GoDaddy DMARC-Eintrag: Schritt für Schritt

Wo legt man den DMARC-Eintrag für eine GoDaddy-Domain an?

Der DMARC-Eintrag gehört dorthin, wo das DNS Ihrer Domain tatsächlich gehostet wird. Das muss nicht der Ort sein, an dem Sie die Domain gekauft haben. Nutzt die Domain die Nameserver von GoDaddy, legen Sie den Eintrag auf der DNS-Seite bei GoDaddy an. Zeigen die Nameserver woandershin, etwa zu Cloudflare oder zu Ihrem Webhoster, bewirkt die DNS-Seite bei GoDaddy nichts, und der Eintrag muss bei diesem Anbieter angelegt werden. Welche Nameserver aktiv sind, sehen Sie in den Domain-Einstellungen bei GoDaddy. Alternativ führen Sie im Terminal dig NS ihredomain.de aus und lesen die Antwort.

Nach der DMARC-Spezifikation der IETF fragt ein empfangender Server genau einen TXT-Record unter _dmarc.ihredomain.de ab, wobei ihredomain.de die Domain in der sichtbaren Absenderadresse (From) ist. Nichts anderes zählt. Ein Eintrag auf der Root-Domain oder auf mail.ihredomain.de wird für Mails mit From ihredomain.de nicht gelesen. Die GoDaddy-Hilfe hat eigene DMARC-Artikel für die hauseigenen Professional-Email-Postfächer und für Microsoft 365, der Eintrag selbst ist aber immer derselbe TXT-Record, egal welcher Postfachanbieter Ihre Mails verschickt.

DMARC einrichten: GoDaddy DMARC-Eintrag Schritt für Schritt anlegen

Beim DMARC-Einrichten gilt eine feste Reihenfolge: zuerst SPF und DKIM für jeden Dienst, der mit Ihrer Domain als From verschickt, dann ein DMARC-Eintrag im Monitoring-Modus, dann das Auswerten der Reports und erst danach die Durchsetzung. Die folgenden Schritte betreffen den Eintrag selbst und folgen dem Ablauf, den die GoDaddy-Hilfe für das Anlegen eines TXT-Records beschreibt. GoDaddy benennt Menüpunkte gelegentlich um. Heißt ein Button anders, suchen Sie die DNS- bzw. DNS-Einträge-Seite der Domain.

1. 1 Melden Sie sich bei GoDaddy an und öffnen Sie Ihr Domain-Portfolio.
2. 2 Wählen Sie die Domain aus und öffnen Sie die DNS-Seite mit den vorhandenen Einträgen.
3. 3 Suchen Sie nach einem TXT-Record mit dem Namen _dmarc. Gibt es schon einen, bearbeiten Sie diesen, statt einen zweiten anzulegen.
4. 4 Wählen Sie Neuen Eintrag hinzufügen (Add New Record) und stellen Sie den Typ auf TXT.
5. 5 Tragen Sie im Feld Name (Host) nur _dmarc ein. GoDaddy hängt Ihre Domain selbst an.
6. 6 Fügen Sie im Feld Wert Ihre Policy ein, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de.
7. 7 Lassen Sie die TTL auf dem Standardwert, sofern Sie keinen Grund für eine Änderung haben, und speichern Sie.
8. 8 Prüfen Sie von außerhalb von GoDaddy mit dig TXT _dmarc.ihredomain.de +short oder mit einem öffentlichen DNS-Lookup-Tool. Die Antwort sollte ein einzelner String sein, der mit v=DMARC1 beginnt.

DMARC besteht nur, wenn SPF oder DKIM besteht und mit der From-Domain aligned ist. Ein Eintrag, der veröffentlicht wird, bevor beides steht, erzeugt deshalb vor allem Fehlerzeilen. Unser SPF-, DKIM- und DMARC-Checker liest alle drei Einträge einer Domain in einer einzigen Abfrage aus.

DMARC-Eintrag Beispiel für eine GoDaddy-Domain

Ein DMARC-Beispiel liest sich am leichtesten als drei Stufen eines Rollouts. Der Name bleibt die ganze Zeit _dmarc, nur der Wert ändert sich. Die Bedeutung der Tags stammt aus der DMARC-Spezifikation.

Stufe	Wert des _dmarc-TXT-Records	Was Empfänger tun
Monitoring	v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de	Normal zustellen, aber Aggregate Reports an die rua-Adresse senden
Quarantine	v=DMARC1; p=quarantine; rua=mailto:dmarc@ihredomain.de	Fehlschlagende Mails als verdächtig behandeln, meist heißt das Spam-Ordner. Ein optionaler pct-Tag begrenzt das auf einen Anteil der fehlschlagenden Mails
Reject	v=DMARC1; p=reject; rua=mailto:dmarc@ihredomain.de	Empfänger auffordern, Mails abzulehnen, die DMARC nicht bestehen

p=none blockiert nichts und hält daher niemanden davon ab, Ihre Domain zu spoofen. Die Aufgabe dieser Stufe ist es, Reports zu erzeugen. Wer dauerhaft bei p=none bleibt, bekommt Transparenz, aber keine Durchsetzung.

Welche DMARC-Tags gehören in den Eintrag?

Die DMARC-Spezifikation definiert eine kurze Liste von Tags. Pflicht sind nur v und p, und v muss an erster Stelle stehen. Jeder Tag, den Sie weglassen, bekommt den Standardwert, den die Spezifikation dafür vorsieht.

Tag	Was er festlegt	Standard, wenn weggelassen
v	Protokollversion, immer DMARC1	Pflicht
p	Policy für die Domain: none, quarantine oder reject	Pflicht
sp	Policy für Subdomains	Wie p
rua	Adresse(n) für Aggregate Reports im XML-Format	Keine Aggregate Reports
ruf	Adresse(n) für Fehlerberichte zu einzelnen Nachrichten	Keine Fehlerberichte
pct	Anteil der fehlschlagenden Mails, auf den die Policy angewendet wird	Alle fehlschlagenden Mails
adkim	DKIM-Alignment: r (relaxed) oder s (strict)	r
aspf	SPF-Alignment: r (relaxed) oder s (strict)	r
fo	Wann Fehlerberichte erzeugt werden	Nur wenn alle Prüfungen nicht aligned sind
ri	Gewünschtes Intervall der Aggregate Reports in Sekunden	Ein Tag

Relaxed Alignment bedeutet, dass eine Subdomain wie mail.ihredomain.de trotzdem mit ihredomain.de aligned ist. Strict Alignment verlangt eine exakte Übereinstimmung. Viele große Empfänger ignorieren ruf aus Datenschutzgründen, verlassen Sie sich also nicht darauf, dass Fehlerberichte ankommen. Unsere Anleitung zum DMARC einrichten erklärt jeden Tag ausführlicher, auch wie sich sp auf Subdomains verhält.

Was geht beim GoDaddy DMARC-Eintrag typischerweise schief?

• Vollständige Domain im Feld Name: Wer _dmarc.ihredomain.de einträgt, veröffentlicht den Eintrag unter Umständen unter _dmarc.ihredomain.de.ihredomain.de, wo kein Empfänger nachsieht. Tragen Sie nur _dmarc ein.
• Zwei DMARC-Einträge: Liefert die Abfrage laut DMARC-Spezifikation mehr als einen DMARC-Eintrag, wendet der Empfänger DMARC gar nicht an. Führen Sie die Einträge zu einem zusammen.
• Falsche Nameserver: Der Eintrag steht auf der DNS-Seite bei GoDaddy, die Domain wird aber über einen anderen Anbieter aufgelöst, sodass die öffentliche Abfrage nichts zurückgibt.
• Report-Adresse auf einer anderen Domain: Zeigt rua auf ein Postfach einer fremden Domain, muss diese Domain einen Autorisierungs-TXT-Record unter ihredomain.de._report._dmarc.fremdedomain.de veröffentlichen. Fehlt er, senden Empfänger möglicherweise keine Reports dorthin.
• Tippfehler im Wert: Ein fehlendes Semikolon, ein Leerzeichen in mailto: oder DMARC statt DMARC1 machen den Eintrag ungültig.
• Zu früh auf reject: Ein vergessener Absender wie ein CRM, ein Rechnungstool oder eine Newsletter-Plattform fällt plötzlich durch, und seine Mails werden abgelehnt.

Wie liest man DMARC-Reports?

Aggregate Reports kommen an der rua-Adresse als komprimierte XML-Anhänge an, meist einer pro Empfänger und Tag. Jeder Report beginnt mit einem Kopf, der den Empfänger und den Zeitraum nennt, danach folgt die Policy, die er in Ihrem Eintrag gesehen hat, und dann eine Zeile pro sendender IP-Adresse.

• source_ip: der Server, der die Mail verschickt hat. Schlagen Sie ihn nach, um zu sehen, ob es Google, Microsoft, Brevo oder etwas Unbekanntes ist.
• count: wie viele Nachrichten im Zeitraum von dieser IP kamen.
• disposition: was der Empfänger damit gemacht hat (none, quarantine, reject).
• dkim und spf unter policy_evaluated: ob jede Prüfung bestanden hat und mit der From-Domain aligned ist. Das ist das DMARC-Ergebnis.
• auth_results: die rohen SPF- und DKIM-Ergebnisse, einschließlich der signierenden Domain. Ein DKIM-Pass für eine fremde Domain ist der Grund, warum das DKIM-Alignment trotzdem fail zeigen kann.

Zeilen, in denen weder SPF noch DKIM aligned ist, zeigen Ihnen, was Sie beheben müssen, bevor Sie p verschärfen. Unser Artikel dazu, wie Sie einen DMARC-Report lesen und auswerten, geht eine Beispiel-XML-Datei Feld für Feld durch.

Google Workspace auf einer GoDaddy-Domain: SPF und DMARC

Wie lautet der SPF-Eintrag für Google?

Laut Google-Workspace-Adminhilfe ist der SPF-Eintrag ein TXT-Record auf der Root-Domain mit dem Wert v=spf1 include:_spf.google.com ~all. Bei GoDaddy ist der Name @. Eine Domain darf nur einen SPF-Eintrag haben. Versenden Sie zusätzlich über Brevo oder einen anderen Dienst, ergänzen Sie dessen include im selben Eintrag, statt einen zweiten v=spf1-Eintrag anzulegen, denn zwei SPF-Einträge führen zu einem permerror. SPF begrenzt außerdem die Zahl der DNS-Abfragen pro Auswertung, sodass eine lange Kette von includes SPF scheitern lassen kann, obwohl jedes einzelne include stimmt. Unser Artikel zu den Google Workspace DNS-Einträgen behandelt MX, SPF und DKIM gemeinsam.

Wie funktioniert DMARC mit Google Workspace?

Google Workspace veröffentlicht DMARC nicht für Sie. Sie legen denselben _dmarc-TXT-Record bei GoDaddy an. Damit Workspace-Mails DMARC über DKIM bestehen, aktivieren Sie die DKIM-Signatur in der Google Admin-Konsole und veröffentlichen den dort erzeugten TXT-Record google._domainkey. Ohne eigenen DKIM-Schlüssel können Workspace-Mails DMARC nur über SPF-Alignment bestehen. Die E-Mail-Absenderrichtlinien von Google verlangen von Bulk-Absendern an Gmail, DMARC zu veröffentlichen. Unser Leitfaden zum Google Workspace DMARC-Rollout behandelt auch Domains, die über Brevo versenden.

DMARC, wenn EmailFlow OS über Ihr eigenes Brevo-Konto versendet

EmailFlow OS ist um die Domain herum gebaut, die Ihnen bereits gehört. Sie nehmen ein einziges Video auf und laden es in EmailFlow OS hoch, verbinden Ihr Brevo-Konto und Ihre Versanddomain und importieren Ihre Prospect-Liste in EmailFlow OS. EmailFlow OS erstellt dann aus dieser einen Aufnahme eine personalisierte Version pro Empfänger, nicht pro Unternehmen, und versendet jede Version aus Ihrem eigenen Postfach, über Ihr eigenes Brevo-Konto und Ihre eigene Versanddomain. Nichts geht über einen geteilten Plattform-Absender raus.

Der GoDaddy DMARC-Eintrag, den Sie veröffentlichen, ist also genau der, den Empfänger für diese Mails prüfen, denn die From-Domain gehört Ihnen. Damit diese Mails über DKIM aligned sind, muss Brevo sie für Ihre Domain signieren, das heißt, auch die Brevo-DKIM-Einträge müssen bei GoDaddy stehen. Unsere Anleitung GoDaddy DKIM einrichten für Brevo führt durch diese Einträge. In den Aggregate Reports erscheinen dann die IPs von Brevo neben Ihren Workspace- oder Microsoft-365-Zeilen, und Sie können prüfen, ob diese Zeilen aligned sind, bevor Sie auf quarantine umstellen. Ob eine Nachricht im Posteingang landet, entscheidet weiterhin der empfangende Server. Mehr dazu, wie EmailFlow OS personalisierte Video-E-Mails versendet, lesen Sie auf der Startseite.

Häufige Fragen

? Wie lange dauert es, bis ein GoDaddy DMARC-Eintrag wirkt?

Sobald Sie speichern, ist der Eintrag auf den Nameservern von GoDaddy live. Resolver, die eine frühere Antwort für _dmarc zwischengespeichert haben, behalten sie, bis deren TTL abläuft. Führen Sie dig TXT _dmarc.ihredomain.de gegen einen öffentlichen Resolver aus, um zu sehen, was Empfänger sehen. Die ersten Aggregate Reports kommen meist nach einem vollen Berichtszeitraum, der laut DMARC-Spezifikation standardmäßig einen Tag beträgt.

? Unterscheidet sich der G-Suite-SPF-Eintrag vom Google-Workspace-SPF-Eintrag?

Nein. G Suite ist der alte Name von Google Workspace, und der SPF-Eintrag ist derselbe: v=spf1 include:_spf.google.com ~all als ein TXT-Record auf der Root-Domain, laut Google-Adminhilfe. Hat Ihre Domain noch einen älteren G-Suite-SPF-Eintrag, behalten Sie nur einen v=spf1-Eintrag und führen die includes anderer Absender darin zusammen.

? Darf eine GoDaddy-Domain zwei DMARC-Einträge haben?

Nein. Laut DMARC-Spezifikation wendet der Empfänger DMARC für die Domain überhaupt nicht an, wenn die Abfrage mehr als einen Eintrag liefert. Das passiert oft, wenn der Einrichtungsassistent eines Postfachanbieters einen Eintrag neben einem selbst angelegten hinzufügt. Löschen Sie einen davon und übernehmen Sie die benötigten Tags in den anderen.

? Sollte eine Cold-Email-Domain direkt mit p=reject starten?

In der Regel nicht. p=reject fordert Empfänger auf, alles abzulehnen, was durchfällt, auch legitime Mails eines Absenders, den Sie noch nicht aligned haben. Ein Start mit p=none liefert Aggregate Reports, die jede sendende IP auflisten. Sobald jede legitime Zeile aligned SPF oder DKIM zeigt, können Sie über quarantine zu reject wechseln.