TXT-Record erklärt: Beispiele für SPF, DKIM, DMARC und Verifikation

TXT ist ein vielseitiger DNS-Record. Der Record-Typ selbst kennt jedoch keine Bedeutung wie „SPF“ oder „Verifikation“: Erst das jeweilige Protokoll beziehungsweise der auslesende Dienst legt fest, wie Name und Textwert interpretiert werden.

TXT-Records sind öffentlich abrufbar. Zugangsdaten, private Schlüssel oder andere Geheimnisse gehören deshalb niemals hinein. Veröffentliche nur Werte, die ein Dienst ausdrücklich für das DNS vorgibt.

Wie ist ein TXT-Record aufgebaut?

Ein einfaches Beispiel lautet:

example.com. 3600 IN TXT "service-verification=abc123"

Der Name bestimmt, wo der Wert liegt, die TTL steuert seine Cache-Dauer und der Inhalt steht in einer oder mehreren Zeichenketten. Im DNS-Protokoll darf eine einzelne Zeichenkette höchstens 255 Oktette umfassen. Ein TXT-Record kann aber mehrere solcher Teile enthalten; die auswertende Anwendung setzt sie in der angegebenen Reihenfolge zusammen.

Hostname und Eingabeweise unterscheiden sich je nach Provider. Für die Hauptdomain steht häufig @; andere Oberflächen erwarten ein leeres Feld oder den vollständigen Domainnamen. Bei selector._domainkey oder _dmarc hängt der Anbieter die eigene Domain oft automatisch an.

Welche Aufgaben haben TXT-Records?

Mehrere TXT-Records dürfen am selben Namen existieren, wenn sie unterschiedliche Aufgaben erfüllen. Die Anwendung sucht nach dem für sie vorgesehenen Präfix oder Format. Problematisch sind dagegen mehrere SPF-Richtlinien am selben Namen oder mehrere DMARC-Records unter _dmarc.

SPF, DKIM und DMARC unterscheiden

SPF: erlaubte Versandquellen

Ein SPF-Wert beginnt mit v=spf1. Er beschreibt, welche Server für eine Domain senden dürfen. Mechanismen wie ip4, ip6 und include binden Adressen oder Regeln von Versanddiensten ein. Der abschließende all-Mechanismus legt fest, wie andere Quellen bewertet werden.

SPF hat außerdem ein Limit von zehn DNS-auslösenden Begriffen während einer Prüfung. Zusätzliche include-Ketten können dieses Limit unerwartet ausschöpfen. Kopiere deshalb nicht einfach alte und neue Anbieterangaben zusammen.

DKIM: Signatur mit öffentlichem Schlüssel

Bei DKIM signiert der versendende Mailserver ausgewählte Teile einer Nachricht. Der Empfänger liest den öffentlichen Schlüssel unter einem Selektor wie selector1._domainkey.example.com. Mehrere Selektoren sind normal und erleichtern den Schlüsselwechsel. Der private Schlüssel bleibt beim Versanddienst und gehört nie ins DNS.

Wie Signatur, Selektor und Schlüsselwechsel zusammenspielen, zeigt der ausführliche Ratgeber DKIM einrichten.

DMARC: Abgleich und Richtlinie

DMARC liegt unter _dmarc.example.com. Es bewertet SPF und DKIM im Verhältnis zur sichtbaren Absenderdomain. Ein Eintrag kann außerdem festlegen, wie Empfänger mit nicht übereinstimmenden Nachrichten umgehen und wohin zusammengefasste Berichte gesendet werden.

SPF, DKIM und DMARC ersetzen einander nicht. Sie prüfen unterschiedliche Merkmale und wirken erst in abgestimmter Konfiguration zuverlässig. Der MX-Record ist davon getrennt und bestimmt, wohin eingehende Nachrichten zugestellt werden.

Domain-Verifikationen richtig verwalten

Cloud-, Suchmaschinen-, Zertifikats- und Hostingdienste verwenden TXT-Records, um die Kontrolle über eine Domain nachzuweisen. Der Anbieter nennt dafür einen Hostnamen und einen meist zufälligen Token. Dieser Wert berechtigt nicht automatisch zum Zugriff auf das DNS, kann aber eine Kontoverknüpfung oder Freischaltung bestätigen.

Lösche einen Verifikationswert erst, wenn die Dokumentation des Dienstes dies erlaubt. Einige Dienste prüfen nur einmal, andere erneut bei Änderungen oder regelmäßig. Halte zu jedem Record fest, zu welchem Konto, Projekt und Ansprechpartner er gehört. So werden später weder aktive Nachweise entfernt noch verwaiste Einträge dauerhaft mitgeführt.

TXT-Record sicher einrichten

1. Übernimm Hostname und Wert direkt aus der aktuellen Dokumentation oder Administrationsoberfläche des Dienstes.
2. Prüfe, ob Dein DNS-Interface die Domain automatisch an den Hostnamen anhängt.
3. Füge keine Zeilenumbrüche, typografischen Anführungszeichen oder zusätzlichen Leerzeichen ein.
4. Ändere vorhandene SPF- oder DMARC-Werte nicht, bevor ihre bisherigen Absender und Berichtsempfänger geklärt sind.
5. Speichere den Record und frage die autoritativen Nameserver ab.
6. Starte danach die Verifikation oder sende eine Testnachricht und kontrolliere das Ergebnis beim Zielsystem.

Die Grundlagen zu Name, TTL und autoritativer Zone erklärt der Überblick über DNS-Einträge. Bei einer geplanten Migration kann eine zuvor reduzierte TTL die Übergangsphase verkürzen; bereits zwischengespeicherte Antworten bleiben dennoch bis zum Ablauf ihrer alten TTL bestehen.

TXT-Records prüfen und typische Fehler finden

Mit dig TXT example.com oder nslookup -type=TXT example.com kannst Du Werte der Hauptdomain abfragen. Für DKIM und DMARC muss der vollständige Name verwendet werden, beispielsweise dig TXT selector1._domainkey.example.com oder dig TXT _dmarc.example.com.

• Liegt der Wert am exakt verlangten DNS-Namen?
• Ist der veröffentlichte Inhalt vollständig und ohne typografische Zeichen?
• Gibt es am selben Namen mehr als eine SPF- oder DMARC-Richtlinie?
• Antworten die autoritativen Nameserver bereits mit dem neuen Wert?
• Ist eine lange Ausgabe nur in Teilstrings dargestellt oder tatsächlich beschädigt?
• Erkennt der verwendende Dienst den Record nach Ablauf bestehender Caches?

Die sichtbare Aufteilung eines langen TXT-Werts in mehrere quoted strings ist nicht automatisch ein Fehler. Kritisch wird es, wenn ein DNS-Interface daraus mehrere getrennte Records macht oder Zeichen verändert. Vergleiche daher den logisch zusammengesetzten Inhalt mit der Vorgabe des Dienstes.

Häufige Fragen

Ein regelmäßiges Inventar mit Name, Zweck, zuständigem Dienst und Änderungsdatum erleichtert die Pflege. Besonders nach dem Wechsel eines Mail- oder Cloud-Anbieters sollten alte Werte geprüft, aber nicht ohne Kenntnis ihrer Funktion entfernt werden.

Für die praktische Kontrolle stehen dir unser SPF-Check, der DMARC-Check und der DKIM-Check zur Verfügung.

Wie die veröffentlichten Werte bei einer echten Nachricht zusammenspielen, erklärt der Ratgeber SPF, DKIM und DMARC prüfen.