Changelog

Die wichtigsten Änderungen je veröffentlichter Version.

Version 1.5.9

Neues Werkzeug Mail Check: eine echte E-Mail an eine erzeugte Einmaladresse schicken und am tatsächlichen Versand prüfen lassen. Dazu werden Zertifikatsketten-Fehler nicht mehr als „Server nicht erreichbar“ gemeldet.

Neu: Mail Check (nur mit Konto)

Die Werkzeugseite zeigt eine Einmaladresse, gültig 30 Minuten. Sie entsteht beim Aufruf der Seite und verfällt von selbst; sie nimmt in dieser Zeit mehrere Nachrichten an, jede ergibt ein eigenes Ergebnis.
SPF gegen die IP-Adresse, die die Mail wirklich eingeliefert hat, und gegen den Umschlag-Absender (MAIL FROM), bei Null-Sender gegen den HELO-Namen (RFC 7208 §2.4).
DKIM wird kryptografisch nachgerechnet: Hash über den kanonisierten Text und Signatur gegen den im DNS veröffentlichten Schlüssel (RFC 6376, Ed25519 zusätzlich RFC 8463). Ein fehlender Schlüssel ist permerror, kein fail: die Signatur ist dann nicht falsch, sondern unprüfbar.
DMARC als Ausrichtung von SPF und DKIM gegen den sichtbaren Absender, relaxed oder strict nach aspf/adkim (RFC 9989 §3.1).
Blocklisten für die einliefernde IP, dieselbe kuratierte Auswahl wie im Blocklist Check. Listen ohne Antwort werden benannt, statt als „sauber“ zu gelten.
Spam-Bewertung durch SpamAssassin, mit den ausschlaggebenden Regeln und ihren Punkten. Hinweis unterhalb der Schwelle, Warnung darüber. Ohne erreichbare Bewertung erscheint kein Befund statt einer Entwarnung.
Der Nachrichtentext wird nicht gespeichert. DKIM und die Spam-Bewertung lesen ihn im Arbeitsspeicher, danach wird er verworfen; in die Datenbank gelangt er nie.
Das Ergebnis samt Kopfzeilen liegt eine Stunde bereit und verschwindet dann von selbst. Dauerhaft gespeichert wird nur auf Klick, und dann das Ergebnis ohne die Kopfzeilen. Löschfrist 30 Tage statt der üblichen 180, auch beim Verlängern.
Auf eingehende Post wird nie automatisch geantwortet, weder mit Bestätigung noch mit Unzustellbarkeitsmeldung. Unbekannte Empfänger werden bereits im SMTP-Dialog mit 550 abgelehnt, statt angenommen und später verworfen zu werden.

Zertifikatsketten

Scheitert die Prüfung der Zertifikatskette, steht das im Ergebnis: mit Grund (selbstsigniert, selbstsigniert in der Kette, unbekannte CA, abgelaufen, noch nicht gültig, Hostname passt nicht) statt einer allgemeinen Verbindungsmeldung. Bisher kam jeder dieser Fälle als HTTP-Fehler an. Betrifft jedes Werkzeug, das per HTTPS abruft.
Exchange Server Check: eigener Befund exchange.cert_chain_untrusted als Fehler, mit Aussteller, Inhaber und Laufzeit des tatsächlich ausgelieferten Zertifikats. Bisher meldete das Werkzeug an dieser Stelle „nicht erreichbar“, obwohl der Server antwortete.
Hinweis auf die GoDaddy-Umstellung auf die Wurzel R1, wenn ein selbstsigniertes Zertifikat in der Kette steht und der Aussteller GoDaddy ist: liegt das selbstsignierte R1-Root im Zertifikatsspeicher des Servers, liefert Windows Schannel den kurzen Pfad darüber aus statt des cross-signierten Wegs zurück zu G2.

Startseite

Eigene Gruppe für die Generatoren. Bisher waren sie nur über das Navigationsmenü erreichbar.
Einleitung und Seitenleiste nennen den Stand der Anmeldung: alle Werkzeuge ohne Konto nutzbar, ein Konto ist freiwillig und schaltet nur Zusätzliches frei.

Version 1.4.1

Neues Werkzeug SPF zusammenfassen, DMARC nach RFC 9989, CAA nach RFC 9495. Ohne Anmeldung bleibt alles frei nutzbar; das neue Werkzeug ist die einzige Betriebsart, die ein Konto verlangt.

Neu: SPF zusammenfassen (nur mit Konto)

Ersetzt include: durch die dahinterliegenden ip4:- und ip6:-Bereiche. Ein Record ohne include: kostet keinen der zehn Lookups aus RFC 7208 §4.6.4.
Vorhandenen Record per DNS-Abfrage übernehmen. Er wird in dieselben geführten Zeilen zerlegt, die der SPF Generator anbietet.
Passt das Ergebnis nicht in 450 Oktett (Name plus Recordtext, RFC 7208 §3.4), entsteht eine Kette: Wurzel-Record mit include: auf selbst angelegte Unternamen, geschnitten je ursprünglichem Eintrag, höchstens acht Glieder.
Kein Ergebnis bei: nicht auflösbarem include:, exists:, ptr oder redirect= im Record, gerissenem Lookup-Deckel, oder wenn die Kette nicht weniger Lookups kostet als das Original.
a und mx bleiben unverändert. Includes ohne IP-Liste (exists:-Makro, etwa Salesforce) bleiben stehen und werden benannt.
Der Qualifier des all-Mechanismus bleibt erhalten. Kettenglieder enden auf -all.
Das Original bleibt gespeichert und bearbeitbar; die zusammengefasste Fassung wird daraus abgeleitet und trägt ihr Erzeugungsdatum. Erneutes Zusammenfassen vergleicht die Bereiche und nennt weggefallene und neue.
Veröffentlichung prüfen: jeder Eintrag wird im DNS nachgeschlagen, fehlende, abweichende und mehrfach vorhandene je Name gemeldet. Abweichende Schreibweise und Reihenfolge gelten nicht als Unterschied, eine andere Präfixlänge schon.

DMARC: RFC 9989

pct ist in RFC 9989 gestrichen und wird von Empfängern ignoriert. Der DMARC Check meldete dafür bisher eine Teil-Abdeckung, also das Gegenteil der Wirkung; jetzt steht dort ein Hinweis, dass der Tag wirkungslos ist. Der Entwurfs-Vergleich wertet ihn nicht mehr.
DMARC Generator: pct entfällt, np kommt dazu, die Policy für nicht existierende Unterdomains. Sie wird weggelassen, wenn sie sp beziehungsweise p entspricht, und gewarnt, wenn sie schwächer ist.

CAA: issuemail (RFC 9495)

issue und issuewild gelten nicht für S/MIME-Zertifikate. Ohne issuemail darf jede Zertifizierungsstelle solche Zertifikate auf Adressen der Domain ausstellen; der Check weist das aus.
issuemail zählt als bekannter Tag. Mit kritischem Flag erscheint keine Fehlmeldung über einen unbekannten Tag mehr.

Verbesserungen

NXDOMAIN wird von „kein Record“ unterschieden: eine nicht existierende Domain wird als solche gemeldet, in jedem Werkzeug.
SPF Check: neue Warnung, wenn Name und Recordtext zusammen 450 Oktett erreichen (RFC 7208 §3.4, Antwortgröße für UDP). Die Meldung zu Records über 255 Zeichen bleibt ein Hinweis.
SPF Generator: der Lookup-Zähler weist sich als Untergrenze aus und verweist für die tatsächliche Zahl auf den SPF Check.
Entwurfs-Vergleich DMARC: ausgeschriebene Standardwerte gelten nicht als Abweichung.
Englische Fassung: keine deutschen Abbruchgründe bei DNS-Fehlern mehr.

Version 1.0.4

Die erste Hauptversion, und die größte Erweiterung seit dem Start. Mailtools kann ab jetzt nicht mehr nur prüfen, sondern auch erzeugen: vier Generatoren bauen die DNS-Einträge, die eine Domain für sichere E-Mail braucht. Und es gibt erstmals Benutzerkonten, mit denen sich Ergebnisse und erzeugte Einträge aufbewahren lassen.

Ohne Anmeldung ändert sich nichts. Alle Werkzeuge und alle Generatoren bleiben frei nutzbar, vollständig und ohne Konto. Das war von Anfang an so gedacht und bleibt so.

Neu: Generatoren

SPF Generator. Sie stellen Zeile für Zeile zusammen, wer für Ihre Domain senden darf. Die Art des Eintrags wählen Sie aus einer Liste, nur den Wert geben Sie selbst ein: Tippfehler wie ipv4 statt ip4 oder frei erfundene Mechanismen sind damit ausgeschlossen. Jeder Wert wird geprüft, bevor er in den Record kommt, und der fertige Eintrag zeigt seine Länge in Byte und die Zahl der verbrauchten DNS-Lookups. Angeboten wird bewusst weder ptr noch +all.
DMARC Generator. Policy, Berichtsadresse, Unterdomains und Ausrichtung aus Auswahlfeldern. Die Hinweise sagen in Klartext, was die gewählte Stufe tatsächlich bewirkt: dass p=none nichts durchsetzt, dass ein Eintrag mit p=none und ohne Berichtsadresse buchstäblich gar nichts tut, und dass eine schwächere Regel für Unterdomains genau die Lücke öffnet, die Angreifer suchen. Liegt die Berichtsadresse in einer fremden Domain, nennt der Generator den Eintrag, den deren Zone dafür braucht.
MTA-STS Generator. Erzeugt beide Teile, aus denen ein MTA-STS-Setup besteht: den TXT-Eintrag und die Policy-Datei, die per HTTPS ausgeliefert werden muss, jeweils mit der vollständigen Adresse, an die sie gehören. Der Eintrag allein bewirkt nichts, und die Datei allein wird nie gefunden.
TLS-RPT Generator. Damit Zustellprobleme mit Verschlüsselung nicht still bleiben. Die Art des Berichtsziels (E-Mail-Adresse oder HTTPS-Endpunkt) wählen Sie aus, das nötige mailto: ergänzt der Generator selbst.

Alle vier sagen Ihnen auch, unter welchem Namen der Eintrag ins DNS gehört. Das klingt nebensächlich und ist der häufigste Einrichtungsfehler überhaupt: ein richtiger Record unter falschem Namen wird nie gefunden, und es fällt nicht auf, weil einfach nichts passiert. DMARC gehört auf _dmarc, MTA-STS auf _mta-sts, TLS-RPT auf _smtp._tls vor der Domain.

Neu: Konto (nur mit Anmeldung)

Mit dieser Version gibt es erstmals Benutzerkonten. Alle Werkzeuge und alle Generatoren bleiben ohne Anmeldung vollständig nutzbar, in vollem Umfang und ohne Einschränkung. Ein Konto nimmt niemandem etwas weg, es schaltet nur Zusätzliches frei:

Ergebnisse speichern. Ein Prüfergebnis lässt sich mit einem Klick ablegen und später wieder ansehen, so wie es war. Auf der Seite des jeweiligen Werkzeugs stehen Ihre letzten gespeicherten Ergebnisse dazu gleich darunter.
Erzeugte Records speichern. Was Sie in einem Generator zusammengestellt haben, können Sie behalten, später wieder öffnen und ändern. Ein erneutes Speichern überschreibt denselben Eintrag, statt einen zweiten anzulegen.
Gespeicherte Records im DNS nachprüfen. Der eigentliche Nutzen: Sie erzeugen einen Eintrag, tragen ihn beim DNS-Anbieter ein, und danach weiß niemand, ob das wirklich passiert ist. Ein Klick auf „Jetzt prüfen" lässt das passende Werkzeug vollständig laufen und sagt zusätzlich, ob im DNS tatsächlich das steht, was Sie gespeichert haben. Weicht es ab, wird benannt, was fehlt und was zu viel ist.
Registrierung mit Bestätigung der E-Mail-Adresse, Passwort zurücksetzen und Konto löschen. Beim Löschen verschwinden alle zugehörigen Daten mit, sofort und ohne Nachfrage an anderer Stelle.

Gespeicherte Daten werden nach einer festen Frist automatisch gelöscht; welche Daten das sind und wie lange sie liegen, steht in der Datenschutzerklärung.

Verbesserungen

Die Navigation zeigt jetzt die einzelnen Werkzeuge und Generatoren statt nur die Kategorien. „Checks" und „Generatoren" öffnen sich als Liste, in der jeder Eintrag direkt anklickbar ist. Die Menüs funktionieren auch ohne JavaScript und sind per Tastatur bedienbar.
MTA-STS und TLS-RPT Check liest den TLS-RPT-Eintrag jetzt mit derselben Syntaxprüfung wie der neue Generator. Am Ergebnis ändert sich nichts, aber die beiden können nicht mehr auseinanderlaufen.
Blocklist Check: kein Freispruch mehr ohne Zahlen. Die Ergebniszeile lautete bisher schlicht „Auf keiner Liste gefunden“, auch wenn einzelne Listen gar nicht geantwortet hatten. Ein Lauf, bei dem zwei Listen ausgefallen waren, sah damit genauso aus wie ein vollständiger. Jetzt steht dort, wie viele Listen tatsächlich geantwortet haben und wie viele nicht erreichbar waren. Antwortet keine einzige Liste, heißt das Ergebnis „Nichts geprüft“ statt „sauber“.
SPF Check: lange Records sind zuordenbar. Der Hinweis, dass ein Record über 255 Zeichen lang ist und im DNS aufgeteilt wird, erschien bei einer Kette aus mehreren include: bis zu sechsmal, wortgleich und unterscheidbar allein an der Zeichenzahl. Er nennt jetzt die Domain, aus deren Record er stammt.
Email Header Analyzer. Steht der Kommentar der Authentication-Results-Zeile schon in Klammern, kommt kein zweites Klammerpaar mehr darum.

Version 0.17.2

Verbesserungen

Zertifikat Check warnt jetzt, wenn ein Zertifikat in den nächsten 14 Tagen abläuft. Bisher meldete das Werkzeug nur bereits abgelaufene Zertifikate, also ausgerechnet den Fall, in dem es zum Handeln schon zu spät ist. Der IMAP/POP3/SMTP TLS Test tat das bereits.
SMTP Test und IMAP/POP3/SMTP TLS Test bewerten jetzt auch den Signaturalgorithmus des Zertifikats und warnen bei veralteten Verfahren (SHA-1, MD5). Diese Prüfung gab es bisher nur im Zertifikat Check.
Auf den englischen Seiten sind jetzt auch die Formularfelder, die Ladehinweise und die Abbruchmeldungen englisch. Bisher stand dort ausgerechnet das Eingabeformular auf Deutsch.

Fehlerbehebungen

SPF Check meldete von mehreren nicht auflösbaren include:-Verweisen nur den ersten. Enthielt ein Record drei defekte Includes, war nach der Meldung zum ersten nicht zu erkennen, dass auch die anderen beiden nicht auflösen. Jetzt wird jeder einzeln aufgeführt.
Ein Null-MX-Record (die ausdrückliche Ansage „diese Domain empfängt keine E-Mail") wurde je nach Werkzeug unterschiedlich bewertet: eine leicht fehlerhafte Schreibweise galt dem SMTP Test als Null-MX, dem SPF Check nicht. Jetzt gilt in allen Werkzeugen dieselbe, strenge Lesart nach RFC 7505.
Autoconfig Check konnte an Anbieter-Konfigurationen mit sehr vielen Server-Einträgen hängenbleiben, weil jeder Eintrag eigene DNS-Abfragen auslöste. Die Zahl der geprüften Einträge ist jetzt begrenzt, und das Werkzeug sagt es, wenn die Grenze greift.
Sehr lange Werte aus fremden Quellen (Hostnamen aus Anbieter-XML, Serverangaben aus Exchange-Antworten) werden jetzt gekürzt, statt die Ergebnisseite aufzublähen.
Auf den englischen Seiten fielen zwei Meldungen still auf Deutsch zurück: der Hinweis auf eine private IP-Adresse bei der Reverse-Abfrage im DNS Lookup und die Fehlermeldung des Email Header Analyzer bei einem unlesbaren Header. Beide sind jetzt übersetzt.

Version 0.15.4

Verbesserungen

SPF Check zeigt jetzt auch den Zähler für ergebnislose DNS-Abfragen (maximal zwei erlaubt) von sich aus an, genauso wie die bereits vorhandene Anzeige der 10-Abfragen-Grenze.
SMTP Test zeigt jetzt auch, welche Authentifizierungsverfahren ein Mailserver nach dem Aufbau der verschlüsselten Verbindung (STARTTLS) anbietet, genauso wie es der IMAP/POP3/SMTP TLS Test für die Submission-Ports bereits tut.
Blocklist Check prüft jetzt zusätzlich zwei weitere Listen desselben, bereits genutzten Anbieters 0SPAM: eine konservativere IP-Hauptliste und eine domainbasierte Liste.
Der Sprachumschalter zeigt jetzt nur noch die jeweils andere Sprache an, statt beide nebeneinander.

Fehlerbehebungen

DMARC Analyzer erkannte den Versions-Tag eines Records bisher unabhängig von Groß-/Kleinschreibung. Ein Record wie v=dmarc1 (statt korrekt v=DMARC1) wird von echten Mailservern vollständig ignoriert, das Werkzeug hat ihn aber trotzdem als gültig bewertet und eine Policy-Einschätzung dazu angezeigt. Das ist jetzt korrigiert.
SPF Check und DMARC Analyzer zeigten bei mehreren gleichzeitig veröffentlichten Records am selben Namen (was laut Standard zu einem Fehler führt und den kompletten Schutz unwirksam macht) trotzdem noch die Einschätzung des ersten gefundenen Records als "gültig" bzw. dessen Regel als wirksam an. Das widersprach der eigenen Fehlermeldung direkt darüber und ist jetzt behoben.
MX Lookup und Blocklist Check konnten bei Domains mit vielen Mailservern falsche Ergebnisse melden: war die interne Obergrenze an DNS-Abfragen erreicht, meldete MX Lookup Hosts als "nicht auflösbar", die einwandfrei auflösen, und der Blocklist Check "nicht gelistet", ohne alle Listen gefragt zu haben. Jetzt bricht die Prüfung mit einem klaren Hinweis ab. Die Obergrenze wurde zugleich angehoben; MX Lookup prüft dafür bis zu zehn Mailserver (vorher zwanzig), der Blocklist Check bis zu fünf IP-Adressen, jeweils mit Hinweis, wenn es mehr sind.
Mehrere Werkzeuge (unter anderem DMARC Analyzer, DANE Check, MTA-STS Check, Autoconfig Check und Email Header Analyzer) brachen mit einer Fehlerseite ab, wenn dort, wo eine Zahl stehen muss, ein ziffernähnliches Sonderzeichen stand (etwa eine hochgestellte Ziffer). Jetzt erscheint ein normaler Hinweis auf den ungültigen Wert.
MTA-STS Check und BIMI Check konnten von einem absichtlich sehr langsam antwortenden Server über lange Zeit offen gehalten werden. Für den Abruf gilt jetzt ein hartes Gesamt-Zeitlimit.
Wer zu viele Prüfungen in kurzer Zeit gestartet hat, bekam bisher nur eine nackte Fehlerseite ohne Erklärung. Jetzt steht dort, was passiert ist, und die Antwort nennt technisch korrekt die Wartezeit bis zum nächsten Versuch.
Trat während einer Prüfung ein Fehler auf, wurde die komplette Fehlerseite in das Ergebnisfeld geschrieben, samt Navigation und Fußbereich, sodass sich die Seite sichtbar in sich selbst verschachtelte. Jetzt erscheint an dieser Stelle nur eine kurze, verständliche Meldung.
Auf der englischen Fassung erschienen einige Meldungen der Oberfläche (etwa "Prüfe ..." während einer laufenden Prüfung) weiterhin auf Deutsch. Sie folgen jetzt der gewählten Sprache.

Version 0.13.1

Neue Werkzeuge

DNSSEC Check. Prüft die DNSSEC-Vertrauenskette einer Domain: DS-Record beim Parent, DNSKEY und RRSIG der Zone, Algorithmen, Schlüssellängen, Key-Signing-Key vs. Zone-Signing-Key. Rechnet den DS-Digest zusätzlich tatsächlich gegen den vorhandenen DNSKEY nach, unabhängig davon, ob der genutzte Resolver selbst validiert.
Spoofing-Schutz Check. Setzt MX, SPF, DMARC und DKIM zueinander in Beziehung und gibt ein klares Urteil, ob direktes Spoofing der Absenderadresse zuverlässig abgewiesen wird: DMARC muss auf p=reject stehen, SPF auf ~all enden und DKIM mindestens 2048 Bit haben.

Verbesserungen

Cipher-Suite-Härtung. Zertifikat Check, SMTP Test und IMAP/POP3/SMTP TLS Test warnen jetzt zusätzlich, wenn eine unsichere Cipher-Suite angeboten wird (RC4, DES/3DES, NULL-Cipher, Export-Cipher, anonymer Diffie-Hellman ohne Authentifizierung).
Exchange Server Check und Autodiscover Check bestätigen jetzt ausdrücklich, wenn moderne Authentifizierung (OAuth) angeboten wird, statt nur vor veralteter Basic Auth zu warnen.

Fehlerbehebungen

SMTP Test prüfte bei einem MX-Host mit mehreren IP-Adressen bisher nur die erste. Jetzt wird jede öffentliche IP einzeln geprüft.
DNSSEC Check holte die Signatur der DNSKEY-Einträge bisher über eine eigenständige Abfrage, die manche Resolver (u. a. Quad9, Cloudflare) fälschlich mit einem Fehler statt der tatsächlich vorhandenen Signatur beantworteten. Die Signatur kommt jetzt aus derselben Antwort wie die DNSKEY-Abfrage selbst. Außerdem gelten 1024-Bit-RSA-Schlüssel jetzt als ausreichend, passend zu gängigen DNSSEC-Prüfwerkzeugen.

Version 0.9.7

Neue Werkzeuge

BIMI Check. Prüft den BIMI-Eintrag einer Domain: die DMARC-Voraussetzung (Durchsetzung mindestens auf Quarantäne-Stufe), das hinterlegte Marken-Logo (SVG) und, falls vorhanden, das VMC-Zertifikat.
IMAP/POP3/SMTP TLS Test. Prüft TLS auf den gängigen Mail-Client-Ports (IMAP, POP3, Submission): Zertifikat, angebotene Verschlüsselung, ob STARTTLS angeboten wird und ob eine Anmeldung schon vor TLS möglich wäre.

Verbesserungen

Neues Design für Prüfergebnisse. Der Ergebnisblock jedes Werkzeugs zeigt jetzt eine Ringanzeige mit dem Anteil unauffälliger Bereiche im Kopf, Befunde als übersichtliche Zeilen mit farbigem Statussymbol und dickerem farbigem Rand statt vollflächiger Farbbalken, und der aufgelöste Record-Baum im selben, ruhigeren Stil.
Exchange Server Check erkennt jetzt zusätzlich, auf welchen einzelnen Verzeichnissen (z. B. ActiveSync, EWS, Autodiscover) noch Basic Auth angeboten wird, nicht mehr nur auf der OWA-Anmeldeseite.

Fehlerbehebungen

DKIM Lookup ohne angegebenen Selector: wird keiner der gängigen Selektoren gefunden, ist das jetzt ein Hinweis statt ein Fehler, mit der Empfehlung, den Test mit dem echten Selector aus einer Mail zu wiederholen. Ein fehlender Standard-Selector ist kein Beweis, dass DKIM nicht eingerichtet ist.
SPF Check nennt bei doppelten oder ineinander enthaltenen Netzblöcken jetzt genau, welche betroffen sind, statt nur die Anzahl zu zeigen.
Domain Check zeigt in der Übersichtszeile jedes geprüften Bereichs jetzt direkt, was dort auffällig ist, statt nur eine allgemeine Zusammenfassung.
Domain Check warnt jetzt zusätzlich, wenn SPF auf -all steht, obwohl DMARC durchsetzt (p=quarantine oder p=reject): ~all wird empfohlen, damit Weiterleitungen und Mailinglisten nicht unnötig an SPF allein scheitern, bevor DMARC greift.

Version 0.8.5

Neue Werkzeuge

Zertifikat Check. Prüft das TLS-Zertifikat eines Hosts auf Port 443: Vertrauenskette, Restlaufzeit, TLS-Version, Cipher-Suite, Schlüssellänge und Signaturalgorithmus. Eigene Kategorie "TLS & Zertifikate".
Blocklist Check. Prüft eine IP oder Domain gegen etablierte Reputationslisten (Spamhaus Zen und DBL, SpamCop, SORBS, Barracuda, Mailspike, Blocklist.de, PSBL, 0SPAM, SURBL, URIBL und weitere). Bei einer Domain werden zusätzlich die MX-Hosts aufgelöst und deren IPs geprüft.
CAA Check. Liest die CAA-Records entlang der Namenskette (RFC 8659 und 8657), wertet issue und issuewild getrennt aus, erkennt Ausstellungsverbote, fehlende iodef-Kontakte und kritische unbekannte Tags.
Exchange Server Check. Nach Eingabe der OWA-URL: exakter Exchange-Build aus der Login-Seite und dem X-OWA-Version-Header, Abgleich gegen Microsofts offizielle Build-Tabelle (aktuell, veraltet mit Update-Anzahl, End of Life), angebotene Authentifizierungsverfahren, HSTS, offenes Klartext-HTTP. Dazu ein kuratierter Test weiterer Exchange-Verzeichnisse (ECP, PowerShell, EWS, ActiveSync, MAPI und andere) auf direkte Erreichbarkeit hinter dem Reverse-Proxy.

Verbesserungen

SPF Check gegen eine konkrete IP. Optionales Feld für die sendende IP: zusätzlich zur Baumdarstellung läuft die echte RFC-7208-Auswertung mit Ergebnis (pass, fail, softfail, neutral, permerror, temperror), greifendem Mechanismus, Makro-Expansion und aufgelöstem exp=-Text.
Autodiscover Check überarbeitet. Prüft gezielt einen Endpunkt statt aller Kandidaten und erkennt die Exchange-Version aus dem X-OWA-Version-Header.

Version 0.5.3

Werkzeuge zum Start

Zwölf Diagnose-Werkzeuge: MX Lookup, SPF Check, DMARC Analyzer, DKIM Lookup, DNS Lookup, MTA-STS und TLS-RPT Check, DANE Check, SMTP Test, Autodiscover Check, Autoconfig Check, Email Header Analyzer und der Domain Check als Sammelprüfung.
SPF Check mit rekursiver Auflösung von include und redirect, Syntaxprüfung und den RFC-7208-Grenzen (10 DNS-Lookups, 2 Void-Lookups, Schleifenerkennung).
SMTP Test über einen Hintergrund-Worker: Verbindung je MX-Host auf Port 25, Banner, EHLO-Fähigkeiten, STARTTLS mit Zertifikatsprüfung. Kein Mailversand, kein Open-Relay-Test.
Domain Check: MX, SPF, DMARC, DKIM, MTA-STS und SMTP Test in einem Durchlauf mit einem Gesamturteil.