E-Mail-DNS automatisch einrichten: ein Klick oder ein Token für Ihre Domains

Die DNS-Einrichtung für E-Mail umfasst sechs oder sieben Einträge. Mehrere enthalten lange Zeichenfolgen, bei denen schon ein falsches Zeichen einen Fehler auslöst, dessen Ursache kaum nach einem Tippfehler aussieht. Ein DKIM-Schlüssel besteht aus einigen Hundert Base64-Zeichen. Ein SPF-Eintrag enthält Mechanismen, deren Reihenfolge wichtig ist; auch der Abschluss verändert die Bedeutung der Richtlinie. DMARC liegt unter einem Subdomain-Namen, der leicht falsch eingegeben wird.

Bei einer einzigen Einrichtung geht vermutlich alles gut. Bei vierzig Kundendomains steigt das Fehlerrisiko. Vielleicht fällt der Fehler erst einen Monat später auf, wenn eine Rechnung im Spamordner landet.

Die automatische Einrichtung erspart das Abtippen. Dafür gibt es zwei Wege: Sie genehmigen die Änderung für eine einzelne Domain beim DNS-Anbieter und kehren zu TrekMail zurück, ohne ein Token zu übergeben. Oder Sie verwenden ein API-Token mit eingeschränkten Berechtigungen, um auch hundert Domains in mehreren Stapeln einzurichten. In beiden Fällen können Sie die Änderungen vor der Anwendung prüfen.

Welche DNS-Einträge für E-Mail nötig sind

„In vielen Versandszenarien erforderlich“ bedeutet nicht, dass die RFCs DKIM und DMARC pauschal für jede Domain vorschreiben. Google und Yahoo führten 2024 Anforderungen für Massenversender ein; welche davon gelten, hängt von der Absenderkategorie und den aktuellen Regeln ab. Unternehmensempfänger können zusätzlich eigene Anforderungen stellen. Ohne diese Einträge ist nicht automatisch jeder Versand unmöglich, doch Authentifizierung und Annahme können schwieriger werden.

Vier typische Fehler bei manuellen DNS-Einträgen

Zwei SPF-Einträge veröffentlichen. Ein häufiger Fehler mit erheblichen Folgen. Unter dem ausgewerteten Namen darf nur ein SPF-Eintrag stehen. Ein zweiter Eintrag für einen neuen Versanddienst erweitert die Richtlinie nicht: Eine protokollkonforme Auswertung liefert permerror. Die Mechanismen müssen in einem Eintrag zusammengeführt werden. Siehe die Beispiele für SPF-Einträge.

DKIM-Schlüssel beim Einfügen beschädigen. Die Darstellung eines 2048-Bit-Schlüssels überschreitet die Grenze von 255 Zeichen pro TXT-Zeichenfolge. Der Eintrag muss daher mehrere Zeichenfolgen enthalten, die beim Lesen zusammengesetzt werden. Manche DNS-Oberflächen übernehmen das, andere verlangen eine vorbereitete Aufteilung, wieder andere können den Wert abschneiden. Ein unvollständiger Schlüssel verhindert die Signaturprüfung, ohne dass die Ursache sofort erkennbar ist.

DMARC unter dem falschen Namen anlegen. Der Eintrag gehört unter _dmarc.example.com. Am Domain-Stamm wird er bei der Abfrage der DMARC-Richtlinie dieser Domain nicht gefunden.

Das SPF-Limit für DNS-Abfragen überschreiten. SPF begrenzt die während einer Auswertung verwendeten Terme mit DNS-Abfragen auf zehn. Jedes ausgewertete include: zählt, auch in verschachtelten Richtlinien. Mailhoster, CRM, Marketingtool und Helpdesk können das Limit je nach ihren Richtlinien überschreiten. Das Ergebnis lautet dann permerror. Der Fehler tritt mitunter erst Monate nach der Einrichtung auf, wenn jemand ein weiteres Tool ergänzt. Siehe das SPF-Limit für DNS-Abfragen.

Die automatische Einrichtung verringert Kopierfehler und erkennt Konflikte, ersetzt aber keine Prüfung des Ergebnisses. Das Zusammenführen von SPF verhindert einen zusätzlichen SPF-Eintrag; es beweist nicht, dass die fertige Richtlinie innerhalb des Auswertungslimits bleibt.

Weg 1: DNS mit einem Klick einrichten, ohne Token

Für eine Domain, deren DNS bei Cloudflare liegt, ist dies der direkte Weg. Sie müssen TrekMail weder ein API-Token noch Ihre Cloudflare-Zugangsdaten übergeben.

1. Öffnen Sie den Reiter DNS und Status der Domain.
2. Klicken Sie auf DNS automatisch einrichten.
3. Cloudflare zeigt die vorgeschlagenen Einträge vor Ihrer Genehmigung an.
4. Klicken Sie auf Autorisieren.
5. Sie kehren zu TrekMail zurück, und eine DNS-Prüfung wird angefordert. Die Rückkehr allein bestätigt noch nicht, dass die Einträge korrekt veröffentlicht wurden.

Der Ablauf verwendet Domain Connect, ein offenes Protokoll für genau diesen Austausch: Der Dienst beschreibt seine benötigten Einträge, der DNS-Anbieter legt dem Domaininhaber die Änderungen vor, und dieser genehmigt sie. Es wird kein wiederverwendbares API-Token erstellt oder gespeichert. Die Zustimmung betrifft die vorgeschlagene Operation für diese Domain.

Die Nameserver der Domain müssen auf Cloudflare zeigen. Ist die Domain dort nur registriert, während ihr DNS anderswo liegt, steht dieser Weg nicht zur Verfügung. Änderungen müssen beim tatsächlichen Betreiber der DNS-Zone erfolgen.

Weg 2: DNS mit einem eingeschränkten API-Token einrichten

Für mehrere Domains oder ohne verfügbares Domain Connect kann ein Token die Einrichtung in den freigegebenen Zonen des Kontos übernehmen.

Erstellen Sie in Cloudflare ein Token mit der Vorlage Edit zone DNS und der Berechtigung Zone → DNS → Edit. Wählen Sie bei den Zonenressourcen All zones für alle Zonen oder Specific zone für einen begrenzten Zugriff. Prüfen Sie, ob IP-Einschränkungen und Gültigkeitsdauer die vorgesehene Nutzung zulassen; ändern Sie diese Einstellungen nicht ohne Anlass. Kopieren Sie das angezeigte Token und fügen Sie es in TrekMail ein.

Entscheidend ist, welche Aktionen diese Berechtigungen erlauben und welche nicht:

TrekMail speichert das Token verschlüsselt und vermeidet, seinen Wert zu protokollieren. Sie können es in TrekMail von einer Domain trennen oder bei Cloudflare widerrufen, um weitere Anfragen damit zu unterbinden. Die Trennung einer Domain widerruft nicht zwangsläufig ein mit anderen Domains geteiltes Token. Ein Widerruf macht bereits ausgeführte Änderungen nicht rückgängig.

Nach dem Verbinden werden die verfügbaren Cloudflare-Zonen mit der vorgesehenen Aktion angezeigt: DNS einrichten für eine Domain, die bereits in Ihrem TrekMail-Konto liegt, oder Hinzufügen + DNS für eine Domain, die im selben Ablauf hinzugefügt und eingerichtet wird. Domains mit DNS außerhalb von Cloudflare erscheinen nicht als durch diese Integration konfigurierbare Zonen.

Die Vorschau und ihre fünf Statusanzeigen

Vor dem Anwenden können Sie jeden Eintrag prüfen. Die Vorschau unterscheidet fünf Zustände:

Jeder Eintrag hat ein Kontrollkästchen. Sie können MX und SPF jetzt anwenden und DKIM später einrichten oder einen anderweitig verwalteten Eintrag ausnehmen. Abgewählte Einträge werden in dieser Operation nicht angewendet.

Lesen Sie Konflikte sorgfältig, statt sie einfach zu bestätigen. Eine DMARC-Richtlinie mit p=none ist nicht falsch: Sie kann zu einer bewusst gewählten Beobachtungsphase gehören. Wenn Sie sie vor der Berichtsauswertung durch p=quarantine ersetzen, können legitime, noch nicht korrekt authentifizierte Nachrichten beeinträchtigt werden. Behalten Sie die Richtlinie bei Bedarf bei, schließen Sie die Einführung ab und verschärfen Sie sie erst danach. Hintergründe finden Sie unter eine DMARC-Richtlinie auswählen.

Warum vorhandene SPF-Einträge zusammengeführt werden

SPF verdient besondere Aufmerksamkeit, weil eine Richtlinie mehrere Versanddienste autorisieren kann. Wer den Eintrag ohne Bestandsaufnahme ersetzt, entfernt möglicherweise weiterhin benötigte Berechtigungen.

Veröffentlicht Ihre Domain bereits:

v=spf1 include:_spf.google.com ~all

dann autorisiert die Richtlinie Google-Infrastruktur, etwa Workspace oder ein darüber versendendes Tool. Ein Austausch gegen einen Eintrag nur für TrekMail fügt nicht bloß einen Absender hinzu, sondern entfernt die bisherige Autorisierung. Nachrichten, die darauf angewiesen waren, können anschließend bei SPF durchfallen.

Ein gültiger vorhandener SPF-Eintrag wird deshalb normalerweise zusammengeführt:

v=spf1 include:_spf.trekmail.net include:_spf.google.com ~all

Beide Dienste bleiben in einem Eintrag autorisiert, und der abschließende Qualifikator bleibt erhalten. So lässt sich TrekMail ergänzen, ohne die bisherige Freigabe zu entfernen. „Niemals ersetzen“ wäre dennoch falsch: Fehlerhafte oder doppelte SPF-Einträge können eine Konfliktlösung erfordern. Die resultierende Richtlinie muss geprüft werden.

Achten Sie anschließend auf zwei Punkte. Das neue include: zählt gegen das Limit von zehn Termen mit DNS-Abfragen und kann verschachtelte Abfragen auslösen; prüfen Sie die gesamte Richtlinie. Versendet der bisherige Anbieter tatsächlich nicht mehr für Ihre Domain, entfernen Sie seine Freigabe später von Hand, nachdem Sie das bestätigt haben. Fehlende Aktivität allein beweist nicht, dass der Dienst nicht mehr gebraucht wird.

DNS für mehrere Domains im Stapel einrichten

Mit einem für alle Zonen freigegebenen Token kann der Assistent kompatible Domains durchgehen, neue hinzufügen, DNS-Einträge einrichten und Ergebnisse je Domain anzeigen. Pro Stapel sind bis zu 50 Domains möglich. Neu hinzugefügte Domains zählen gegen das Tariflimit: 10 bei Nano, 50 bei Starter, 100 bei Pro und 1,000 bei Agency, gemäß der im Ausgangsartikel beschriebenen Konfiguration. Prüfen Sie vor dem Start die aktuellen Grenzen Ihres Kontos.

Übernimmt eine Agentur einen Kunden mit einem Dutzend Domains, kann die Stapelverarbeitung viel Handarbeit ersparen. Umso wichtiger wird die Vorschau. Stellen Sie sich zwölf Domains vor: zwei mit einer abweichenden DMARC-Richtlinie und eine mit einem autodiscover-CNAME, der noch auf den 2023 verlassenen Anbieter zeigt. Das ist ein Beispiel für zu prüfende Altlasten, keine garantierte Häufigkeit.

Welche Änderungen möglich sind

Eine berechtigte Frage, bevor Sie einer Anwendung Schreibzugriff auf Ihr DNS geben.

Die Integration ist für E-Mail-Einträge ausgelegt: MX, SPF, DKIM, DMARC, MTA-STS, TLS-RPT und CNAMEs zur Mail-Autokonfiguration. A-Einträge, Website-CNAMEs und TXT-Einträge anderer Dienste sollen unverändert bleiben. Die DNS-Berechtigung des Tokens umfasst jedoch die Einträge der freigegebenen Zonen, nicht nur Mail-Einträge. Der Schutz anderer Einträge hängt daher auch vom Verhalten der Anwendung ab. Diese Berechtigung erlaubt keine Änderung der Nameserver.

Beim Ersetzen eines Konflikts kann eine bisherige Konfiguration verloren gehen; deshalb wird eine Bestätigung verlangt. Prüfen Sie auch andere Änderungen und eine mögliche Bereinigung von Duplikaten innerhalb einer Aktion. Nicht jede andere Operation ist folgenlos. Sichern Sie die bisherigen Werte, wenn Sie sie wiederherstellen können müssen.

Ein ausstehender DNS-Status kann durch Caches entstehen, aber auch durch einen falschen Eintrag oder eine nicht abgeschlossene Operation. Der Ausgangsartikel nennt bis zu 48 Stunden; das ist keine allgemeingültige Frist, denn TTL und Anbieterbedingungen spielen mit. Die Prüfung wird automatisch wiederholt, und DNS prüfen fordert eine weitere Kontrolle an. Scheitert sie am nächsten Tag noch, kontrollieren Sie die veröffentlichten Werte und nutzen Sie bei Signaturproblemen die DKIM-Fehlersuche.

Häufige Fragen

Brauche ich für die Ein-Klick-Einrichtung ein Cloudflare-Konto?

Cloudflare muss das DNS Ihrer Domain betreiben, und Sie brauchen Zugriff auf das entsprechende Konto, um die Änderung zu genehmigen. Ein API-Token müssen Sie TrekMail nicht übergeben: Sie stimmen in Cloudflares Oberfläche zu, und es wird kein wiederverwendbares Token gespeichert.

Was ist, wenn mein DNS nicht bei Cloudflare liegt?

Diese automatische Integration richtet den anderen Anbieter nicht ein. Die Einträge müssen manuell erstellt werden. Die DNS-Seite der Domain zeigt die Werte mit Kopierschaltflächen. Anbieterspezifische Anleitungen finden Sie unter DNS-Einrichtung bei gängigen Anbietern.

Kann die automatische DNS-Einrichtung meine Website beeinträchtigen?

Die Integration soll nur Mail-Einträge bearbeiten und A-Einträge, Website-CNAMEs sowie andere TXT-Einträge unverändert lassen. Das Token ist aber technisch nicht auf Mail-Einträge beschränkt: Seine Berechtigungen umfassen DNS-Einträge der freigegebenen Zonen. Prüfen Sie die vorgeschlagenen Änderungen. Die beschriebene Berechtigung erlaubt keine Änderung der Nameserver.

Was passiert mit meinem vorhandenen SPF-Eintrag?

Normalerweise wird er zusammengeführt: Das TrekMail-Include kommt hinzu, der Qualifikator bleibt bestehen. Damit werden andere freigegebene Dienste nicht versehentlich entfernt. Doppelte oder fehlerhafte SPF-Einträge können einen bestätigten Austausch erfordern. Prüfen Sie außerdem das Abfragelimit der fertigen Richtlinie.

Kann ich nur bestimmte Einträge anwenden?

Ja. Jeder Eintrag hat in der Vorschau ein Kontrollkästchen. Wählen Sie anderweitig verwaltete Einträge ab, um sie von dieser Operation auszunehmen.

Wie viele Domains kann ein Durchlauf einrichten?

Bis zu 50 pro Stapel, begrenzt durch die gesamte Domainzahl Ihres Tarifs. Neue Domains, die der Assistent hinzufügt, zählen gegen diese Grenze.

Ist mein API-Token geschützt?

TrekMail speichert es verschlüsselt und vermeidet die Protokollierung seines Werts. Mit den beschriebenen Berechtigungen darf es DNS-Einträge ausgewählter Zonen ändern, aber keine Abrechnung, keinen WAF, keine Nameserver und keine Domainübertragungen verwalten. Widerrufen Sie es bei Cloudflare, um weitere Anfragen zu verhindern; frühere Änderungen bleiben bestehen. Geben Sie nur die tatsächlich benötigten Zonen frei.

Warum steht bei einem nie von mir erstellten Eintrag „bereits eingerichtet“?

Vielleicht hat ein früherer Anbieter ihn erstellt oder eine genehmigte Einrichtung wurde schon einmal ausgeführt. Vergleichen Sie den vorhandenen Wert mit dem Vorschlag. Stimmen beide überein, muss der Eintrag nicht ersetzt werden. Prüfen Sie trotzdem, ob er weiterhin zu Ihrer Konfiguration passt.