SPF, DKIM und DMARC: damit deine Mails ankommen
Drei DNS-Einträge entscheiden, ob deine Mails im Posteingang oder im Spam landen. Was sie bedeuten und wie du sie setzt.
Große Mailanbieter wie Gmail oder Outlook nehmen Mails ohne SPF, DKIM und DMARC kaum noch an. Die drei Einträge beweisen, dass eine Mail wirklich von deiner Domain kommt. Das gilt egal, ob du Google, Microsoft oder einen eigenen Mailserver nutzt.
Was die drei Einträge tun
| Eintrag | Frage, die er beantwortet |
|---|---|
| SPF | Welche Server dürfen Mails für meine Domain verschicken? |
| DKIM | Ist die Mail unterwegs unverändert geblieben? (Signatur) |
| DMARC | Was soll der Empfänger tun, wenn SPF oder DKIM nicht passen? |
Der schnelle Weg
Liegt deine Domain auf den TryNxt-Nameservern, öffne sie und den Reiter Verbinden, Kachel E-Mail. Wähle deinen Anbieter, also Google, Microsoft oder deinen eigenen Mailserver. Wir setzen MX, SPF und DMARC. Bestehende SPF- und DMARC-Einträge werden dabei ersetzt, nicht verdoppelt. Doppelte SPF-Einträge sind ein häufiger Fehler, der die Zustellung kaputt macht.
DKIM musst du danach noch selbst eintragen, siehe unten.
SPF von Hand
Ein SPF-Eintrag ist ein TXT-Eintrag an der Domain selbst (@). Für einen eigenen Mailserver, der im MX steht:
example.com. TXT "v=spf1 mx -all"
-all heißt: Alles andere ist nicht erlaubt. Nutzt du zusätzlich einen Newsletter-Dienst, kommt dessen include: davor, laut Anleitung des Dienstes.
Es darf nur einen SPF-Eintrag je Domain geben. Mehrere Dienste kommen in denselben Eintrag.
DKIM
Den DKIM-Schlüssel erzeugt dein Mailanbieter. Er nennt dir einen Namen (den „Selektor“) und einen langen Wert. Trag beides im Reiter DNS-Einträge als TXT-Eintrag ein:
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
DMARC
Fang mit einer milden Regel an und werte die Berichte aus:
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
Kommen keine Fehler mehr, stellst du auf p=quarantine und später auf p=reject um.
Eigener Mailserver auf dem VPS
Zusätzlich zu den drei Einträgen braucht dein Mailserver ein passendes Reverse-DNS: Die IP-Adresse muss auf den Namen des Servers zeigen, etwa mail.example.com, und der Name per A- bzw. AAAA-Eintrag zurück auf die Adresse. Das Reverse-DNS setzt du im Reiter Netzwerk deines Servers.
Prüfen
Unser kostenloser DNS- & Mail-Check zeigt SPF, DKIM (mit Selektor), DMARC und DNSSEC auf einen Blick. Ob deine Server-IP auf einer Sperrliste steht, verrät der Blacklist-Check.
Für die Community
Du kennst dich aus? Schreib eine Anleitung.
Teile, was du weißt: Wir prüfen jede eingereichte Anleitung, veröffentlichen sie mit deinem Namen und bedanken uns mit Guthaben für deine Dienste.