Ein TXT-Record veröffentlicht einen Text, der mit einem Domainnamen verknüpft ist. Dienste nutzen ihn, um die Eigentumsrechte an der Domain zu beweisen, E-Mail-Einstellungen wie SPF DKIM DMARC zu konfigurieren oder technische Informationen preiszugeben.
Ein TXT-Record enthält einen Namen, einen Typ, einen Wert und eine TTL. Die TTL gibt an, wie lange die Antwort im lokalen Resolver im Cache bleibt.
| Name | Typ | Wert | TTL in Sekunden |
|---|
| @ | TXT | "v=spf1 ip4:203.0.113.0/24 ~all" | 3600 |
In diesem Beispiel zielt der Name @ auf die Wurzel der Domain. Der Wert enthält eine SPF-Regel als Text. Eine TTL von 3600 entspricht einer Stunde.
| Name | Typ | Wert | TTL in Sekunden |
|---|
| selector1._domainkey | TXT | "v=DKIM1; k=rsa; p=MII...AB" | 3600 |
| _dmarc | TXT | "v=DMARC1; p=quarantine; adkim=s; aspf=s" | 3600 |
| @ | TXT | "eigenschaft=token12345" | 300 |
Diese Zeilen zeigen einen DKIM-Selektor, eine DMARC-Richtlinie und ein Verifizierungs-Token. Der anvisierte Name hängt vom verwendeten Dienst ab.
Es ist möglich, mehrere TXT-Records auf derselben Bezeichnung zu veröffentlichen. Jeder Wert erscheint in der Antwort. Für SPF nur einen Eintrag pro Name behalten und die Mechanismen darin gruppieren. Für DKIM einen anderen Selektor für jeden Schlüssel verwenden.
Eine kurze TTL macht eine Änderung schneller sichtbar. Nützlich während einer SPF-Aktualisierung oder einer Domain-Verifizierung.
Eine mittlere oder lange TTL reduziert die Anfragen an die autoritativen Server. Geeignet für eine stabile Konfiguration.
Die TTL einige Stunden vor der Änderung reduzieren und dann nach der Validierung wieder erhöhen.
Gut zu wissen
Ein TXT-Wert kann 255 Bytes überschreiten. Er wird dann in mehrere in Anführungszeichen gesetzte Zeichenketten in der Zone aufgeteilt. Die Resolver fügen diese Zeichenketten clientseitig zusammen.
Den TXT auf dem vom Dienst angeforderten Namen veröffentlichen. SPF wird oft am Apex platziert. DKIM wird auf selector._domainkey veröffentlicht. DMARC wird auf _dmarc platziert. Verifizierungsdienste geben einen spezifischen Namen vor. Ein TXT kann mit A AAAA MX auf demselben Namen koexistieren.
Zu vermeiden
Zwei SPF-Einträge auf demselben Namen haben. Zu einem einzigen Wert zusammenführen.
Anführungszeichen vergessen oder Sonderzeichen falsch escapen.
Ein DKIM am falschen Selektor veröffentlichen.
Eine Online-DNS-Lookup ermöglicht die Eingabe eines Domainnamens. Man erhält die Liste der TXT-Werte sowie die vom Internet aus sichtbare TTL. Das ist eine nützliche erste Kontrolle. Danach einen lokalen Test von der eigenen Maschine durchführen.
Windows stellt nslookup zur Verfügung. Man kann es im interaktiven Modus verwenden.
nslookup
set q=txt
beispiel.com
nslookup
set q=txt
server 1.1.1.1
beispiel.com
Der erste Teil fragt entsprechend der Netzwerkkonfiguration der Maschine ab. Der zweite erzwingt die Nutzung eines Drittanbieter-Resolvers, hier den von Cloudflare.
Auf diesen Systemen ist der dig-Befehl praktisch und einfach zu verwenden.
dig TXT www.beispiel.com
dig TXT www.beispiel.com @1.1.1.1
Mehrere Zeilen zeigen mehrere TXT-Werte an. Die Präfixe v=spf1 v=DKIM1 v=DMARC1 lesen, um die Funktion jedes Eintrags zu erkennen.
Eine hohe verbleibende TTL kann eine Verzögerung nach einer Änderung erklären.
Ein leerer oder abgeschnittener Wert signalisiert oft ein fehlendes Anführungszeichen oder einen schlecht verwalteten Schnitt.
- Die aktuellen Werte und die TTL notieren.
- Die TTL einige Stunden vor der Änderung auf 300 oder sogar 60 Sekunden reduzieren.
- Den neuen Wert vorbereiten. Für SPF die Mechanismen in eine einzige Zeile zusammenführen.
- Den neuen Wert veröffentlichen und dann den alten entfernen, falls notwendig.
- Mit nslookup oder dem dig-Befehl von mehreren Netzwerken aus überprüfen und die TTL erhöhen, wenn alles stabil ist.
Praktischer Tipp
Für DKIM einen neuen Schlüssel auf einem neuen Selektor veröffentlichen. Den alten während der Übergangszeit belassen. Dann den alten Schlüssel entfernen, wenn alles validiert ist.
Eine SPF-Regel am Apex mit den autorisierten Adressen und Domains veröffentlichen. Vor der Produktionseinführung testen.
Den öffentlichen Schlüssel am vom E-Mail-Dienst bereitgestellten Selektor veröffentlichen. Überprüfen, dass der Schlüssel vollständig ist.
Eine Richtlinie auf _dmarc mit der p-Direktive und nützlichen Optionen veröffentlichen. Die Berichte überwachen, falls aktiviert.
Ein temporäres TXT-Token veröffentlichen, das von einem Dienst bereitgestellt wird. Es nach der Validierung entfernen, falls der Dienst dies erlaubt.
- Wenn SPF als ungültig gemeldet wird, überprüfen, dass nur ein SPF-Eintrag auf demselben Namen existiert.
- Wenn DKIM fehlschlägt, den Selektor und den Schlüssel überprüfen. Nach einem Bruch oder einem überschüssigen Leerzeichen suchen.
- Wenn DMARC nicht erkannt wird, den _dmarc-Namen und den Wert v=DMARC1 überprüfen.
- Wenn die Antwort alt bleibt, das Ablaufen der TTL abwarten und den Cache des lokalen Resolvers leeren, falls möglich.
Zusammenfassend veröffentlicht ein TXT-Eintrag Textinformationen für einen Domainnamen. Er dient Verifizierungen, E-Mail-Richtlinien und anderen technischen Verwendungszwecken. Die TTL regelt die Cache-Dauer. Mehrere TXT können auf demselben Namen koexistieren, aber nur ein SPF-Eintrag sollte existieren. Die Überprüfung erfolgt über ein Online-Tool, dann über nslookup und dig.
Mit diesen Orientierungspunkten bleibt die Verwaltung klar. Änderungen verlaufen stressfrei. Die Dienste funktionieren wie erwartet.