Wenn du deine eigenen Postfächer verbindest, sendet deine eigene Domain die E-Mails. Drei DNS-Einträge zeigen empfangenden Mailservern, dass diese E-Mails wirklich von dir kommen: SPF, DKIM und DMARC. Ohne sie landen mehr deiner E-Mails im Spam oder werden abgelehnt. Leg alle drei vor deiner ersten Kampagne an.
Postfächer, die du über Argorant bestellst, haben alle drei schon. Wir legen sie bei der Bestellung auf den neuen Domains an, diesen Artikel kannst du dann überspringen. Siehe Neue Postfächer und Domains bestellen.
Was jeder Eintrag tut
| Eintrag | Was er tut | Wo er steht |
|---|---|---|
| SPF | Listet die Mailserver, die für deine Domain senden dürfen. | Ein TXT-Eintrag direkt auf der Domain |
| DKIM | Setzt eine Signatur unter jede E-Mail. Der Empfänger kann prüfen, dass die E-Mail von deiner Domain kommt und unterwegs nicht verändert wurde. | Ein TXT- oder CNAME-Eintrag, den dir dein Mail-Anbieter gibt |
| DMARC | Sagt Empfängern, was mit E-Mails passieren soll, die bei SPF und DKIM durchfallen, und wohin sie Berichte darüber schicken. | Ein TXT-Eintrag auf _dmarc.deinedomain.de |
Argorant braucht keinen eigenen Eintrag. Deine Kampagnen-E-Mails gehen über Google oder Microsoft raus, deshalb decken deren Einträge jede E-Mail ab, die Argorant für dich sendet. Du legst die Einträge dort an, wo das DNS deiner Domain verwaltet wird, meist bei der Firma, bei der du die Domain gekauft hast. Argorant kann sie nicht für dich ändern.
Die Menüs von Google und Microsoft stehen hier so, wie sie in der englischen Oberfläche heißen.
Google Workspace
Du brauchst einen Super Admin von Google Workspace und Zugriff auf das DNS deiner Domain.
- SPF. Leg direkt auf der Domain einen TXT-Eintrag an (der Host heißt oft
@), mit diesem Wert:v=spf1 include:_spf.google.com ~all - DKIM. Öffne in der Google Admin-Konsole Apps, Google Workspace, Gmail und dann Authenticate email. Wähl deine Domain und klick auf Generate new record. Google zeigt einen TXT-Eintrag mit dem Host
google._domainkeyund einem langen Wert. Leg ihn genau so in deinem DNS an. - Klick danach in Authenticate email auf Start authentication. Findet Google den Eintrag noch nicht, wart eine Stunde und versuch es noch einmal.
- DMARC. Leg einen TXT-Eintrag mit dem Host
_dmarcund diesem Wert an. Setz statt des Beispiels eine Adresse ein, die du liest:v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de
Microsoft 365
Du brauchst einen Admin von Microsoft 365 und Zugriff auf das DNS deiner Domain.
- SPF. Leg direkt auf der Domain einen TXT-Eintrag mit diesem Wert an:
v=spf1 include:spf.protection.outlook.com ~all - DKIM. Öffne im Microsoft Defender Portal Email & collaboration, Policies & rules, Threat policies, Email authentication settings und dann den Tab DKIM. Klick auf deine Domain. Bietet Microsoft an, DKIM-Schlüssel zu erstellen, mach das zuerst. Danach zeigt Microsoft zwei CNAME-Einträge,
selector1._domainkeyundselector2._domainkey, mit den Werten für deine Domain. Leg beide genau so in deinem DNS an. - Schalte danach bei deiner Domain im Tab DKIM den Schalter Sign messages for this domain with DKIM signatures ein. Findet Microsoft die Einträge noch nicht, wart eine Stunde und versuch es noch einmal.
- DMARC. Leg denselben TXT-Eintrag an wie bei Google: Host
_dmarc, Wertv=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de
Andere Mail-Anbieter funktionieren genauso. Frag deinen Anbieter nach seinem SPF-Include und seinem DKIM-Eintrag, und leg dann den DMARC-Eintrag von oben an.
Prüfen, ob es funktioniert
Bis DNS-Änderungen überall ankommen, kann es von ein paar Minuten bis zu 48 Stunden dauern. Frag die Einträge in einem Terminal unter Windows, Mac oder Linux ab. Ersetz deinedomain.de durch deine Domain.
nslookup -type=txt deinedomain.de
nslookup -type=txt _dmarc.deinedomain.deFür DKIM fragst du bei Google Workspace google._domainkey.deinedomain.de als TXT ab, bei Microsoft 365 selector1._domainkey.deinedomain.de als CNAME.
Schick dann eine normale E-Mail aus dem verbundenen Postfach an eine Gmail-Adresse, die du öffnen kannst. Öffne die E-Mail in Gmail, klick auf die drei Punkte und wähl Show original (Original anzeigen). Bei SPF, DKIM und DMARC sollte überall PASS stehen.
Starte DMARC mit p=none. Das meldet nur und blockiert nichts. Wenn SPF und DKIM ein paar Wochen lang bestehen, kannst du auf p=quarantine wechseln.
Häufige Fehler
- Zwei SPF-Einträge auf einer Domain. Eine Domain darf nur einen haben. Gibt es schon einen Eintrag, der mit
v=spf1beginnt, ergänz das Include dort, statt einen zweiten anzulegen. - Andere Absender vergessen. Ein Newsletter-Tool, ein Helpdesk oder deine Website senden vielleicht auch E-Mails für die Domain. Deren Includes gehören in denselben SPF-Eintrag.
- DKIM im DNS, aber nicht eingeschaltet. Der Eintrag bewirkt nichts, bis du bei Google auf Start authentication klickst oder bei Microsoft das Signieren einschaltest.
- DMARC gleich mit
p=reject. Dann blockiert schon ein kleiner Fehler bei SPF oder DKIM echte E-Mails. Starte mitp=none. - Cold E-Mails von deiner Haupt-Domain. Werden diese E-Mails markiert, leidet auch deine normale E-Mail. Nimm für die Ansprache eine eigene Domain, mit ihren eigenen drei Einträgen.
Die Einträge machen deine E-Mails vertrauenswürdig, aber ein neues Postfach braucht trotzdem einen langsamen Start. Schalte das Warm-up ein und halte das tägliche Versandlimit am Anfang niedrig.