DNS Inspector fragt die DNS-Einträge einer Domain ab (A, AAAA, CNAME, MX, NS, TXT, CAA, SOA) sowie die Mail-Authentifizierungseinträge DMARC, DKIM und SPF und führt zusätzlich ein DNS-Security-Audit aus. Die Abfragen erfolgen direkt in deinem Browser per DNS-over-HTTPS.
Gib in das Feld Target eine Domain ein, z. B. example.com, und drücke auf Domain prüfen oder die Enter-Taste. Ein Protokoll-Präfix (http://) und ein Punkt am Ende werden automatisch entfernt. Die Domain wird mit kanonischem Namen in Kleinschreibung geprüft.
DKIM-Schlüssel werden unter <selector>._domainkey.<domain> veröffentlicht. Da die Selectors je nach Anbieter variieren, kannst du mehrere kommagetrennte Selectors eingeben, z. B. google,selector1,selector2. In den Ergebnissen siehst du, welche Selectors einen gültigen Schlüssel tragen.
SPF wird aus dem mit v=spf1 beginnenden TXT-Eintrag gelesen. DMARC wird aus _dmarc.<domain> gelesen und in seine Tags zerlegt. DKIM fragt die öffentlichen Schlüssel der von dir eingegebenen Selectors ab. Alle drei werden in den Ergebnissen angezeigt und im Security-Abschnitt validiert.
Der Abschnitt DNS-Sicherheit bewertet die SPF-Validierung (Eintrag vorhanden, gültige Syntax, Anzahl DNS-Lookups, Catch-all), die DMARC-Validierung (Eintrag vorhanden, Policy, strikte Ausrichtung, Report-Adresse), das DKIM-Lookup (gültige Schlüssel), die CAA-Prüfung (Issuer-Einträge), den DNSSEC-Status (DNSKEY-/DS-Einträge) und die Nameserver-Konsistenz (Google vs. Cloudflare, Glue-Einträge). Jeder Befund hat einen Status OK, WARNUNG, FEHLER oder INFO.
Record-Abfragen und DNSSEC erfolgen über Google DoH, die Nameserver-Konsistenz über Google + Cloudflare DoH. Für den Resolver-Vergleich gehen Abfragen zusätzlich an DNS.SB, doh.li und AdGuard — sowohl direkt als auch über den Proxy dieses Servers. Auf diesem Server werden keine personenbezogenen Daten gespeichert. Dein Browser sendet den abgefragten Domainnamen sowie die üblichen HTTP-Verbindungsdaten an den jeweiligen DoH-Anbieter.
Dieselben Einträge (A, AAAA, MX, NS, TXT) werden zusätzlich bei mehreren öffentlichen DNS-Diensten abgefragt — Google, Cloudflare, DNS.SB, doh.li und AdGuard — je einmal direkt aus deinem Browser und einmal über den Server-Proxy. Die Einträge sollten überall identisch sein; Abweichungen deuten auf Propagationsverzögerungen, DNS-Filterung oder einen clientseitigen Proxy hin, der Antworten umschreibt.