Domains & DNS

Absenderdomains anlegen und bestätigen, SPF/DKIM/DMARC mit Ist/Soll-Vergleich einrichten.

Unter Domains & DNS verwaltest du deine Absenderdomains und siehst für jede, ob die DNS-Einträge stimmen. Für jede Domain gibt es eine Karte mit dem Zustand von SPF, DKIM und DMARC.

Domain-Übersicht mit Statuskarten

Domain hinzufügen und bestätigen

Über Domain hinzufügen legst du eine neue Absenderdomain an. Die Inhaberschaft bestätigst du per TXT-Eintrag (mailbridge-verify=…) im DNS der Domain; erst danach wird die Domain am Server freigeschaltet. Entspricht die Domain der Domain deiner Registrierungs-Adresse, entfällt der Nachweis. Der Ablauf im Detail steht in der Erste-Schritte-Anleitung.

Wie viele Domains

Ein Bridge-Konto hat eine Absender-Domain. In einem Agenturkonto trägt jedes Kundenprojekt seine eigene. Wenn dein Konto aus früheren Tarifen mehrere Domains hat, bleiben die bestehen; neue kommen nicht mehr hinzu.

Domain wechseln

Zum Wechseln entfernst du über das Papierkorb-Symbol auf der Domain-Karte die bestehende Domain und legst danach die neue an. Wichtig: Zugänge, die von der entfernten Domain senden, werden ab sofort abgewiesen. Erst wenn die neue Domain angelegt und per DNS bestätigt ist, läuft der Versand wieder. Plane den Wechsel deshalb zu einer Zeit, in der wenig verschickt wird, und lege die DNS-Einträge der neuen Domain am besten vorher an.

Ist/Soll-Vergleich

Für jeden der drei Eintragstypen zeigt die Karte den aktuell gefundenen Eintrag (Ist) und den erwarteten (Soll), mit Kopier-Buttons für Host, Typ und Wert. Du kopierst die Soll-Werte zu deinem Domain-Anbieter und klickst danach auf Erneut prüfen.

Ist/Soll-Vergleich der DNS-Einträge

Was die drei Verfahren tun und in welcher Reihenfolge du sie einführst, erklärt der Ratgeber SPF, DKIM und DMARC einrichten.

Die drei Einträge kurz erklärt:

SPF erlaubt unseren Servern, für deine Domain zu senden. Ein einziger Eintrag mit include:spf.spamgo.de genügt und übersteht auch einen Serverwechsel. Der Soll-Vorschlag ergänzt deinen bestehenden SPF-Eintrag, statt ihn zu ersetzen.
DKIM signiert jede Mail kryptografisch. Senden deine Zugänge über mehrere Server, zeigt die Karte mehrere DKIM-Einträge. Lege alle an.
DMARC sagt Empfängern, wie sie mit gefälschten Mails deiner Domain umgehen sollen. Steht deine Richtlinie auf p=none, schlägt das Portal die Umstellung auf p=quarantine vor.

Weitere Absender im SPF erlauben

Verschickt neben MailBridge noch ein anderer Dienst Mails mit deiner Domain, etwa Microsoft 365, Google Workspace, ein Newsletter-Dienst oder der eigene Webserver, muss auch er im SPF-Eintrag stehen. Sonst werten Empfänger seine Mails als Fälschung.

Dafür hat die SPF-Zeile der Domain-Karte die Schaltfläche Weitere Absender erlauben. Damit öffnest du einen Baukasten, der deinen aktuellen Eintrag schon übernommen hat:

Dienste mit eigenem SPF-Eintrag trägst du als Include ein, so wie es in der Anleitung des Dienstes steht. Für Microsoft 365 und Google Workspace gibt es Knöpfe zum schnellen Hinzufügen.
Eigene Server gibst du als Hostnamen, als IPv4- oder IPv6-Adresse oder als ganzes Netz an, je Zeile ein Eintrag.
Unter Alle anderen Absender legst du fest, was mit dem Rest passiert. ~all ist ein guter Anfang; sind alle Absender eingetragen, ist -all die strengere Wahl.

Das MailBridge-Include ist immer enthalten und lässt sich nicht entfernen, sonst würde der Versand über uns brechen. Falsche Eingaben markiert der Baukasten schon beim Tippen.

Ein Klick auf Prüfen zählt die DNS-Abfragen, die der neue Eintrag kostet, einschließlich der Includes in den Includes. Mehr als zehn erlauben Empfänger nicht; dann gilt der ganze Eintrag als Fehler. Die Prüfung zeigt auch, wohin die Abfragen gehen, und den fertigen Eintrag zum Kopieren.

Das Portal speichert nichts. Den Eintrag setzt du selbst bei deinem DNS-Anbieter, und zwar anstelle des bisherigen SPF-Eintrags: Zwei SPF-Einträge für eine Domain gelten als Fehler. Danach klickst du auf Erneut prüfen.

Befundbericht mit Note

Unter den drei Ampeln steht der vollständige Befundbericht: eine Note von A bis F, die Zahl der Fehler und Warnungen, und darunter die Befunde im Klartext, Fehler zuerst und bestätigte Punkte zuletzt.

Es ist dieselbe Prüfung, die das öffentliche DNS-Werkzeug jedem Besucher anbietet, mit einem Vorteil: für deine eigenen Domains kennen wir die tatsächlichen DKIM-Selektoren deiner Zugänge. Das öffentliche Werkzeug muss sie raten und findet einen eigenen Selektor nie.

Geprüft wird mehr, als die Ampeln zeigen: das Lookup-Budget deines SPF-Eintrags und Schleifen in seinen Includes, der Testmodus und pct bei DMARC, die Schlüsselstärke deiner DKIM-Einträge, dazu die MX-Einträge.

Der Bericht entsteht im nächtlichen Lauf und beim Klick auf Erneut prüfen, nicht bei jedem Seitenaufruf, denn er kostet bis zu sechzig DNS-Abfragen je Domain. Steht bei einer Domain noch keiner, heißt das „noch nicht geprüft", nicht „nichts gefunden"; die Ampeln stehen trotzdem.

Versand und Zustellbarkeit

Über der Domainliste steht, welche IP für dich versendet und wie es ihr geht:

ob sie auf einer Sperrliste steht. Steht sie darauf, kümmern wir uns um die Streichung, du musst nichts tun.
ob ein großer Anbieter gerade drosselt oder blockiert. Deine Mails bleiben dabei in der Warteschlange und gehen nach, sobald es wieder läuft.
ob die IP in der Warmlaufphase ist, samt der Grenze je Stunde und Tag. Das ist die Antwort auf „warum hängen meine Mails": eine neue Versand-IP muss langsam anlaufen, sonst stufen Empfänger sie als verdächtig ein.

Daneben steht der SPF-Include zum Kopieren. Trag den Include ein, nicht die IP: er gilt weiter, wenn wir den Server wechseln, die IP nicht.

Automatische Überwachung

MailBridge prüft alle Domains einmal täglich. Bricht ein Eintrag später, etwa weil beim Domain-Anbieter etwas geändert wurde, erscheint das auf dem Dashboard unter Handlungsbedarf und auf Wunsch per Mail, siehe Benachrichtigungen. DNS-Änderungen brauchen bis zu 24 Stunden, bis sie überall sichtbar sind.

Domainbindung

Jede Domain hat einen Bindungsmodus: Bei Beobachtung werden Mails mit fremden Absenderadressen nur protokolliert, bei Erzwungen nimmt der Server ausschließlich Absenderadressen dieser Domain an. So kann ein kompromittierter Zugang nicht im Namen fremder Domains senden.

Diese Funktion findest du im Kundenportal: my.mailbridge.email, der Zugang ist in jedem Paket enthalten.

Diese Seite auf Englisch: English version