Perfekte DNS-, SPF-, DKIM- & Reverse-DNS-Einträge gestalten
Prüfe bestehende Domains in Echtzeit per Live-DNS-Abfrage oder erstelle einen sofort einsetzbaren Zonensatz inkl. RFC-7208-Lookup-Zähler, Dual-DKIM, DMARC, MTA-STS sowie exakt berechneten IPv4- (in-addr.arpa) und 32-Nibble-IPv6-Reverse-DNS-Einträgen (ip6.arpa).
Domain-, IP- & Richtlinien-Konfiguration
Erzeugt vollständige DNS-, Groupware-SRV- und Reverse-DNS-Einträge inkl. Live-Abfrage
Worauf Gmail™, Microsoft 365® und T-Online technisch achten
1. Forward-Confirmed Reverse DNS (FCrDNS)
Sowohl die öffentliche IPv4- als auch die IPv6-Adresse müssen beim Server-Provider (Hetzner, netcup, IONOS, Strato, OVHcloud) per PTR exakt auf den HELO-Namen (z. B. mail.firma.de) zeigen.
2. Striktes SPF unter 10 Lookups
Nutze ip4: und ip6: direkt für deinen eigenen Server (0 zusätzliche DNS-Lookups) und beende den Record nach erfolgreichem Test mit -all statt ?all.
3. Dual-DKIM & DMARC Alignment
Signiere jede Nachricht im nextxch automatisch per Ed25519 + RSA-2048 und aktiviere DMARC mit p=quarantine oder p=reject inklusive RUA-Berichtspostfach.
Häufige Fragen zu DNS & Reverse-DNS
Warum ist Reverse DNS (PTR) und FCrDNS für einen Mailserver Pflicht?
Große Provider wie Gmail™, Microsoft® Outlook® und T-Online prüfen bei jeder eingehenden Verbindung, ob die IPv4- und IPv6-Adresse des sendenden Servers einen PTR-Eintrag besitzt, der exakt auf den HELO/EHLO-Hostnamen zeigt, und ob dieser Hostname wiederum per A/AAAA auf dieselbe IP zurückauflöst (Forward-Confirmed Reverse DNS). Fehlt dies, landen E-Mails sofort im Spam oder werden mit 550 abgelehnt.
Was besagt das 10-DNS-Lookup-Limit bei SPF (RFC 7208)?
Ein SPF-Eintrag darf über alle Mechanismen (mx, a, include, redirect) hinweg maximal 10 DNS-Abfragen auslösen. Überschreitet deine Domain dieses Limit durch zu viele Drittanbieter-Includes, werten empfangende Server das SPF mit PermError als fehlgeschlagen. Unser DNS-Generator zählt deine Lookups deshalb live mit.
Warum empfiehlt nextxch Dual-DKIM mit Ed25519 und RSA-2048?
Ed25519 (RFC 8463) bietet moderne elliptische Kurvenkryptografie mit extrem kompakten öffentlichen Schlüsseln im DNS, während RSA-2048 maximale Kompatibilität mit älteren Gateways sicherstellt. nextxch signiert ausgehende E-Mails parallel mit beiden Algorithmen.
Wie funktioniert der BIMI-Eintrag (default._bimi) für mein Markenlogo im Posteingang?
BIMI (Brand Indicators for Message Identification) verweist per DNS-TXT-Eintrag unter default._bimi.ihre-domain.de auf ein quadratisches Vektorlogo im Format SVG Tiny 1.2 Portable/Secure (l=https://...) sowie optional auf ein VMC-/CMC-Markenzertifikat (a=https://...). nextxch kann dein SVG-Tiny-PS-Logo direkt unter /.well-known/bimi/<domain>/logo.svg prüfen, normalisieren und ausliefern. Wichtig: DMARC muss dafür auf p=quarantine (pct=100) oder p=reject stehen.