Zarfio DNS einrichten: MX, SPF, DKIM und DMARC

Schritte

1. Konto eröffnen und Domain hinzufügen. Legen Sie ein Zarfio-Konto an und fügen Sie die Domain hinzu, die Ihnen gehört. Das Panel listet die Records auf, die diese Domain braucht.
2. Domain verifizieren. Veröffentlichen Sie den Verifizierungs-Record, den das Panel anzeigt, bei Ihrem DNS-Anbieter und bestätigen Sie ihn anschließend im Panel.
3. Postfächer anlegen. Legen Sie jede Adresse an, die Sie heute nutzen, bevor Sie den MX umstellen. Bestehende Postfächer bei Google Workspace oder Yandex 360 lassen sich migrieren.
4. MX-TTL senken und MX umstellen. Bei einer Domain, die bereits E-Mails empfängt, senken Sie zuerst die TTL der MX-Records. Ersetzen Sie dann die alten MX-Records durch die aus dem Panel.
5. SPF, DKIM und DMARC veröffentlichen. Kopieren Sie die SPF- und DKIM-Werte genau so aus dem Panel, wie sie angezeigt werden. Versendet ein weiterer Dienst für die Domain, bleiben Sie bei einem SPF-Record und nehmen Sie das include: dieses Dienstes darin auf.
6. Mit OrbitProbe prüfen. Führen Sie die Prüfungen für MX, SPF, DKIM und DMARC auf dieser Seite aus, bis jede die Werte aus dem Panel liest.

DMARC

DMARC ist bei jedem Anbieter gleich: ein TXT-Record unter _dmarc.example.com. Beginnen Sie mit p=none und einer Berichtsadresse, damit Sie Berichte erhalten, ohne die Zustellung zu beeinflussen.

Lesen Sie die Berichte einige Wochen lang. Wenn jeder legitime Absender SPF oder DKIM mit passender Domain (Alignment) besteht, wechseln Sie zu p=quarantine und danach zu p=reject. Die Umstellung auf reject, bevor DKIM für alle Absender aktiv ist, ist der übliche Grund dafür, dass legitime E-Mails verloren gehen.

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

Optional: MTA-STS, TLS-RPT und BIMI

MTA-STS weist sendende Server an, bei der Zustellung an Sie TLS zu verlangen. Nötig sind ein TXT-Record und eine Policy-Datei, die über HTTPS unter mta-sts.example.com ausgeliefert wird; die Policy muss die MX-Hosts Ihres Anbieters exakt aufführen.

TLS-RPT bittet Absender, TLS-Zustellfehler an eine von Ihnen gewählte Adresse zu melden. Ein TXT-Record, keine Auswirkung auf die Zustellung.

Mit BIMI können manche Postfach-Anbieter Ihr Logo anzeigen. Voraussetzung ist DMARC mit quarantine oder reject, und die meisten Anbieter verlangen zusätzlich ein Verified Mark Certificate.

_mta-sts.example.com.  3600  IN  TXT  "v=STSv1; id=20260921T000000"
_smtp._tls.example.com.  3600  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-reports@example.com"
default._bimi.example.com.  3600  IN  TXT  "v=BIMI1; l=https://example.com/logo.svg"

E-Mail-Programme: Autodiscover und Autoconfig

Zarfio-Postfächer funktionieren mit Webmail und mit gängigen IMAP-, SMTP- und ActiveSync-Clients. Für die manuelle Einrichtung verwenden Sie die Servernamen, die das Zarfio-Panel anzeigt.

Hinweise zur TTL

Bevor Sie MX-Records einer Domain ändern, die bereits E-Mails empfängt, senken Sie deren TTL auf 300 Sekunden und warten Sie, bis die alte TTL abgelaufen ist. Resolver übernehmen die neuen Records dann innerhalb von Minuten.

Läuft die neue Einrichtung seit einigen Tagen, erhöhen Sie die TTL wieder: 3600 Sekunden sind ein gängiger Wert. SPF-, DKIM- und DMARC-Records ändern sich selten und sind mit 3600 gut bedient.

Wie lange dauern die Änderungen?

Ihre autoritativen Nameserver antworten mit dem neuen Record, sobald Ihr DNS-Anbieter ihn veröffentlicht hat. Ein Resolver, der die alte Antwort im Cache hat, behält sie, bis die alte TTL abläuft; ein Name, der vorher nicht existierte, kann für die Dauer des negativen Cachings aus Ihrem SOA-Record als nicht vorhanden gemerkt bleiben.

Es gibt keinen Moment, in dem eine Änderung überall zugleich gilt. Das Propagation-Tool zeigt, was eine feste Auswahl öffentlicher Resolver zum Zeitpunkt der Prüfung antwortet, angegeben als Anzahl wie „9 von 12 Resolvern“, und nicht mehr als das.

Anbieter prüfen Ihre Records nach ihrem eigenen Zeitplan erneut. Eine Verifizierungsschaltfläche im Panel kann deshalb noch eine Weile rot bleiben, obwohl das DNS bereits stimmt.

Häufige Fehler

• Den MX umstellen, bevor die Postfächer existieren. E-Mails an noch nicht angelegte Adressen werden dann abgewiesen.
• Zwei SPF-Records. Eine Domain darf nur einen TXT-Record haben, der mit v=spf1 beginnt; ein zweiter lässt SPF mit einem permanenten Fehler scheitern. Führen Sie die include:-Mechanismen in einem Record zusammen.
• Die MX-Records des alten Anbieters neben den neuen stehen lassen. E-Mails werden dann je nach Priorität und Zufall bei dem einen oder dem anderen zugestellt.
• Den vollständigen Namen in ein Host-Feld eintragen, das die Domain selbst anhängt; das ergibt google._domainkey.example.com.example.com. Fragen Sie den Record nach dem Speichern ab.
• Ein halbierter DKIM-Schlüssel. Lange TXT-Werte müssen in Zeichenketten in Anführungszeichen mit höchstens 255 Zeichen aufgeteilt werden; die meisten DNS-Anbieter erledigen das für Sie, manche nicht.
• Mehr als zehn DNS-Abfragen im SPF, nachdem mehrere include:-Mechanismen hinzugekommen sind. Der SPF-Check zählt sie.
• Ein MX-Record, der auf einen CNAME oder auf eine IP-Adresse zeigt. Er muss auf einen Hostnamen zeigen, der A- oder AAAA-Records hat.