Anmelden

Domain verbinden und DNS-Einträge setzen

Domain in Conbool verbinden: TXT-Verifizierung, SPF, DKIM und MX im DNS setzen und die Domain verifizieren, danach läuft der Mailfluss.

Eine verbundene Domain ist die Voraussetzung für Schutz und Auswertung des Mailflusses. Die Einrichtung führt ein Assistent Schritt für Schritt durch.

Domain hinzufügen

Der Einrichtungsassistent liegt im Mandanten unter Konfiguration. Er führt durch vier Schritte: Registrierung der Domain, Verifizierung, Angabe des Mailservers und Abschluss. Beim Mailserver wird der interne Relay-Host der Organisation hinterlegt, an den Conbool eingehende E-Mails weiterreicht. Alternativ lässt sich eine Domain in den Einstellungen unter Domänen hinzufügen.

Domänen-Einstellungen mit verifizierter Mail-Domäne und Relay-Host im Conbool Portal Verwaltete Mail-Domänen mit Verifikationsstatus und Anbindung.

DNS-Einträge

Der Assistent zeigt für jede Domain die konkreten Werte zum Kopieren an. Diese Werte werden beim DNS-Anbieter der Domain eingetragen. Vier Eintragstypen sind relevant:

  • TXT-Verifizierung bestätigt die Kontrolle über die Domain.
  • SPF autorisiert den Conbool-Mailserver als zulässigen Versender.
  • DKIM signiert ausgehende Nachrichten kryptografisch.
  • MX leitet eingehende E-Mails über Conbool.

Die konkreten Hostnamen und Werte stehen ausschließlich im Assistenten, da sie pro Domain unterschiedlich sind. Feste Werte lassen sich nicht vorwegnehmen.

Verifizierung

Nach dem Setzen der Einträge prüft Conbool das DNS serverseitig. Fehlt ein Eintrag, weist die Prüfung ihn einzeln aus und die Domain kann nach der Korrektur erneut verifiziert werden. Der MX-Eintrag ist zu Beginn optional und für den Empfang eingehender E-Mails über Conbool erforderlich. So lässt sich die Umstellung des Mailflusses gezielt nach der übrigen Einrichtung vornehmen.

Alter TLSA-Eintrag vor der MX-Umstellung

Wer bisher einen eigenen Mailserver mit DANE betrieben hat, trägt in seiner Zone häufig noch einen TLSA-Eintrag. Er beschreibt das Zertifikat dieses alten Servers und passt nicht mehr, sobald der MX auf Conbool zeigt. Vor dem Setzen des MX-Eintrags deshalb einmal nachsehen:

dig +short TLSA _25._tcp.beispiel.de

Kommt eine Antwort zurück, gehört der Eintrag beim DNS-Anbieter gelöscht. Ihn zu korrigieren hilft nicht: Ein TLSA-Eintrag gehört an den Hostnamen des Mailservers aus dem MX-Eintrag und nicht an die eigene Domäne. Ein prüfender Absender liest zuerst den MX-Eintrag und sucht den TLSA-Eintrag anschließend dort. Nur eine Domäne ganz ohne MX-Eintrag ist selbst die richtige Stelle.

Solange die eigene Zone nicht mit DNSSEC signiert ist, bleibt ein solcher Eintrag wirkungslos und fällt niemandem auf. Wird DNSSEC später eingeschaltet, zählt er von diesem Moment an: Prüfende Absender wie Microsoft 365 weisen dann jede Nachricht dauerhaft mit 550 5.7.323 tlsa-invalid ab, ohne erneuten Versuch und ohne dass sich an Conbool etwas geändert hätte. Die eingehende Post steht still, bis der Eintrag verschwunden ist.

Ist DANE für den eingehenden Weg gewünscht, wird der passende Eintrag am Hostnamen des Conbool-MX gepflegt, nicht in der Zone der eigenen Domäne.

Nächste Schritte

SPF und DKIM sind zugleich die Grundlage für Outbound-Identität. Tiefer gehen die Seiten zu SPF und DKIM und zum DMARC-Record. Für den eingehenden Schutz folgt MailGuard. Weiter im Einstieg mit Nutzer und Rollen.