Erforderliche DNS-Einträge: MX, SPF, DKIM und DMARC

Zur Aktivierung einer Domain prüft TrekMail vier zentrale DNS-Einträge. Übertragen Sie die im Dashboard angezeigten Werte exakt zu Ihrem DNS-Anbieter. Falls etwas nicht übereinstimmt, zeigt TrekMail den fehlenden oder abweichenden Eintrag an.

Soll der Posteingang der Domain bei einem anderen Anbieter bleiben und möchten Sie über ihre Adressen nur senden, gehört der MX-Eintrag nicht dazu. Lesen Sie dazu Über eine nicht bei TrekMail gehostete Domain senden. Sobald Sie diese Betriebsart auswählen, entfernt das Dashboard den MX automatisch aus der Anforderungsliste.

Für wen ist diese Anleitung gedacht?

• Für Systemadministratoren, die DNS konfigurieren.
• Für Benutzer, die Zustellprobleme oder einen roten DNS-Status untersuchen.

Die vier Säulen des E-Mail-DNS

1. MX-Eintrag für den Empfang

Host: @ oder die Wurzel Ihrer Domain

Wert: mail.trekmail.net.

Priorität: 10

Dieser Eintrag leitet eingehende E-Mails an unsere Server.

• Häufiger Fehler: Alte MX-Einträge, etwa von Google oder GoDaddy, bleiben neben dem TrekMail-Eintrag bestehen. Dadurch verteilt sich die Post auf mehrere Anbieter und Nachrichten können verloren gehen. Entfernen Sie alle anderen MX-Einträge.
• Sie möchten nur senden? Lassen Sie den MX unverändert. Öffnen Sie die Domain, wählen Sie unter ihrem Namen Eingehende E-Mail und lassen Sie den Empfang beim bisherigen Anbieter. Das Dashboard verlangt danach nur noch SPF, DKIM und DMARC und warnt nicht mehr wegen des gefundenen MX-Eintrags. Die Domain kann senden, aber keine Postfächer bei TrekMail führen.

2. SPF-Eintrag für berechtigte Absender

Host: @

Erforderlicher Include-Mechanismus: include:spf.trekmail.net

SPF, das Sender Policy Framework, ist eine Liste der IP-Adressen und Dienste, die im Namen Ihrer Domain senden dürfen.

• Noch kein SPF vorhanden: Erstellen Sie einen TXT-Eintrag mit v=spf1 include:spf.trekmail.net -all.
• SPF ist bereits vorhanden: Ergänzen Sie den bestehenden Eintrag um unseren Include-Mechanismus und behalten Sie den bisherigen Abschluss bei.
  • Falsch: Zwei getrennte TXT-Einträge.
  • Richtig: v=spf1 include:spf.google.com include:spf.trekmail.net -all.
  • Ebenfalls richtig: v=spf1 include:spf.google.com include:spf.trekmail.net ~all.

Zum Abschlussmechanismus: TrekMail akzeptiert sowohl -all als auch ~all. Entscheidend ist, dass include:spf.trekmail.net vor dem verwendeten Abschluss steht. Solange Sie noch alle legitimen Versanddienste ermitteln, ist ~all eine vorsichtige Übergangslösung. Wechseln Sie erst zu -all, wenn der SPF-Eintrag jeden dieser Dienste enthält. Weiterleitungen sind ein separates Thema und können SPF unabhängig von dieser Wahl brechen. Deshalb ist ein korrekt ausgerichtetes DKIM wichtig. ?all und +all werden nicht akzeptiert: ?all wird wie ein fehlender SPF-Eintrag behandelt, +all erlaubt jedem das Senden.

Hinweis zu SPF-Fehlern: Zeigt ein DMARC-Bericht SPF-Fehler, während DKIM besteht, ist das häufig normal. Meist wurde die Nachricht weitergeleitet, beispielsweise durch die automatische Weiterleitung von Gmail, oder durchlief ein Sicherheitsgateway. DMARC sollte dank der DKIM-Ausrichtung weiterhin bestehen. Untersuchen Sie den Fall erst, wenn sowohl SPF als auch DKIM fehlschlagen.

3. DKIM-Eintrag für die digitale Signatur

Host: dkim._domainkey

Wert: Individuelle lange Zeichenfolge, die mit v=DKIM1... beginnt

DKIM, DomainKeys Identified Mail, ermöglicht dem empfangenden Server, die signierende Domain und die signierten Bestandteile der Nachricht zu prüfen.

• Schlüsselerstellung: Steht beim Wert „Wird erstellt...“, warten Sie, bis das Dashboard den Schlüssel anzeigt. Veröffentlichen Sie danach Host und Wert exakt wie angegeben und starten Sie DNS überprüfen.
• Formatierung: Manche DNS-Anbieter wie Route 53 verlangen, dass der Wert in mehrere Zeichenfolgen in Anführungszeichen aufgeteilt wird. Die meisten akzeptieren ihn vollständig. Fügen Sie ihn genau wie angezeigt ein.
• Unter diesem Namen besteht schon ein Eintrag? Dann signiert ein weiterer Dienst E-Mails für die Domain. Ersetzen Sie ihn nicht. Prüfen Sie das Dashboard: Ist der übliche Name belegt, erzeugen wir den Schlüssel unter einem anderen Selektor. Der DNS-Tab zeigt den genauen Namen. Beide Schlüssel können nebeneinander bestehen.
• Sie verwenden einen externen SMTP-Dienst? Dieser Anbieter kann einen eigenen DKIM-Eintrag unter einem anderen Selektor verlangen. Veröffentlichen Sie auch seinen Eintrag. Der TrekMail-Schlüssel sorgt nicht dafür, dass E-Mails des externen Dienstes DKIM bestehen.

4. DMARC-Eintrag zur Durchsetzung der Richtlinie

Host: _dmarc

Wert: v=DMARC1; p=quarantine; rua=mailto:dmarc@trekmail.net

DMARC verbindet die Ergebnisse von SPF und DKIM.

• Richtlinien (p):
  • none: Reiner Beobachtungsmodus. Beginnen Sie hier, wenn Sie noch nicht alle legitimen Absender erfasst haben.
  • quarantine: Empfangende Systeme sollen fehlgeschlagene Nachrichten als verdächtig behandeln. Dies ist die Standardvorlage von TrekMail.
  • reject: Empfangende Systeme sollen fehlgeschlagene Nachrichten ablehnen. Wechseln Sie erst nach Auswertung der Berichte und bestätigter Ausrichtung hierher.
• Prüfung durch TrekMail: Wir suchen nach einem beliebigen gültigen Eintrag mit v=DMARC1. Tags wie rua, das die Berichtsadresse festlegt, dürfen Sie an Ihre Anforderungen anpassen.

Wenn TrekMail für eine neue Domain der einzige Versanddienst ist, eignet sich die Dashboard-Vorlage mit p=quarantine als Ausgangspunkt. Versenden auch Google Workspace, Microsoft 365, ein Helpdesk oder ein anderer Dienst, beginnen Sie mit p=none. Prüfen Sie die Berichte und verschärfen Sie die Richtlinie schrittweise, damit legitime Nachrichten nicht versehentlich in Quarantäne geraten.

5. Empfohlene Maßnahmen für bessere Zustellbarkeit

Die folgenden Einträge sind für den grundlegenden Betrieb nicht zwingend, verbessern aber Sicherheit und Zustellberichte. Weitere Einzelheiten finden Sie in der vollständigen Anleitung zu empfohlenen Einträgen.

TLS-Berichte (TLS-RPT)

Host: _smtp._tls

Wert: v=TLSRPTv1; rua=mailto:tlsrpt@trekmail.net

• Zweck: Andere Mailserver können Verschlüsselungsfehler beim Verbindungsaufbau zu Ihrer Domain melden.

MTA-STS

MTA-STS-Richtlinie (TXT):

Host: _mta-sts

Wert: Kopieren Sie den im Dashboard gezeigten Wert v=STSv1; id=... exakt. Die Kennung ändert sich, sobald sich die veröffentlichte Richtlinie ändert.

MTA-STS-CNAME:

Host: mta-sts

Wert: mta-sts.trekmail.net.

• Zweck: Erzwingt strikte TLS-Verschlüsselung für eingehende E-Mails und verhindert Downgrade-Angriffe.

Häufige Fehler und schnelle Lösungen

• Problem: Der SPF-Status lautet „Konflikt“.
  • Lösung: Suchen Sie nach mehreren TXT-Einträgen, die mit v=spf1 beginnen. Es darf nur einen geben.
• Problem: DNS-Änderungen werden nicht angezeigt.
  • Wahrscheinliche Ursache: Die Veröffentlichung beim DNS-Anbieter und die Caches der Resolver benötigen Zeit, bis überall derselbe Stand sichtbar ist.
  • Lösung: Prüfen Sie Typ, Host, Wert und MX-Priorität bei Ihrem DNS-Anbieter. Starten Sie eine neue Prüfung, nachdem der Anbieter die Änderung veröffentlicht hat.