MX, SPF, DKIM, DMARC, MTA-STS und die Einträge für die automatische Konfiguration, die fast niemand von Hand anlegt. Was jeder Eintrag tut, welche zwei Familien wir bewusst weglassen, und warum unsere Prüfung Ihren bestehenden SPF-Eintrag zusammenführt, statt Ihnen zu sagen, Sie sollten ihn ersetzen.
E-Mail auf der eigenen Domain einzurichten bedeutet, DNS-Einträge zu veröffentlichen, und DNS ist genau die Stelle, an der Migrationen still scheitern. Nicht weil diese Einträge schwierig wären, sondern weil es mehr davon gibt als irgendwer erwartet, weil einige davon lange Ketten kryptografischen Materials sind, und weil ein einziger feiner Fehler bedeutet, dass Ihre Post weiter funktioniert, bis zu genau dem Tag, an dem sie es nicht mehr tut.
Unsere Haltung ist deshalb, dass Sie das nie selbst recherchieren müssen. Wenn Sie eine Domain zu email.eu hinzufügen, erzeugen wir genau die Einträge, die Ihre Domain braucht, zeigen Ihnen, was heute veröffentlicht ist, und sagen Ihnen, welche noch nicht stimmen. Dieser Beitrag handelt davon, welche Einträge das sind, was wir bewusst weglassen, und wie die Prüfung funktioniert.
Die kurze Antwort: etwa zwanzig Einträge in sechs Familien. Wofür sie da sind, in klaren Worten.
| Eintrag | Was er tut |
|---|---|
| MX | Zeigt dem Internet, welche Server Post für Ihre Domain annehmen. Ohne ihn kommt nichts an. |
| SPF | Listet auf, wer in Ihrem Namen senden darf. Empfänger nutzen ihn, um Fälschungen abzuweisen. |
| DKIM | Veröffentlicht die öffentliche Hälfte eines Signaturschlüssels, damit Empfänger prüfen können, dass Ihre Post unterwegs nicht verändert wurde. |
| DMARC | Sagt Empfängern, was zu tun ist, wenn SPF und DKIM sich widersprechen, und wohin Berichte darüber gehen. |
| MTA-STS und TLS-RPT | Legen fest, dass Post an Ihre Domain über TLS zugestellt werden muss, und wohin es gemeldet wird, wenn das nicht geht. |
| SRV und CNAME | Lassen Mailprogramme Ihre Servereinstellungen selbst finden, statt Ihre Leute Portnummern eintippen zu lassen. |
Diese letzte Familie richtet fast niemand von Hand ein, und sie ist der Unterschied zwischen einer Kollegin, die ihre Adresse eintippt und fertig ist, und einer Kollegin, die ihre Adresse eintippt und dann Portnummern sucht.
Der Mailserver selbst weiß, was er braucht. Stalwart, der Mailserver hinter email.eu, kann eine vollständige Zone für eine Domain ausgeben, sobald diese Domain existiert, einschließlich des DKIM-Schlüssels, der gerade für Sie erzeugt wurde. Diese Zone lesen wir aus und machen daraus zwei Dinge: eine lesbare Tabelle in Ihrem Dashboard und eine Zonendatei, die die meisten DNS-Anbieter in einem Durchgang importieren.
Was wir nicht tun: in Ihr DNS greifen und die Einträge selbst schreiben. Dafür bräuchten wir API-Zugang zu Ihrem Registrar, und das ist eine ziemliche Menge Zugriff dafür, dass wir Ihnen ein einziges Einfügen ersparen. Ihre Domain bleibt Ihre. Wir sagen genau, was zu veröffentlichen ist, und prüfen danach, ob es dort steht.
Die rohe Zone, die der Mailserver erzeugt, enthält etwa achtundfünfzig Einträge. Wir zeigen Ihnen etwa zweiundzwanzig. Der Unterschied sind zwei Familien, die wir bewusst herausnehmen, und beide Entscheidungen sind eine Erklärung wert, denn "unser System hat es erzeugt" ist kein Grund, Ihnen etwas zu geben, das Ihnen später schadet.
DANE-Einträge (TLSA). DANE fixiert das genaue Zertifikat Ihres Mailservers im DNS. Das ist wirklich gute Sicherheit, und es ist eine Falle für DNS, das von Hand gepflegt wird, denn diese Fixierung muss jedes Mal neu veröffentlicht werden, wenn das Zertifikat erneuert wird. Bei Zertifikaten, die etwa alle sechzig Tage erneuert werden, ist ein DANE-Eintrag, den Sie einmal eingefügt und dann vergessen haben, ein Eintrag, der irgendwann still Ihre Post abweist. Wir geben Ihnen keine Zeitbombe mit einer Zündschnur von zwei Monaten, also lassen wir diese Einträge weg.
CAA-Einträge. Ein CAA-Eintrag legt fest, welche Zertifizierungsstelle Zertifikate für Ihre Domain ausstellen darf, und er gilt für Ihre ganze Domain, nicht nur für die Post. Die Fassung, die ein Mailserver erzeugt, zeigt auf das Zertifikatskonto genau dieses Mailservers. Veröffentlichen Sie sie, haben Sie der Welt still mitgeteilt, dass nur dieses Konto Zertifikate für Ihr Unternehmen ausstellen darf, und dazu gehört auch das Zertifikat auf Ihrer Website, das nichts mit uns zu tun hat. Zertifikatsrichtlinien für Ihre Domain sind eine Entscheidung, die Sie bewusst treffen, kein Nebeneffekt des Einrichtens von E-Mail. Von CAA lassen wir also die Finger.
Das ist die allgemeine Regel, die wir anwenden: Die Menge, die wir empfehlen, ist die Menge, die funktioniert, ohne Pflege weiter funktioniert, und nur die Post betrifft.
Sobald Sie veröffentlicht haben, prüfen wir. Jeder Eintrag bekommt eines von wenigen ehrlichen Ergebnissen: richtig veröffentlicht, fehlend, oder vorhanden aber anders als erwartet. Fehlend und anders sind bewusst verschiedene Antworten, weil sie Verschiedenes von Ihnen verlangen.
Bei SPF verdient eine solche Prüfung ihr Geld. Eine Domain darf nur einen SPF-Eintrag haben, also existiert Ihr SPF-Eintrag bereits und listet sie schon auf, wenn Sie Ihre Rechnungen über Ihre Buchhaltung und Ihren Newsletter über ein Mailtool versenden. Eine naive Prüfung sieht, dass unser vorgeschlagener Eintrag fehlt, meldet ihn als fehlend, und schon werden Sie beraten, Ihre Rechnungen zu zerstören.
Unsere macht das Richtige. Sie liest, was Sie veröffentlicht haben, prüft, ob es uns schon erlaubt, und wenn nicht, baut sie den zusammengeführten Eintrag, den Sie wirklich veröffentlichen sollten: Ihre bestehenden Absender, dazu wir, mit Ihrer eigenen Richtlinie am Ende. Haben Sie Softfail statt hartem Fehlschlag gewählt, behalten wir Ihre Wahl. Das ist Ihre Entscheidung über Ihre Domain, nicht unsere.
Davor kommt noch ein kleiner Eintrag, der etwas anderes tut: ein Bestätigungscode auf _email-eu-verify Ihrer Domain. Er existiert, damit niemand Ihre Domain seiner eigenen Arbeitsumgebung hinzufügen und Ihre Post empfangen kann. Veröffentlichen Sie ihn, wir sehen ihn nach, und die Domain gehört in unserem System Ihnen.
Danach sieht die ganze Reihenfolge so aus.
Beim letzten Schritt bleiben wir besonders ehrlich. Auf "live gehen" zu klicken lässt Ihr Dashboard nicht behaupten, Sie seien live. Dort steht live, sobald eine DNS-Prüfung den MX-Eintrag der Außenwelt tatsächlich auf uns zeigen sah. Absicht und Wirklichkeit sind zwei verschiedene Dinge, und eine Statusanzeige, die beide verwechselt, ist schlechter als keine.
Noch ein Detail, das langfristig zählt: Ihre Einträge werden jedes Mal neu aus dem Mailserver geholt, wenn Sie die Domainseite öffnen, und nicht auf den Moment Ihrer Anmeldung eingefroren. Wächst das Mailcluster um einen zweiten MX-Host, oder zieht einer der Einträge für die automatische Konfiguration um, zeigt die Seite, aus der Sie kopieren, schon die neue Wahrheit. Niemand muss Ihnen eine Korrektur schicken.
Nichts davon ist aufregend. Es ist der Teil des Weggehens vom alten Anbieter, an dem Leute aufgeben, oder schlimmer, auf halbem Weg stehen bleiben und ein Jahr lang Post haben, die meistens ankommt. Daraus eine Tabelle, ein Einfügen und eine Prüfung zu machen, verwandelt ein Recherchevorhaben in einen Nachmittag.
Wenn Sie die echten Einträge für Ihre eigene Domain sehen wollen, bevor Sie sich festlegen, finden Sie sie hinter dem ersten Schritt der Anmeldung, und der Migrationsleitfaden für ein Wochenende geht den ganzen Wechsel von Anfang bis Ende durch.