Yandex 360 Mail DNS einrichten: MX, SPF, DKIM und DMARC

Schritte

1. Domain hinzufügen und bestätigen. Fügen Sie die Domain im Admin-Panel hinzu und bestätigen Sie sie mit dem TXT-Record, den das Panel anzeigt (es werden auch andere Methoden angeboten).
2. Postfächer anlegen. Legen Sie jede Adresse an, bevor Sie den MX umstellen.
3. MX-Record veröffentlichen. Entfernen Sie die alten MX-Records und legen Sie einen Record mit Priorität 10 an, der auf mx.yandex.net zeigt.
4. SPF veröffentlichen. Legen Sie einen TXT-Record am Apex an: v=spf1 redirect=_spf.yandex.net. Versenden weitere Dienste für die Domain, verwenden Sie include:_spf.yandex.net zusammen mit deren Includes und beenden Sie den Record mit ~all, denn redirect lässt sich nicht mit all kombinieren.
5. DKIM veröffentlichen. Kopieren Sie den öffentlichen Schlüssel aus dem Admin-Panel in einen TXT-Record unter mail._domainkey.
6. DMARC ergänzen und prüfen. Veröffentlichen Sie einen DMARC-Record mit p=none und führen Sie dann die Prüfungen auf dieser Seite aus.

DMARC

DMARC ist bei jedem Anbieter gleich: ein TXT-Record unter _dmarc.example.com. Beginnen Sie mit p=none und einer Berichtsadresse, damit Sie Berichte erhalten, ohne die Zustellung zu beeinflussen.

Lesen Sie die Berichte einige Wochen lang. Wenn jeder legitime Absender SPF oder DKIM mit passender Domain (Alignment) besteht, wechseln Sie zu p=quarantine und danach zu p=reject. Die Umstellung auf reject, bevor DKIM für alle Absender aktiv ist, ist der übliche Grund dafür, dass legitime E-Mails verloren gehen.

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

Optional: MTA-STS, TLS-RPT und BIMI

MTA-STS weist sendende Server an, bei der Zustellung an Sie TLS zu verlangen. Nötig sind ein TXT-Record und eine Policy-Datei, die über HTTPS unter mta-sts.example.com ausgeliefert wird; die Policy muss die MX-Hosts Ihres Anbieters exakt aufführen.

TLS-RPT bittet Absender, TLS-Zustellfehler an eine von Ihnen gewählte Adresse zu melden. Ein TXT-Record, keine Auswirkung auf die Zustellung.

Mit BIMI können manche Postfach-Anbieter Ihr Logo anzeigen. Voraussetzung ist DMARC mit quarantine oder reject, und die meisten Anbieter verlangen zusätzlich ein Verified Mark Certificate.

_mta-sts.example.com.  3600  IN  TXT  "v=STSv1; id=20260921T000000"
_smtp._tls.example.com.  3600  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-reports@example.com"
default._bimi.example.com.  3600  IN  TXT  "v=BIMI1; l=https://example.com/logo.svg"

Hinweise zur TTL

Bevor Sie MX-Records einer Domain ändern, die bereits E-Mails empfängt, senken Sie deren TTL auf 300 Sekunden und warten Sie, bis die alte TTL abgelaufen ist. Resolver übernehmen die neuen Records dann innerhalb von Minuten.

Läuft die neue Einrichtung seit einigen Tagen, erhöhen Sie die TTL wieder: 3600 Sekunden sind ein gängiger Wert. SPF-, DKIM- und DMARC-Records ändern sich selten und sind mit 3600 gut bedient.

Wie lange dauern die Änderungen?

Ihre autoritativen Nameserver antworten mit dem neuen Record, sobald Ihr DNS-Anbieter ihn veröffentlicht hat. Ein Resolver, der die alte Antwort im Cache hat, behält sie, bis die alte TTL abläuft; ein Name, der vorher nicht existierte, kann für die Dauer des negativen Cachings aus Ihrem SOA-Record als nicht vorhanden gemerkt bleiben.

Es gibt keinen Moment, in dem eine Änderung überall zugleich gilt. Das Propagation-Tool zeigt, was eine feste Auswahl öffentlicher Resolver zum Zeitpunkt der Prüfung antwortet, angegeben als Anzahl wie „9 von 12 Resolvern“, und nicht mehr als das.

Anbieter prüfen Ihre Records nach ihrem eigenen Zeitplan erneut. Eine Verifizierungsschaltfläche im Panel kann deshalb noch eine Weile rot bleiben, obwohl das DNS bereits stimmt.

Häufige Fehler

• Weitere Absender hinter redirect= anhängen. Alles nach einem redirect wird ignoriert, solange der Record nicht mit include: neu geschrieben wird.
• Zwei SPF-Records. Eine Domain darf nur einen TXT-Record haben, der mit v=spf1 beginnt; ein zweiter lässt SPF mit einem permanenten Fehler scheitern. Führen Sie die include:-Mechanismen in einem Record zusammen.
• Die MX-Records des alten Anbieters neben den neuen stehen lassen. E-Mails werden dann je nach Priorität und Zufall bei dem einen oder dem anderen zugestellt.
• Den vollständigen Namen in ein Host-Feld eintragen, das die Domain selbst anhängt; das ergibt google._domainkey.example.com.example.com. Fragen Sie den Record nach dem Speichern ab.
• Ein halbierter DKIM-Schlüssel. Lange TXT-Werte müssen in Zeichenketten in Anführungszeichen mit höchstens 255 Zeichen aufgeteilt werden; die meisten DNS-Anbieter erledigen das für Sie, manche nicht.
• Mehr als zehn DNS-Abfragen im SPF, nachdem mehrere include:-Mechanismen hinzugekommen sind. Der SPF-Check zählt sie.
• Ein MX-Record, der auf einen CNAME oder auf eine IP-Adresse zeigt. Er muss auf einen Hostnamen zeigen, der A- oder AAAA-Records hat.