Domain ohne E-Mail: die Null-MX-Konfiguration
Von CaptainDNS
Veröffentlicht am 29. August 2026
- Veröffentliche einen einzigen MX-Eintrag mit der Priorität
0und dem Ziel.: Ein fehlender MX-Eintrag löst weiterhin einen Rückgriff auf die A- oder AAAA-Adresse aus. - Nutze für den Versand das reine
v=spf1 -allund DMARC mitp=reject; sp=reject; np=reject. Legeruaauf eine andere Domain, die E-Mails empfängt. - Veröffentliche keinen DKIM-Selektor. Ein leeres
p=widerruft einen alten Schlüssel; es ist nicht die Richtlinie einer Domain, die nichts versendet. - Das öffentliche Audit weist einen vollständigen Empfang aus, doch eine Referenzzone bleibt im Bereich Gut, je nach
ruaund DNSSEC bei etwa 80-85.
Eine Domain ohne E-Mail wirkt einfach zu verwalten: kein Postfach, kein SMTP-Server, also scheinbar nichts zu konfigurieren. Genau darin liegt die Falle. Eine Zone, die auf den Vorgaben des Registrars stehen bleibt, kann weiterhin einen Standard-MX-Eintrag enthalten. Ein zu weit gefasstes SPF kann einen früheren Dienstleister weiter autorisieren. Ohne DMARC-Richtlinie erhalten Empfänger keine klare Vorgabe gegen Identitätsmissbrauch.
Ein zweiter häufiger Fehler: alle MX-Einträge löschen und den Empfang für geschlossen halten. SMTP sieht einen Rückgriff auf die A- oder AAAA-Adressen vor, wenn kein MX-Eintrag existiert. Bei einer Website zeigt dieser Rückgriff direkt auf den Server, der die Website ausliefert. Er antwortet vielleicht falsch oder spät, aber der entfernte Absender hat dennoch versucht, ihm Post zuzustellen.
Die folgende Konfiguration deckt zwei Anwendungsfälle in derselben Referenzzone ab: eine Visitenkarten-Website oder HTTPS-Anwendung ganz ohne Postfach und eine defensive Domain ohne Website und ohne Zertifikat. Ihre E-Mail-Basis ist identisch. Ihre CAA-Richtlinien unterscheiden sich, denn die erste muss ihr Zertifikat weiter erneuern, während die zweite jede Ausstellung untersagen soll.
Prüfe die Zone und erstelle dann deine DMARC-Richtlinie
Das Problem einer Zone, die auf den Standardwerten bleibt
Eine Domain ohne E-Mail muss ausdrücklich ankündigen, dass sie weder Post empfängt noch versendet. Schweigen im DNS lässt Rückgriffsverhalten und alte Berechtigungen bestehen.
Beginne mit einer Bestandsaufnahme der Zone. Suche nach MX-Einträgen, die der Registrar hinzugefügt hat, nach historischen SPF-TXT-Einträgen, nach _dmarc, nach Selektoren unter _domainkey, nach A- und AAAA-Adressen und schließlich nach CAA-Einträgen. Ein MX-Eintrag, der auf ein kostenloses E-Mail-Angebot zeigt, ist nicht harmlos: Wenn dort später versehentlich ein Postfach angelegt wird, empfängt die Domain wieder Post. Ein SPF-Eintrag mit include: erlaubt dem genannten Dienst weiterhin, diese Domain im SMTP-Umschlag zu führen.
Eine Zone ohne DMARC überlässt außerdem jedem Empfänger allein die Entscheidung über eine gefälschte Nachricht. SPF kann fehlschlagen, aber DMARC ist die Schicht, die die Authentifizierung mit der in der From-Adresse sichtbaren Domain verknüpft und eine Richtlinie veröffentlicht. Für diesen geschlossenen Fall ist das Ziel eindeutig: Es gibt keine legitime Quelle, also muss jede Nachricht, die vorgibt, von dieser Domain zu stammen, abgelehnt werden.
Das erwartete Ergebnis ist keine Sammlung von E-Mail-Mechanismen. Es ist eine schlüssige negative Erklärung: kein Empfangsziel, kein autorisierter Absender, eine Ablehnungsrichtlinie und kein erfundener DKIM-Schlüssel. Weniger Einträge, aber jeder einzelne hat eine genaue Bedeutung.
Null MX schließt den Empfang ausdrücklich
Ein Null MX ist ein einziger MX-Eintrag mit der Priorität 0, dessen Ziel der Wurzelname . ist. RFC 7505 definiert ihn, um anzukündigen, dass eine Domain keine Post annimmt.
Die Darstellung in der Zone ist kurz:
example.com. IN MX 0 .
Je nach DNS-Oberfläche erscheint das Ziel als Punkt, als leerer Wert oder als eigene Option "Null MX". Veröffentlicht werden muss am Ende ein einziger MX-Eintrag mit Präferenz null und leerem Austauschnamen. Füge keinen zweiten MX-Eintrag als Ausweichziel hinzu: Jedes weitere Ziel widerspricht der Erklärung.
Ein fehlender MX-Eintrag bedeutet etwas anderes
Ohne MX-Antwort kann ein SMTP-Absender die A- oder AAAA-Adresse der Domain so behandeln, als wäre sie ein impliziter Mailserver. Dieses historische Verhalten ist der Hauptgrund, Null MX auch für eine Domain zu veröffentlichen, die keine Website trägt.
Mit Null MX erkennt der Absender, dass eine Zustellung unmöglich ist, und versucht es nicht beim Webserver. Im CaptainDNS-Audit erreicht diese Konfiguration den vollen Empfangswert. MTA-STS, DANE und TLS-RPT sind dann nicht nötig: Sie schützen einen SMTP-Transport, den es nicht gibt, und das Audit vergibt die entsprechenden Punkte.
Der Unterschied zählt auch dann, wenn die Domain weder A noch AAAA hat. Ein fehlender MX-Eintrag bleibt eine Abwesenheit, keine Null-MX-Erklärung. 0 . zu veröffentlichen dokumentiert die Absicht, hält einer später ergänzten Webadresse stand und liefert Absendern eine eindeutige Antwort.
Den Versand mit SPF und DMARC schließen
Das reine v=spf1 -all erklärt, dass keine IP-Adresse für diese Domain senden darf. DMARC ergänzt diese Erklärung um eine Ablehnungsrichtlinie für die Domain und ihre Subdomains.
Veröffentliche am Apex:
example.com. IN TXT "v=spf1 -all"
Belasse diesen Wert unverändert. Ergänze weder a noch mx, include oder einen IP-Bereich. Jeder dieser Mechanismen würde einen autorisierten Absender zurückbringen. Der Qualifizierer -all steht für ein hartes Fehlschlagen; ~all würde nur ein weiches Fehlschlagen ausdrücken, was nutzlos ist, wenn keine legitime Quelle geschont werden muss. Der SPF-Generator hilft beim Prüfen der Syntax, doch der endgültige Wert besteht hier aus zwei Elementen.
Veröffentliche anschließend unter _dmarc:
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; sp=reject; np=reject; adkim=s; aspf=s; rua=mailto:dmarc@captaindns.com"
p=reject deckt die Organisationsdomain ab. sp=reject wendet die Ablehnung auf bestehende Subdomains an, np=reject auf nicht existierende Subdomains, sofern ein Empfänger dieses Tag unterstützt. Die strikte Ausrichtung adkim=s und aspf=s passt hier: Kein legitimer Datenstrom ist auf eine gelockerte Ausrichtung angewiesen.
Der rua-Bericht verändert die Bewertung
Das Tag rua ist nicht dekorativ. Sein Fehlen verändert die DMARC-Bewertung im Audit. Es dient dazu, aggregierte Berichte zu empfangen, die Quellen offenlegen, die diese Domain verwenden, selbst wenn die Richtlinie sie ablehnt.
Die Adresse darf niemals zu der Domain ohne E-Mail gehören. rua=mailto:dmarc@example.com würde eine verwaiste Adresse erzeugen, denn Null MX kündigt an, dass example.com nichts empfängt. Nutze eine Adresse auf einer anderen Domain, die tatsächlich empfängt, etwa dmarc@captaindns.com, oder einen Dienst zur Aufnahme von DMARC-Berichten. Dasselbe Prinzip gilt für ruf, falls du es einsetzt, und für die iodef-Adresse eines CAA-Eintrags.
Externe Berichte können laut DMARC eine zusätzliche DNS-Autorisierung bei der Zieldomain erfordern. Kläre diese Delegation mit dem gewählten Anbieter. Die Berichtsaufnahme von CaptainDNS für 5 Euro ist eine mögliche zweite Stufe, um diese Berichte zu bündeln; sie ist keine Voraussetzung für das kostenlose Audit.
DKIM: keinen Selektor veröffentlichen
Es gibt keinen idealen DKIM-Eintrag, den du für eine Domain ohne Versand einfügen könntest. Die richtige Konfiguration ist das Fehlen jedes Selektors unter _domainkey.
DKIM authentifiziert eine Signatur, die eine Nachricht mitführt. Hier verlässt keine legitime Nachricht die Domain. Einen RSA- oder Ed25519-Schlüssel "für alle Fälle" zu veröffentlichen, würde eine Konfigurationsfläche ohne Zweck schaffen. Einen leeren Wert zu veröffentlichen, wäre schlimmer, denn dessen Bedeutung ist bereits festgelegt.
RFC 6376 beschreibt ein leeres p=-Tag als Widerruf eines zuvor veröffentlichten Schlüssels. Der Signierende, der diesen Selektor kennt, will, dass Signaturen mit diesem Selektor fehlschlagen. Dieselbe RFC hält fest, dass ein Prüfer einem widerrufenen Schlüssel und einem gelöschten Schlüsseleintrag keine unterschiedliche Bedeutung gibt: In beiden Fällen gelingt keine DKIM-Validierung. RFC 5863 stellt diesen leeren Wert als Grabstein dar, nützlich beim Zurückziehen eines Selektors, um seine versehentliche Wiederverwendung zu verhindern.
Daraus entsteht keine allgemeine Richtlinie "diese Domain versendet nicht". Ein Wildcard *._domainkey mit leerem p= wendet die Widerrufssemantik auf Selektornamen an, die nie existiert haben. M3AAWG hat dieses alte Rezept in seinem BCP von 2022 gestrichen: Für eine Domain ohne E-Mail ist DKIM nicht nötig, und es sollte kein Eintrag veröffentlicht werden.
Das Verhalten von CaptainDNS folgt dieser Lesart. Das öffentliche Audit lässt DKIM und BIMI bei null, behält ihre Empfehlungen bei und zeigt dann den folgenden Hinweis an, sobald Null MX und das reine SPF vorhanden sind: "Wenn diese Domain keine E-Mails sendet, sind DKIM und BIMI nicht erforderlich. Die Bewertung ändert sich nicht." Dieser Text erklärt den Fall; er beschönigt die Bewertung nicht.
In der Überwachung ändert das Kästchen "Diese Domain versendet keine E-Mails" die Bewertungsebene. DKIM und BIMI fallen dann aus der Bewertung heraus, und es wird eine Warnung ausgelöst, sobald ein echter MX-Eintrag oder ein DKIM-Schlüssel auftaucht. Beide Ansichten sind damit stimmig: Die öffentliche zeigt die allgemeinen Empfehlungen und die gedeckelte Bewertung, die Überwachung setzt die erklärte Absicht der Domain um.
Keine verwaiste Adresse in der Zone
Jeder mailto:-URI, den eine Domain ohne E-Mail veröffentlicht, muss auf eine andere Domain zeigen, die empfangen kann. Diese Regel gilt für DMARC, für CAA-Meldungen und für jede später ergänzte betriebliche Adresse.
Durchsuche die exportierte Zone als Text. Die üblichen Stellen sind rua, ruf und iodef. Eine Kontaktadresse in einem selbst angelegten TXT-Eintrag verdient dieselbe Prüfung. Steht rechts von @ die Domain, die Null MX gerade geschlossen hat, geht der Bericht verloren.
Verwechsle bei einer Website ohne E-Mail nicht die auf einer Webseite sichtbare Adresse mit der E-Mail-Funktion der Domain. Du kannst eine Adresse anzeigen, die von einer anderen Domain getragen wird, oder ein Formular, das an ein externes System angebunden ist. Das DNS der Website bleibt ohne E-Mail. Für eine defensive Domain ohne Website hat keine lokale Adresse einen Daseinsgrund.
Diese Trennung verhindert einen leisen Widerspruch: Zertifizierungsstellen oder DMARC-Empfänger aufzufordern, einen Bericht an ein Ziel zu schicken, das das DNS für nicht existent erklärt. Die Sicherheitsrichtlinie sähe in einer Zonendatei vollständig aus, aber niemand würde ihre Warnungen lesen.
Zwei Fälle, eine E-Mail-Basis und zwei CAA-Richtlinien
Die HTTPS-Website und die Domain ohne Website teilen sich Null MX, SPF und DMARC. Der Unterschied betrifft A/AAAA und die Erlaubnis, ein Zertifikat auszustellen.
| Element | Website ohne E-Mail | Domain ohne Website |
|---|---|---|
| A / AAAA | Je nach Hosting vorhanden | Nicht vorhanden |
| MX | 0 . | 0 . |
| SPF | v=spf1 -all | v=spf1 -all |
| DMARC | p=reject; sp=reject; np=reject | p=reject; sp=reject; np=reject |
| DKIM | Kein Selektor | Kein Selektor |
| CAA | Tatsächlich verwendete CA plus externes iodef | 0 issue ";" |
| Zertifikat | Erlaubt und verlängerbar | Verboten |
CAA für die HTTPS-Website
Eine Website muss die CA autorisieren, die ihr Zertifikat tatsächlich ausstellt. Ergänze außerdem ein iodef-Ziel auf einer anderen empfangenden Domain. Eine vollständige Richtlinie kann 100 für die CAA-Kontrolle der DNS-Säule erreichen, ohne dass die Gesamtbewertung wegen DKIM den oberen Bereich erreicht.
example.com. IN CAA 0 issue "ca.example.com"
example.com. IN CAA 0 iodef "mailto:security@captaindns.com"
Passe die Kennung an deine CA an. Veröffentliche auf dieser Website vor allem kein issue ";": Damit würdest du die Ausstellung untersagen, und die nächste Erneuerung könnte fehlschlagen. Der CAA-Leitfaden beschreibt Vererbung, issuewild und die ACME-Parameter.
CAA für die Domain ohne Zertifikat
Eine Domain ohne Website, ohne A/AAAA und ohne Zertifikat kann jede CA ausschließen:
example.com. IN CAA 0 issue ";"
Im CaptainDNS-Audit ist diese Wahl 90 für CAA wert, nicht 100. Der Unterschied spiegelt das Fehlen eines iodef-Kanals wider, während eine geschlossene Domain keine lokale mailto:-Adresse veröffentlichen soll. Eine namentlich genannte CA ist keine austauschbare Variante: Sie würde die Ausstellung von Zertifikaten wieder öffnen.
DNSSEC schützt die Website auch vor einem stillen Ausfall
DNSSEC signiert die DNS-Antworten und erlaubt dem Resolver, ihre Verfälschung zu erkennen. Eine unterbrochene Kette macht die Domain für validierende Resolver ungültig, selbst wenn die Einträge beim Hoster vorhanden sind.
Für die Website ohne E-Mail ist das der einzige Baustein dieser Konfiguration, der die Website nach einer misslungenen Rotation still unerreichbar machen kann. Ein veralteter DS-Eintrag beim Registrar, ein zu früh entfernter KSK oder abgelaufene Signaturen führen häufig zu SERVFAIL. Der Browser wird nicht "DNSSEC ist defekt" melden; er zeigt nur einen Auflösungsfehler.
Aktiviere DNSSEC und prüfe dabei die Kette zwischen Kindzone und Elternzone. Koordiniere bei einem Wechsel des DNS-Anbieters die Schlüssel und den DS-Eintrag, bevor du die alte Zone entfernst. Der Leitfaden zur DNSSEC-Aktivierung deckt diesen Ablauf ab.
Bei der Domain ohne Website zerstört ein DNSSEC-Ausfall keine nicht vorhandene Webseite, hindert Empfänger aber daran, Null MX, SPF und DMARC zu lesen. Der Schutz vor Identitätsmissbrauch hängt also weiterhin an einer gültigen Kette. Überwache sie wie jeden anderen Sicherheitseintrag.
Was das öffentliche Audit anzeigt
Das öffentliche Audit bewertet drei Säulen: Versand 50, Empfang 35 und DNS 15. Eine gut eingerichtete Zone ohne E-Mail erreicht Gut, meist etwa 80-85, je nachdem, ob rua und DNSSEC vorhanden sind.
Der Empfang ist mit einem einzigen Null MX vollständig. MTA-STS, DANE und TLS-RPT werden nicht verlangt, da die Domain keine Post empfängt. Umgekehrt ist MXCount == 0 ein Fehler: Der Rückgriff auf A bleibt möglich, und die Schließung ist nicht erklärt.
Auf der Versandseite zeigen das strikte SPF und DMARC reject klar, dass keine legitime Quelle existiert. DKIM und BIMI bleiben im öffentlichen Werkzeug dennoch bei null, samt ihren Empfehlungen. Der angezeigte Hinweis erklärt, dass diese Mechanismen nicht nötig sind, wenn die Domain nicht versendet, und dass sich die Bewertung nicht ändert. Folglich bleibt der obere Bereich ab 90 ohne DKIM unerreichbar. Das ist gewollt und sichtbar.
Die DNS-Säule hängt unter anderem von CAA und DNSSEC ab. Die Website kann die CAA-Kontrolle mit einer autorisierten CA und einem externen iodef vollständig erfüllen. Die Domain ohne Zertifikat erreicht mit issue ";" 90 bei dieser Kontrolle. Diese Zahlen sind Teilbewertungen einzelner Kontrollen, kein Versprechen für die Gesamtbewertung.
Die Überwachung ändert nur die E-Mail-Absicht
Das Kästchen "Diese Domain versendet keine E-Mails" ist eine Funktion der Überwachung. Es nimmt DKIM und BIMI aus der überwachten Bewertung heraus und warnt, sobald die Zone wieder Post annimmt oder signiert.
Es erzeugt keinen schmeichelhaften Screenshot im öffentlichen Audit. Es ändert weder den Bedarf an Null MX noch an SPF, DMARC, CAA oder DNSSEC. Sein Nutzen ist operativ: Fügt ein Administrator einen echten MX-Eintrag hinzu oder taucht ein alter DKIM-Selektor wieder auf, meldet die Überwachung, dass der Vertrag "ohne E-Mail" gebrochen wurde.
Das erste CaptainDNS-Werkzeug ist kostenlos. Beginne mit dem Audit der Zone, korrigiere die Einträge und aktiviere danach eine Überwachung, wenn die Domain eine laufende Warnung verdient. Der Monitor kostet 5 Euro. Die übrigen Werkzeuge folgen der Kontopreisgestaltung, 3 Euro und dann 5 Euro, ohne ein eigenes Angebot für diesen Fall.
Unterschiede zwischen den veröffentlichten Empfehlungen
Die online verfügbaren Leitfäden geben nicht alle dieselbe Konfiguration vor. Wir halten uns an die neuesten Texte und an die Semantik der RFCs und benennen die Unterschiede, statt sie zu verschweigen.
GOV.UK empfiehlt auf einer am 1. März 2021 aktualisierten Seite weiterhin ein Wildcard _domainkey mit leerem p=. EasyDMARC und Mimecast greifen ebenfalls das M3AAWG-BCP von 2015 auf. Wir übernehmen diesen Wert nicht: M3AAWG hat ihn in der Ausgabe vom Juni 2022 gestrichen, während die RFCs ihn als Widerruf eines alten Schlüssels definieren. Kein Selektor zu veröffentlichen ist genauer und löst die kritische Empfehlung dkim.empty_p_tag unseres eigenen Audits nicht aus.
Die Bedingung "Null MX nur, wenn ein A oder AAAA existiert" stammt aus der Ausgabe vom Dezember 2015: "M3AAWG recommends the use of a null MX record only if the domain has an A and/or AAAA record", aus Rücksicht auf Empfänger, die die RFC noch nicht umgesetzt hatten. Die Ausgabe vom Juni 2022 hat diese Einschränkung gestrichen, und ihr Beispiel "Single Parked Domain", ohne A und ohne AAAA, veröffentlicht sehr wohl example.com. MX 0 .. Wir folgen dem Text von 2022 und veröffentlichen in beiden Fällen: Kein MX-Eintrag bedeutet weiterhin "kein MX-Eintrag", nicht "ausdrückliche Ablehnung", und eine später ergänzte A-Adresse würde den SMTP-Rückgriff reaktivieren.
Auch internet.nl empfiehlt Null MX für eine Domain ohne Mailserver und behandelt mehrere E-Mail-Tests bei diesem Profil als nicht anwendbar. CaptainDNS behält eine einheitliche öffentliche Lesart der drei Säulen bei: Die Zone landet mit etwa 80-85 bei Gut, nicht im oberen Bereich. Beide Oberflächen beschreiben dasselbe Ziel mit unterschiedlichen Bewertungsmodellen.
Was dieser Artikel nicht ist
Dieser Leitfaden beschreibt eine Zone, die keine Post sendet und keine empfängt. Er ersetzt weder den DMARC-Generator, der eine Richtlinie nach deinen Angaben zusammenstellt, noch das Audit, das die tatsächlich veröffentlichten DNS-Antworten liest.
Er ist auch kein Leitfaden für Versender. Er behandelt weder Schlüsselrotation noch Selektoren von Anbietern noch die Zustellbarkeit einer Kampagne. Diese Rolle behalten die Artikel zu DKIM. Eine Versandplattform hinzuzufügen ändert hier den Bedarf: Die Domain ist nicht mehr ohne E-Mail, und die Konfiguration muss neu geprüft werden.
CAA wird nur an der Entscheidung zwischen erlaubtem und verbotenem Zertifikat behandelt. Vererbung und Varianten gehören in den CAA-Leitfaden. DNSSEC bleibt hier auf das Risiko einer unterbrochenen Kette beschränkt; das vollständige Tutorial steht separat. Aufbewahrung und Ablauf von Domains schließlich gehören zum Lebenszyklus einer Domain, nicht zur E-Mail-Konfiguration.
Abschließende Prüfung der Zone
Eine stimmige Zone prüfst du nach der Propagation von außen. Kontrolliere, dass genau ein MX-Eintrag 0 . sichtbar ist, dass SPF nur v=spf1 -all enthält und dass _dmarc die erwartete Ablehnung veröffentlicht.
Suche danach jeden Namen unter _domainkey: Dort darf nichts übrig bleiben, außer einem alten Schlüssel, der nach einem datierten Plan zurückgezogen wird. Prüfe, dass jedes mailto: auf eine andere empfangende Domain zeigt. Schließe mit CAA, DNSSEC und den eventuellen A/AAAA-Einträgen ab.
Starte das Audit nach Ablauf der TTL erneut. Erwarte Gut und lies die weiterhin angezeigten Empfehlungen zu DKIM und BIMI im Licht dieses Hinweises. Wenn du die Überwachung "Diese Domain versendet keine E-Mails" aktivierst, teste die Warnung auch bei einer geplanten Änderung und stelle danach die Referenzzone wieder her.
FAQ
Was ist der Unterschied zwischen Null MX und keinem MX-Eintrag?
Null MX veröffentlicht einen ausdrücklichen MX-Eintrag mit der Priorität 0 und dem Ziel .. Ohne MX-Eintrag kann ein SMTP-Absender auf A oder AAAA ausweichen; die beiden Konfigurationen sind also nicht gleichwertig.
Sollte ich einen DKIM-Eintrag veröffentlichen?
Nein. Veröffentliche keinen Selektor unter _domainkey. Ein leeres p= dient nur dazu, einen alten Schlüssel zurückzuziehen; es ist keine Vorlage, um zu erklären, dass eine Domain nicht versendet.
Warum rua behalten, wenn die Domain nicht versendet?
Aggregierte Berichte legen die Quellen offen, die versuchen, die Domain zu verwenden, und ein fehlendes rua-Tag verändert die DMARC-Bewertung. Schicke sie an eine Adresse auf einer anderen Domain, die tatsächlich empfängt.
Reicht Null MX aus, um Identitätsmissbrauch zu verhindern?
Nein. Null MX schließt den Empfang. SPF v=spf1 -all und DMARC p=reject behandeln den missbräuchlichen Versand; jeder Mechanismus deckt eine andere Richtung ab.
Welchen CAA-Eintrag veröffentlicht eine Website ohne E-Mail?
Autorisiere die CA, die das Zertifikat der Website ausstellt, und ergänze nach Möglichkeit ein externes iodef. Veröffentliche auf dieser Website niemals issue ";", denn damit wäre die Erneuerung des Zertifikats blockiert.
Welchen CAA-Eintrag veröffentlicht eine Domain ohne Website?
Veröffentliche 0 issue ";", wenn kein Zertifikat ausgestellt werden soll. Im CaptainDNS-Audit ist diese Wahl 90 für die CAA-Kontrolle wert, nicht 100.
Warum bleibt die öffentliche Bewertung bei Gut?
Das öffentliche Audit hält DKIM und BIMI samt ihren Empfehlungen bei null, auch wenn ein Hinweis erklärt, dass sie hier überflüssig sind. Die aktivierte Überwachung nimmt sie aus ihrer Bewertung heraus, ändert aber das öffentliche Audit nicht.
