu sehen.

Ein Name darf nur einen DMARC-Eintrag haben: Ersetzen Sie den alten, statt einen zweiten hinzuzufügen, sonst ignorieren Empfänger beide.

DNS-AnbieterFeld NameEin langer Wert
Cloudflare_dmarcein Feld: er wird geteilt
GoDaddy_dmarcein Feld: er wird geteilt
Namecheap_dmarcein Feld: er wird geteilt
Squarespace_dmarcnicht dokumentiert
Amazon Route 53_dmarcStrings in Anführungszeichen
Google Cloud DNS_dmarcStrings in Anführungszeichen
Azure DNS_dmarcein Feld: er wird geteilt
DigitalOcean_dmarcnicht dokumentiert
Hostinger_dmarcnicht dokumentiert
IONOS_dmarcnicht dokumentiert
OVHcloud_dmarcnicht dokumentiert
Porkbun_dmarcnicht dokumentiert
cPanel_dmarcein Feld: er wird geteilt
Plesk_dmarcnicht dokumentiert
Hetzner_dmarcStrings in Anführungszeichen
STRATO_dmarcnicht dokumentiert
Bluehost_dmarcnicht dokumentiert
Was Sie eintragen, Anbieter für Anbieter

FAQ zum DMARC-Generator

Was ist ein DMARC-Eintrag?

Ein DMARC-Eintrag ist ein TXT-Eintrag bei _dmarc.yourdomain, der empfangenden Mailservern sagt, was sie mit Mails tun sollen, die vorgeben, von Ihrer Domain zu kommen, aber am SPF- und DKIM-Alignment scheitern, und wohin Berichte darüber gehen. Er beginnt mit v=DMARC1 und enthält eine Richtlinie: none, quarantine oder reject. RFC 9989, im Mai 2026 veröffentlicht, ist der aktuelle Standard.

Wie sollte mein erster DMARC-Eintrag aussehen?

Beginnen Sie mit v=DMARC1; p=none; rua=mailto: plus einer Adresse, die Sie lesen. Er ändert nichts an der Zustellung, lässt Empfänger Ihnen aber täglich Berichte über jeden Server senden, der als Ihre Domain sendet. Wechseln Sie nach mindestens einem Monat, wenn Ihre eigenen Absender bestehen, zu quarantine, dann zu reject, wie RFC 9989 es vorschlägt.

Warum gibt es keine pct-Einstellung?

RFC 9989 hat pct entfernt, weil Empfänger andere Werte als 0 und 100 uneinheitlich angewendet haben. Der Ersatz ist t=y, der Testmodus, der Empfänger bittet, eine Stufe weniger als Ihre Richtlinie anzuwenden: quarantine wirkt wie none, reject wie quarantine. Die Hilfeseiten von Microsoft und Google beschreiben pct noch, aber Empfänger nach RFC 9989 ignorieren es, daher schreibt der Generator es nicht.

Können DMARC-Berichte an Gmail oder Outlook gehen?

Ja, jedes Postfach funktioniert, aber ein persönlicher Posteingang läuft schnell voll: Große Absender bekommen Hunderte Berichte am Tag. Liegt die Adresse bei einer anderen Organisation, muss deren Domain einen Berechtigungseintrag für Ihre Domain veröffentlichen, sonst senden Empfänger nichts. Ein Postfach bei Ihrer eigenen Domain oder ein DMARC-Berichtsdienst vermeidet das Problem.

Brauche ich SPF und DKIM vor DMARC?

Sie können p=none vor allem anderen veröffentlichen: Die Berichte zeigen, welche Absender SPF oder DKIM brauchen. Vor quarantine oder reject muss jeder legitime Mailstrom SPF oder DKIM bestehen, aligned mit Ihrer From-Domain. RFC 9989 empfiehlt beides, und eine Domain bei reject sollte mit DKIM signieren, weil Weiterleitungen SPF brechen.

Was ist der Unterschied zwischen rua und ruf?

rua erhält Aggregatberichte: tägliche XML-Zusammenfassungen, die Nachrichten nach sendendem Server und Ergebnis zählen, ohne Nachrichteninhalt. ruf erhält Fehlerberichte über einzelne Nachrichten, die Header oder Inhalt enthalten können. Viele große Anbieter, darunter Gmail und Microsoft, senden keine Fehlerberichte, daher zählt rua; ruf ist optional.

Sollte ich Strict Alignment verwenden?

Meist nicht. Relaxed Alignment lässt Mails, die über eine Subdomain wie bounce.example.com signiert oder gebounct werden, für example.com gelten, so senden SendGrid, Amazon SES und Mailgun. Strict Alignment braucht die genaue Domain und lässt diese durchfallen. Strict hindert aber jeden, der das DNS einer Subdomain kontrolliert, daran, als übergeordnete Domain durchzugehen, es passt also zu streng geführten Domains.

Was bewirken sp und np?

sp legt die Richtlinie für Subdomains fest, die existieren, wie news.example.com, und np für Namen, die gar nicht existieren, wie ein ausgedachtes invoices.example.com. Ohne sie folgen Subdomains p. np=reject betrifft nur durchfallende Mails von Namen, die Sie nie angelegt haben, und so versuchen Spoofer oft, an der schwächeren Richtlinie einer übergeordneten Domain vorbeizukommen.

Wie lange braucht ein DMARC-Eintrag, bis er wirkt?

Er wirkt, sobald die Server Ihres DNS-Anbieters damit antworten, meist wenige Minuten nach dem Speichern. Ein Empfänger, der kurz davor gefragt hat, merkt sich die alte Antwort womöglich, bis seine Cache-Zeit abläuft. Berichte kommen etwa einen Tag später, weil Empfänger sie alle 24 Stunden senden. Mit Prüfen, ob veröffentlicht im Generator sehen Sie, was DNS jetzt antwortet.

Ist der DMARC-Generator kostenlos, und wird meine Domain gespeichert?

Er ist kostenlos, ohne Anmeldung. Der Eintrag wird in Ihrem Browser erstellt, und das Laden Ihres aktuellen Eintrags fragt den Resolver von Cloudflare (und den von Google, wenn Cloudflare langsam ist) per HTTPS direkt aus Ihrem Browser, Ihre Domain läuft also nicht über unseren Server. Der Generator fügt nie eine Berichtsadresse von uns hinzu: Jede Adresse im Eintrag haben Sie getippt.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Verwandte Tools