Einen Eintrag lesen
Jeder DNS-Eintrag hat dieselbe Form: Name TTL Klasse Typ Daten. Die TTL (Sekunden) sagt, wie lange Resolver ihn cachen dürfen; die Klasse ist fast immer IN; der Typ bestimmt, wie die Daten zu lesen sind. dig gibt in seiner ANSWER SECTION genau dieses Format aus, Sie können es also direkt einfügen.
Das E-Mail-Trio
SPF (ein TXT-Eintrag an der Domain) listet, welche Server Mail von der Domain senden dürfen. Er wird von links nach rechts ausgewertet; der erste passende Mechanismus entscheidet, und der Qualifier davor (- fail, ~ softfail, ? neutral, + pass) ist das Ergebnis. Insgesamt sind nur zehn Mechanismen erlaubt, die DNS-Lookups auslösen (include, a, mx, ptr, exists, redirect), verschachtelte Includes mitgezählt; mehr ergibt einen permanenten Fehler, der den Eintrag nutzlos macht. Enden Sie mit -all oder ~all; +all autorisiert das gesamte Internet.
DKIM veröffentlicht einen Public Key unter selektor._domainkey.domain; der sendende Server signiert jede Nachricht mit dem privaten Schlüssel. Schlüssel sollten 2048-Bit-RSA oder Ed25519 sein; viele Empfänger lehnen 1024 Bit inzwischen ab.
DMARC (_dmarc.domain) sagt Empfängern, was zu tun ist, wenn weder SPF noch DKIM zur From-Domain passen (p=none, quarantine, reject), und wohin Sammelberichte gehen (rua=). Beginnen Sie mit p=none und Berichten, beheben Sie die fehlschlagenden Quellen und wechseln Sie dann zu reject.
Weitere wissenswerte Einträge
- CAA: welche Zertifizierungsstellen für den Namen ausstellen dürfen.
0 issue "letsencrypt.org"sperrt jede andere CA; ein fehlender CAA-Eintrag erlaubt alle. - SRV: Priorität, Gewicht, Port, Ziel für einen Dienst wie
_sip._tcpoder_xmpp-client._tcp. Niedrigere Priorität gewinnt; das Gewicht verteilt Last unter Gleichen. - SOA: die Serial der Zone (bei jeder Änderung erhöhen, damit Secondaries es merken), Refresh/Retry/Expire-Timer für Secondaries und die Negativ-Cache-TTL für NXDOMAIN-Antworten.
- HTTPS: sagt Browsern, dass eine Seite HTTP/3 unterstützt (
alpn="h3,h2"), und trägt Encrypted-ClientHello-Schlüssel.
Fragen
Wie bekomme ich die Einträge meiner Domain?
dig example.com ANY funktioniert kaum noch; fragen Sie jeden Typ einzeln: dig example.com MX, dig TXT example.com, dig _dmarc.example.com TXT, dig +short example.com A. Fügen Sie die Antwortzeilen hier ein.
Warum meldet SPF „zu viele DNS-Lookups“?
Jedes include:, a, mx, ptr, exists und redirect zählt, auch die innerhalb der eingebundenen Einträge. Google Workspace allein braucht mehrere. Flachen Sie selten genutzte Includes zu ip4/ip6-Bereichen ab oder entfernen Sie ungenutzte Dienste.
Warum funktioniert mein CNAME nicht an der Root-Domain?
Ein CNAME kann nicht neben anderen Einträgen am selben Namen stehen, und der Apex hat immer SOA- und NS-Einträge. Verwenden Sie die ALIAS/ANAME/Flattening-Funktion des Anbieters oder A/AAAA-Einträge.
Welche TTL soll ich verwenden?
3600 (eine Stunde) ist ein normaler Standard. Senken Sie sie einen Tag vor einer geplanten Änderung auf 300 und erhöhen Sie sie danach wieder. Sehr niedrige TTLs erhöhen die Last auf den autoritativen Servern und verlangsamen Abfragen leicht.