DNS & E-Mail

DMARC ist das zentrale Spam-Schutz-Signal. XICTRAQ liest die Policy aus dem _dmarc-Record: p=none überwacht nur (kein aktiver Schutz, als „schwach“ bewertet), p=quarantine und p=reject erzwingen die Authentifizierung (als „stark“ bewertet). Zusätzlich werden pct (Anteil der erfassten Mails) und rua (Report-Adresse) geprüft — eine durchgesetzte Policy mit pct=100 erschwert den Missbrauch Ihrer Domain für Phishing deutlich.

XICTRAQ liest nicht nur, ob ein SPF-Record existiert, sondern auch dessen Abschluss-Mechanismus: -all (Hard-Fail) wird als „stark“ bewertet, ~all (Soft-Fail) als „mittel“, ?all (Neutral) und +all (Pass-All) als „schwach“. Fehlt der all-Mechanismus ganz, gilt der Record als unvollständig. So sehen Sie sofort, ob Ihr SPF gefälschte Absender tatsächlich abweist oder nur markiert.

BIMI zeigt Ihr Markenlogo neben der Absenderzeile in unterstützenden Postfächern an. XICTRAQ prüft den default._bimi-Record auf das Logo (l=) und ein Verified Mark Certificate (a=, VMC). Voraussetzung ist eine durchgesetzte DMARC-Policy. Der Readiness-Status zeigt, ob nur ein Logo hinterlegt ist oder ob mit VMC auch Gmail und Apple Mail das Logo anzeigen.

MTA-STS erzwingt eine TLS-verschlüsselte Zustellung eingehender Mails und schützt so vor Downgrade-Angriffen. XICTRAQ prüft den _mta-sts-Record und ruft zusätzlich die Policy-Datei unter https://mta-sts.<domain>/.well-known/mta-sts.txt ab (kurzer Timeout, fehlertolerant), um den Modus auszulesen: testing (Beobachtung) oder enforce (aktiv erzwungen).

Alle sechs Signale fließen gewichtet in einen Gesamt-Score (DMARC und SPF am stärksten, dahinter DKIM, dann BIMI/MTA-STS/DNSSEC). Daraus ergibt sich eine Note sowie eine Spam-Risiko-Einstufung (gering / mittel / hoch) und eine priorisierte Liste konkreter Empfehlungen — vom fehlenden SPF-Record bis zur Anhebung der DMARC-Policy.

Der automatische DNS-Check nutzt den lokalen Resolver des Monitoring-Knotens. Zusätzlich können Sie auf Anfrage einen Side-by-side-Vergleich der A-, AAAA-, MX-, NS- und TXT-Antworten gegen Google (DoH), Cloudflare (DoH) und AdGuard (DoH) auslösen (Button „Jetzt vergleichen“ im Tab Netzwerk). Abweichende A-, NS- oder MX-Antworten werden als gewichtige Differenz markiert und deuten auf Geo-Split-DNS oder Propagierungs-Lag hin.

Jede Änderung wird mit Zeitstempel und Vorher/Nachher-Vergleich im Changelog gespeichert. Praktisch für Audit-Trail und Rollback-Empfehlungen.

Pro Domain prüft XICTRAQ das Vorhandensein von DS- und DNSKEY-Records und liest zusätzlich das AD-Flag (Authenticated Data) eines validierenden Resolvers aus. Daraus ergibt sich ein Status: valid (DS, DNSKEY und AD-Flag vorhanden), unverified (DS und DNSKEY, aber AD-Flag fehlt), no-ds (DNSKEY ohne DS-Verankerung) oder unsigned. Ein direkter Match-Check des DS-Records gegen den Registrar bleibt auf der Roadmap.

CAA-Records legen fest, welche Zertifizierungsstellen ein Zertifikat für Ihre Domain ausstellen dürfen. XICTRAQ fragt die issue-, issuewild- und iodef-Einträge ab und bewertet sie: vorhanden und passend zum tatsächlichen Aussteller Ihres aktiven Zertifikats (stark), vorhanden (mittel) oder fehlend — dann darf jede öffentliche CA ausstellen (schwach). Zusätzlich gleicht der Scan ab, ob die Policy den realen Aussteller deckt und ob Wildcard-Ausstellungen gesteuert sind. Bei jeder Änderung des CAA-Satzes wird ein Alert ausgelöst (das Entfernen jeder Sperre als Critical), da eine CAA-Manipulation einer unautorisierten Ausstellung vorausgehen kann. Eine gesetzte CAA-Sperre reduziert dieses Risiko.

Den Empfang von DMARC-Aggregat-Berichten (rua) bietet XICTRAQ noch nicht an: Postfach und Auswertung sind nicht in Betrieb, und die Schnittstelle gibt keine Empfangsadresse aus (GET /websites/:id/dmarc-token antwortet mit 503). Ändern Sie Ihren DMARC-Record deshalb nicht auf eine Adresse unter reports.xictraq.com — Berichte dorthin kämen nicht an, und ein ersetzter rua-Eintrag ginge verloren. Ob Ihr DMARC-Record überhaupt eine rua-Adresse trägt, zeigt die E-Mail-Bewertung weiterhin.