Wat is een domein-healthcheck?
Een domein-healthcheck leest de openbare DNS-records die bepalen of de mail van een domein wordt vertrouwd (SPF, DKIM, DMARC, MX, MTA-STS en TLS-RPT) en beoordeelt ze samen. Ze hangen van elkaar af: DMARC slaagt alleen als SPF of DKIM slaagt voor een aligned domein, dus wie één record tegelijk leest, mist hoe ze samen falen.
De uitkomst lezen
De score loopt van 0 tot 100, en elk verloren punt is terug te voeren op een benoemde bevinding, elk met de ernst en de oplossing. Delen van de score die niet kunnen gelden voor een eenmalige scan, worden weggelaten in plaats van als nul geteld. Onder de bevindingen staan de ruwe records, de mailprovider en de DNS-host.
Beat draait op dezelfde engine, volgens een vast schema, over alle 41 checks en 25 blacklists. Wat Beat toevoegt: steeds opnieuw vragen, merken wanneer een antwoord verandert en je vertellen wat je eraan moet doen.
Veelvoorkomende problemen met de gezondheid van een domein
Geen DMARC-record, of p=none
Zonder handhaving wordt mail die zich als jouw domein voordoet en niet door de authenticatie komt, toch afgeleverd, en Gmail en Yahoo eisen een DMARC-record van bulkverzenders.
SPF boven de 10 lookups
Het record bestaat en faalt toch, omdat ontvangers permerror teruggeven zodra de lookuplimiet is overschreden.
Geen DKIM-sleutel, of een onder de 2048 bits
Zonder DKIM leunt DMARC alleen op SPF, en SPF-alignment breekt meestal als een bericht wordt doorgestuurd.
Geen MTA-STS of TLS-RPT
Niets vertelt verzenders dat ze TLS moeten eisen voor je inkomende mail, en niemand meldt het je als een TLS-verbinding mislukt.