Domain-Check: alles auf einmal prüfen

Was der Domain-Check prüft

Zwanzig Prüfungen, die sonst einzeln laufen, in einem Durchgang, gebündelt in vier Bereiche. Jede Prüfung fragt direkt am autoritativen Nameserver oder am Server selbst nach und bewertet das Ergebnis so, wie Browser, Mailempfänger und Zertifizierungsstellen es tun.

• Website (30 % der Punktzahl): Zertifikat gültig, passend zum Hostnamen, nicht bald abgelaufen, modernes Protokoll; http und https, mit und ohne www landen bei derselben Adresse (bei einer Subdomain wie shop.beispiel.de http und https dieses Hosts, das Ziel darf auch woanders liegen); Sicherheits-Header wie HSTS und Content-Security-Policy gesetzt; bei AAAA-Records Erreichbarkeit über IPv6; eine gültige security.txt, falls vorhanden; keine Google Fonts von Google-Servern und keine Tracking-Skripte vor der Einwilligung.
• E-Mail (35 %): MX-Records vorhanden und auflösbar, SPF, DKIM und DMARC vorhanden und plausibel, MTA-STS und TLS-RPT eingerichtet, ein vorhandener BIMI-Record mit abrufbarem Logo und durchgesetztem DMARC (ob der Mailserver Verbindungen annimmt, prüft die Überwachung, nicht dieses Tool).
• DNS (20 %): Records auflösbar, DNSSEC-Signaturkette in Ordnung, jeder Nameserver erreichbar und autoritativ mit demselben Stand der Zone, ein vorhandener CAA-Record passend zur Zertifizierungsstelle des aktuellen Zertifikats.
• Domain (15 %): Ablaufdatum, Sperrstatus, Registrar; Website- und Mail-IPs sowie die Domain selbst auf keiner Blacklist.

IPv6 und weitere Prüfungen

Für die IPv6-Prüfung braucht der Prüfstandort selbst eine IPv6-Route. Fehlt sie, listet der Check nur die AAAA-Records (von Domain und www, bei einer Subdomain nur dieses Hosts) und vermerkt, dass die Erreichbarkeit über IPv6 nicht geprüft werden konnte. Das ist kein Befund und kostet keine Punkte. Mit IPv6 ruft er die Website über jede IPv6-Adresse ab: Antwortet eine nicht oder mit 5xx, ist das eine Warnung, eine Weiterleitung auf ein Ziel ohne AAAA-Record ein Hinweis.

Nicht Teil des Checks sind die DNS-Propagation und „Website down?“. Beide beantworten eine Frage zu genau diesem Moment, etwa nach einer DNS-Änderung oder bei einem Ausfall, und sagen wenig über die Einrichtung der Domain. Sie stehen deshalb als „Weitere Prüfungen“ unter dem Ergebnis.

Die Punktzahl

Jeder Bereich startet mit 100 Punkten. Jede Prüfung mit einem kritischen Befund kostet 20 Punkte, jede Warnung 7 (höchstens 20 je Prüfung), jeder Hinweis 1 (höchstens 3). Die Gesamtpunktzahl ist das gewichtete Mittel der Bereiche: Website 30 %, E-Mail 35 %, DNS 20 %, Domain 15 %. So drückt eine Domain mit vielen Mail-Baustellen nicht automatisch auf null, und du siehst sofort, wo es hakt. Ab 90 Punkten ist die Domain sehr gut aufgestellt, ab 70 gut, ab 50 mittel, darunter besteht dringender Handlungsbedarf. Unter „Das bringt am meisten“ stehen die Befunde, deren Behebung die meisten Punkte bringt. Die Punktzahl ist ein Überblick, kein Zeugnis: Ein abgelaufenes Zertifikat wiegt schwerer als fehlendes DNSSEC, auch wenn beides Punkte kostet.

Für die sieben Zusatzprüfungen IPv6, HTTP/3, security.txt, Datenschutz, Nameserver, CAA und BIMI gilt eine Ausnahme: Hinweise kosten dort nichts, nur echte Probleme zählen als Warnung (7 Punkte, höchstens 20 je Prüfung) oder als kritisch (20). Wer kein BIMI, keine security.txt, keinen CAA-Record, kein IPv6 oder kein HTTP/3 hat, verliert also keinen Punkt, ebenso wenig für einen einzelnen Nameserver. Punkte kosten dagegen eine abgelaufene oder ungültige security.txt, ein BIMI-Logo, das nicht abrufbar oder ungültig ist, BIMI ohne durchgesetztes DMARC, ein CAA-Record, der die Zertifizierungsstelle des aktuellen Zertifikats aussperrt, ein unbekannter kritischer CAA-Tag, unerreichbare oder lame Nameserver, abweichende SOA-Serials, AAAA-Records, hinter denen die Website nicht antwortet, sowie Google Fonts von Google-Servern oder Tracking-Skripte, die vor der Einwilligung laden. Antwortet kein Nameserver, ist das kritisch. Findet keine der Zusatzprüfungen ein echtes Problem, zählen allein die dreizehn Kernprüfungen.

Ergebnis teilen

Die Adresse der Ergebnisseite lässt sich kopieren und weitergeben, etwa an den Kunden oder den Hoster. Wer sie öffnet, bekommt eine frische Prüfung (Ergebnisse werden fünf Minuten zwischengespeichert). Die Seite wird nicht von Suchmaschinen indexiert.

Alle Kundendomains dauerhaft im Blick

Der Domain-Check ist eine Momentaufnahme. DomainWarn führt dieselben Prüfungen für alle Kundendomains einer Agentur regelmäßig aus und meldet Änderungen, ablaufende Zertifikate und Domains, verschwundene Mail-Records und Ausfälle, bevor der Kunde sie bemerkt.

Häufige Fragen

Was heißt „nicht geprüft (Zeitbudget)“?

Die Prüfungen laufen nebeneinander (höchstens sechs gleichzeitig, jede mit eigenem Timeout) innerhalb eines Zeitbudgets von 45 Sekunden. Antworten Server oder Blacklists so langsam, dass das Budget vor dem Start einer Prüfung aufgebraucht ist, wird sie ausgelassen. Sie zählt dann weder als bestanden noch als Abzug: Die Punktzahl des Bereichs rechnet mit den übrigen Prüfungen, ein Bereich ohne gelaufene Prüfung bleibt ohne Punktzahl und fällt aus dem Gesamtergebnis heraus. Ein zweiter Lauf wenige Sekunden später nutzt die zwischengespeicherten Teile und prüft in der Regel alles. Ohne Punktzahl bleibt der Check nur, wenn eine Prüfung mit einem echten Fehler endet, etwa weil der Nameserver nicht antwortet.

Zählt der Domain-Check als eine Abfrage?

Ja. Die zwanzig Teilergebnisse werden fünf Minuten zwischengespeichert und stehen danach auch in den Einzeltools sofort bereit.

Warum gibt es keinen Abzug für fehlendes BIMI, fehlende security.txt oder fehlendes IPv6?

Diese Funktionen sind optional. Eine Domain ohne sie ist nicht schlechter eingerichtet, nur weniger ausgebaut. Deshalb kosten bei den sechs Zusatzprüfungen Hinweise keine Punkte; abgezogen wird erst, wenn etwas vorhanden, aber kaputt ist, etwa eine abgelaufene security.txt oder ein AAAA-Record, hinter dem nichts antwortet.

Warum fehlen DNS-Propagation und „Website down?“ im Domain-Check?

Beide sind Momentaufnahmen ohne Soll-Zustand: Die Propagation zeigt, was öffentliche Resolver gerade im Cache haben, „Website down?“, ob die Seite in diesem Augenblick antwortet. Das hilft bei einer konkreten Änderung oder einem Ausfall, sagt aber nichts darüber, wie gut die Domain eingerichtet ist. Beide stehen als „Weitere Prüfungen“ direkt unter dem Ergebnis.

Die Domain hat keinen Mailbetrieb, trotzdem Abzug für SPF und DMARC?

Auch Domains ohne Postfächer sollten SPF mit -all und DMARC mit p=reject tragen, sonst kann jeder in ihrem Namen senden. Der Abzug ist also gewollt.