DMARC-Bericht-Analysator

Legen Sie die Aggregatberichte ab, die Empfänger Ihnen senden — .xml, .xml.gz oder ein .zip mit mehreren — und erhalten Sie zurück, was das XML verbirgt: welche Quellen als Ihre Domain senden, wie viel davon die SPF- und DKIM-Ausrichtung besteht, was an beiden scheiterte und was zuerst zu beheben ist, in einfacher Sprache. Alles wird in Ihrem Browser entpackt und geparst; die Dateien verlassen Ihren Browser nie, denn ein DMARC-Bericht ist eine Karte, wer Ihre E-Mails sendet — und wer es vortäuscht.

Oder legen Sie die Dateien irgendwo in diesem Feld ab. Berichte verschiedener Empfänger und verschiedener Tage werden in einer Tabelle zusammengeführt, gruppiert nach Quelle.

Das Beispiel ist erfunden: ein gesunder Absender, ein Weiterleiter, eine falsch ausgerichtete Marketing-Plattform, eine unbekannte Quelle, die an allem scheitert.

Was ein Aggregatbericht eigentlich ist

DMARC hat zwei Hälften. Die erste ist der Eintrag, den Sie veröffentlichen — Richtlinie, Ausrichtungsmodi, Berichtsadresse — und sie ist die Hälfte, die jeder Prüfer lesen kann, auch die Prüfung der E-Mail-Zustellbarkeit auf dieser Website. Die zweite Hälfte ist die Rückmeldungsschleife: Jeder große Empfänger, der E-Mails sieht, die vorgeben, von Ihrer Domain zu stammen, fasst zusammen, was er gesehen hat, und sendet die Zusammenfassung an Ihre rua-Adresse, üblicherweise einmal am Tag, als XML. Diese Datei ist der einzige Beleg dafür, wer sonst noch als Sie sendet. Spoofing-Kampagnen, eine Marketing-Plattform, die ein Kollege vor zwei Jahren angeschlossen hat, der Überwachungsdienst, der noch einen stillgelegten Server verwendet — all das erscheint in Aggregatberichten Wochen, bevor es irgendwo sonst auftaucht, falls sie überhaupt jemand liest. Fast niemand liest sie, weil rohes XML mit verschachtelten policy_evaluated-Elementen nahezu unlesbar ist und die Dateien gezippt in einem Postfach verstauben. Genau diese Lücke füllt dieser Analysator: dieselbe Datei, verwandelt in eine Tabelle von Quellen und Urteilen, mit jedem Fehler übersetzt in die Behebung, die er braucht. Der begleitende Leitfaden Ihre DMARC-Berichte lesen erklärt das Vokabular des Formats — Disposition, Ausrichtung, der Unterschied zwischen einem Authentifizierungsergebnis und einem ausgerichteten — an einem vollständig durchgerechneten Beispiel.

Zwei Gewohnheiten machen die Berichte mehr wert. Erstens: Lesen Sie sie, bevor Sie die Richtlinie durchsetzen: Eine p=none-Richtlinie mit Berichten ist ein Überwachungssystem, und die Wochen, in denen sie läuft, lehren Sie jeden legitimen Absender, sodass der Übergang zu Quarantäne und Ablehnung nichts Echtes bricht. Zweitens: Behandeln Sie jede unbekannte Quelle als Ticket, nicht als Kuriosität — identifizieren Sie sie, richten Sie sie aus oder sehen Sie zu, wie die Durchsetzung sie beendet, aber lassen Sie einen unerkannten Strom nie in dem „wahrscheinlich in Ordnung“-Stapel sitzen, denn genau in diesem Stapel versteckt sich Spoofing. Beachten Sie, was Aggregatberichte absichtlich nicht enthalten: keine Nachrichteninhalte, keine Betreffzeilen, keine Empfängeradressen. Es sind Zählungen und Urteile pro Quelle, und deshalb können sie mit dem Support-Team eines Anbieters geteilt werden — als Datei, die Sie bewusst übergeben, nicht als Upload an ein Werkzeug. Diese Seite behält diese Eigenschaft: Die Analyse geschieht dort, wo die Datei bereits ist, auf Ihrem Rechner.

Häufig gestellte Fragen

Was ist ein DMARC-Aggregatbericht?

Er ist die tägliche Rückmeldedatei, die Empfänger (Google, Microsoft, Yahoo und die übrigen) an die Adresse im rua-Tag Ihres DMARC-Eintrags senden. Für jede Quelle, die E-Mails gesendet hat, die vorgeben, von Ihrer Domain zu stammen, listet der Bericht die Quell-IP, die Nachrichtenzahl, die vom Empfänger angewandte Disposition und ob SPF und DKIM mit Ihrer From-Domain ausgerichtet waren. Er ist der einzige Ort, an dem Spoofing Ihrer Domain als Daten sichtbar wird statt als Beschwerde eines verwirrten Kunden. Der Leitfaden Ihre DMARC-Berichte lesen geht einen echten Bericht Zeile für Zeile durch.

Wie erhalte ich diese Berichte für meine eigene Domain?

Veröffentlichen Sie einen DMARC-Eintrag mit einer Berichtsadresse — v=DMARC1; p=none; rua=mailto:[email protected] — und die Empfänger beginnen innerhalb etwa eines Tages zu senden. Wenn Sie noch keinen Eintrag haben oder den vorhandenen prüfen möchten, führen Sie zuerst die Prüfung der E-Mail-Zustellbarkeit aus: Sie liest den Eintrag, die Richtlinie und ob eine Berichtsadresse veröffentlicht ist. Die Berichte kommen als kleine XML-Dateien, üblicherweise gzip-komprimiert oder in einem Zip gebündelt, und genau das öffnet dieser Analysator.

Ist es sicher, einen Bericht hier zu öffnen? Wohin geht die Datei?

Nirgendwohin. Die Datei wird in Ihrem Browser, auf dieser Seite, entpackt und geparst; nichts wird hochgeladen, übertragen oder gespeichert. Das ist bewusst so gestaltet, denn Aggregatberichte sind eine Karte Ihrer E-Mail-Infrastruktur — jeder Sendedienst, den Sie nutzen, jede IP und jedes gegen Sie gerichtete Spoofing. Diese Karte auf den Server eines Fremden hochzuladen oder in einen KI-Chat einzufügen, der Protokolle behält, übergibt die Karte Leuten, für die sie nie gedacht war.

Eine Quelle, die ich nicht kenne, scheitert an SPF und an DKIM. Ist das Spoofing?

Es ist entweder Spoofing oder ein Absender, von dem Ihnen niemand erzählt hat — und der Bericht allein kann die beiden nicht trennen, weshalb der Analysator es als zu klärende Frage formuliert, nicht als Urteil. Gehen Sie es der Reihe nach durch: Gehört die IP zu einem Anbieter, den Ihre Organisation bezahlt (ein CRM, ein Support-Desk, ein altes Marketing-Werkzeug, ein vergessener Überwachungsdienst)? Ist das Volumen stetig und klein (ein falsch konfiguriertes internes System) oder stoßweise und groß (eine Kampagne)? Solange Ihre Richtlinie p=none ist, wird diese Post so oder so zugestellt; sobald jeder legitime Absender ausgerichtet ist und Sie Quarantäne oder Ablehnung durchsetzen, wird der unerkannte Strom abgelehnt, egal welcher der beiden er war.

Meine eigene legitime Post scheitert. Was behebe ich zuerst?

Die Ausrichtung, fast immer beim Anbieter. SPF richtet sich nicht aus, wenn der Anbieter von seiner eigenen Bounce-Domain sendet — beheben Sie das mit einer eigenen Return-Path-Subdomain, damit die Umschlag-Domain Ihre ist. DKIM richtet sich nicht aus, wenn der Anbieter mit seiner eigenen Domain signiert oder gar nicht signiert — beheben Sie das, indem Sie in den Einstellungen des Anbieters die DKIM-Signatur mit Ihrer Domain einschalten. Ein ausgerichteter Mechanismus genügt, um DMARC zu bestehen, aber DKIM ist der robustere der beiden, weil es Weiterleitungen überlebt. Beheben Sie Absender in Volumenreihenfolge, beobachten Sie, wie die nächsten Berichte sauber werden, und erhöhen Sie erst dann die Richtlinie.