Beim Hinzufügen von Google Workspace bleibt häufig ein zweiter v=spf1-Eintrag neben dem alten bestehen. Empfänger melden dann permerror, sodass SPF bei jeder Nachricht fehlschlägt. Ein DKIM-Eintrag, der in einer BIND-Datei als google._domainkey.example.com ohne abschließenden Punkt steht, landet unter google._domainkey.example.com.example.com. Ein DMARC-Eintrag mit p=none und [email protected] (ohne mailto:) bietet weder Schutz noch Berichte. Gmail und Yahoo (seit Februar 2024) sowie Outlook.com (seit Mai 2025) verschieben Massenmails ohne SPF, DKIM und DMARC in den Spamordner oder lehnen sie ab. Dieser Skill findet solche Fehler in Ihren Zonendateien vor der Veröffentlichung und zeigt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre DNS-Dateien aus: BIND-Zonendateien (db.example.com, example.com.zone), Cloudflares BIND-Export, Route-53-JSON (Ausgabe von list-resource-record-sets, das darin enthaltene ResourceRecordSets-Array und Änderungsstapel) sowie CSV-Exporte mit den Spalten type, name und content. Er liest sie wie DNS-Server und Empfänger: $ORIGIN, $TTL, @ und relative Namen (auch wenn der Zonenname aus named.conf stammt), über mehrere Zeilen geklammerte Einträge und TXT-Werte aus mehreren Zeichenfolgen in Anführungszeichen, die ohne Leerzeichen verbunden werden. Er dekodiert jeden DKIM-Schlüssel, um seine tatsächliche Größe zu ermitteln, zählt SPF-Abfragen und verfolgt include-Verweise, deren Einträge in den gescannten Dateien liegen. Er berücksichtigt, dass Subdomain-Zonen DMARC erben, ein Null-MX keinen Mailbetrieb bedeutet, per CNAME oder NS delegierte externe DMARC- und DKIM-Dienste als vorhanden gelten und zur Einbindung gedachte Einträge ohne all enden dürfen. Er führt keine DNS-Abfragen aus. Er liefert BLOCKIEREN, PRÜFEN oder NICHT MARKIERT, jeweils mit Datei, Zeile, Begründung und sichererem Vorgehen. Lange Schlüssel und Token werden im Bericht gekürzt.

Was geprüft wird

BLOCKIEREN (vor der Veröffentlichung beheben)

• E01: eine Domain (Zonen-Apex) mit MX-Einträgen, aber ohne SPF-TXT-Eintrag (ein Eintrag vom Typ SPF zählt nicht)

• E02: SPF mit +all, all oder ?all am Ende oder ohne all und ohne redirect (neutral, wie ?all)

• E03: mehrere v=spf1-Einträge unter demselben Namen (permerror)

• E04: eine Maildomain ohne nutzbaren DMARC-Eintrag unter _dmarc: fehlender oder falsch benannter Eintrag, mehrere Einträge, v=DMARC1 nicht an erster Stelle oder ungültiges p= ohne rua

• E05: SPF-Syntaxfehler: Tippfehler, include: mit Leerzeichen, eine IP in include: oder a:, ungültige ip4/ip6-Bereiche, ohne Leerzeichen an v=spf1 angehängte Zeichenfolgen, Elemente nach all

• E06: mehr als 10 anhand der Dateien gezählte SPF-DNS-Abfragen (RFC 7208)

• E07: ein DKIM-RSA-Schlüssel unter 1024 Bit, den Prüfer ablehnen müssen (RFC 8301)

PRÜFEN (vor der Veröffentlichung prüfen)

• E11: DMARC p=none oder fehlendes p=, pct unter 100, t=y, sp=none oder np=none

• E12: DMARC ohne rua oder rua ohne mailto:

• E13: 6 bis 10 gezählte SPF-Abfragen sowie include-Verweise, die nicht in den Dateien enthalten sind

• E14: SPF-Mechanismus ptr

• E15: eine Maildomain ohne funktionierenden DKIM-Schlüssel unter _domainkey (beliebiger Selektor; Delegierung über CNAME, NS und DNAME zählt als vorhanden)

• E16: ein DKIM-RSA-Schlüssel mit 1024 bis 2047 Bit

• E17: DKIM-Einträge ohne p=, mit abgeschnittenem oder beschädigtem Schlüssel, v= nicht an erster Stelle, unbekanntem k=, Testmodus t=y oder ausschließlich sha1

• E18: MX mit einer IP-Adresse oder einem CNAME als Ziel

• E19: Namen von Maileinträgen oder MX/CNAME-Ziele in BIND-Dateien, die als vollständige Namen ohne abschließenden Punkt geschrieben sind

• E20: Domains, die keine E-Mails versenden, aber weder v=spf1 -all noch DMARC haben (Reverse- und Subdomain-Zonen werden übersprungen)

• E21: Subdomains mit MX, aber ohne SPF, häufig nur für den Empfang (veröffentlichen Sie dort v=spf1 -all)

Im Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein unsicherer und ein sicherer DNS-Beispielordner (zwei BIND-Zonen, ein Cloudflare-Export, eine Route-53-Auflistung und ein CSV-Export für reservierte Beispieldomains) sowie der tatsächliche Scanner-Bericht für das unsichere Beispiel

Grenzen

Der Scanner liest die Einträge in den Dateien. Include-Verweise, CNAME-Ziele, delegierte DMARC- und DKIM-Hosts sowie Schlüssel außerhalb der gescannten Dateien werden nicht abgefragt. Die Abfragezählung umfasst nur sichtbare Daten. Fehlende Einträge werden nur für vollständige Zonen gemeldet (SOA-Eintrag oder CSV-Export); Ausschnitte, Änderungsstapel und einzelne Seiten einer Route-53-Auflistung werden Eintrag für Eintrag geprüft. Terraform- und andere Provider-Konfigurationen werden nicht gelesen, DMARC-Alignment und tatsächliche Zustellung nicht geprüft. NICHT MARKIERT ist keine Garantie.

Archivinhalt

Eine ZIP-Datei mit 18 Dateien: SKILL.md, der Scanner in scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (10 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Anwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts versendet.