TXT-Einträge und Domainverifizierung

Modul 4: Einträge für E-Mail · Lesezeit: 7 Minuten

Lernziel: Nach dieser Lektion können Sie einen TXT-Eintrag erstellen, um Ihre Domain bei einem Dienst zu verifizieren, und wissen, wann mehrere TXT-Einträge nebeneinander erlaubt sind und wann nicht.

Kernbegriffe: TXT-Eintrag, Verifizierungscode, Name mit Unterstrich, Anführungszeichen, Textteile von 255 Zeichen, SPF/DMARC als besondere TXT-Einträge

Ein Zettel in Ihrer DNS

Ein TXT-Eintrag ist der einfachste Eintrag, den es gibt: ein Stück Text bei einem Namen. Das DNS selbst tut nichts damit. Er ist für andere Programme gedacht, die diesen Text lesen kommen.

Deshalb ist TXT der beliebteste Eintrag bei Diensten, die wissen wollen, ob eine Domain wirklich Ihnen gehört. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, Newsletter-Dienste und Webshop-Plattformen arbeiten alle so:

1. Der Dienst gibt Ihnen einen Code, zum Beispiel google-site-verification=Ab12Cd34... oder MS=ms12345678.
2. Sie setzen diesen Code als TXT-Eintrag in das DNS Ihrer Domain.
3. Der Dienst fragt den TXT-Eintrag Ihrer Domain ab. Steht der Code dort, weiß er: Wer diesen Code setzen konnte, verwaltet diese Domain.

Nur wer das DNS einer Domain ändern kann, kann einen solchen Eintrag setzen. Deshalb ist das eine zuverlässige Prüfung.

Wie sieht ein TXT-Eintrag aus?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Ein paar Dinge, die Sie wissen sollten:

• Anführungszeichen. In einer Zonendatei steht der Text zwischen Anführungszeichen. In den meisten Panels müssen Sie diese nicht selbst eingeben: Das Panel setzt sie automatisch darum. Geben Sie sie trotzdem ein, prüfen Sie nach dem Speichern, ob keine doppelten Anführungszeichen entstanden sind.
• Teile von 255 Zeichen. Ein Textstück in einem TXT-Eintrag darf höchstens 255 Zeichen lang sein (RFC 1035). Längere Texte, wie ein DKIM-Schlüssel, werden in mehrere Teile innerhalb desselben Eintrags aufgeteilt: "erster Teil" "zweiter Teil". Programme, die TXT lesen, fügen diese Teile wieder zusammen. Gute Panels teilen automatisch auf; bei manchen müssen Sie das selbst tun.
• Großbuchstaben und Leerzeichen zählen. Kopieren Sie den Code genau, am besten per Kopieren und Einfügen. Ein Leerzeichen am Ende oder ein fehlendes Zeichen reicht schon, damit die Verifizierung fehlschlägt.

Auf welchem Namen?

Der Dienst gibt immer an, auf welchem Namen der Eintrag stehen soll:

• Auf der Domain selbst. Der Dienst sagt dann „@“, „root“, „Host leer“ oder nennt nur example.com. In den meisten Panels geben Sie dann @ ein oder lassen das Feld leer.
• Auf einem eigenen Namen. Manche Dienste wollen einen separaten Namen, der mit einem Unterstrich beginnt, wie _github-challenge-beispielfirma oder _acme-challenge. Der Unterstrich zeigt, dass es kein gewöhnlicher Hostname ist (Sie können darunter keine Website öffnen). Geben Sie in Ihrem Panel nur diesen ersten Teil ein; Ihre Domainnamen wird bereits automatisch angehängt.

Ein häufiger Fehler: den vollständigen Namen in ein Panel eingeben, das die Domainnamen selbst dahinter anfügt. Dann entsteht _github-challenge-beispielfirma.example.com.example.com, und der Dienst findet nichts. Prüfen Sie nach dem Speichern, welchen vollständigen Namen das Panel anzeigt.

Mehrere TXT-Einträge: Ist das erlaubt?

Ja. Auf einem Namen dürfen beliebig viele TXT-Einträge stehen. Eine Verifizierung für Google und eine für Microsoft stören sich nicht gegenseitig. Jeder Dienst sucht unter allen TXT-Einträgen nach seinem eigenen Code.

Es gibt zwei Ausnahmen, und die sind wichtig:

• SPF (beginnt mit v=spf1): maximal einer pro Namen. Zwei SPF-Einträge machen Ihr SPF ungültig (Lektion 4.3).
• DMARC (auf _dmarc, beginnt mit v=DMARC1): maximal einer. Bei zwei Einträgen behandelt ein Empfänger Sie so, als hätten Sie kein DMARC (Lektion 4.5).

Fordert ein Dienst Sie auf „fügen Sie diesen SPF-Eintrag hinzu“, erstellen Sie also keinen zweiten SPF-Eintrag, sondern ergänzen Sie den bestehenden.

Darf die Verifizierung wieder weg?

Das hängt vom Dienst ab. Viele Dienste (wie Google Search Console und Microsoft 365) prüfen später erneut. Entfernen Sie den Eintrag, kann Ihre Domain nach einiger Zeit wieder als „nicht verifiziert“ gelten. Lassen Sie ihn deshalb stehen, außer der Dienst sagt, dass er entfernt werden darf. Einen alten Verifizierungseintrag eines Dienstes, den Sie nicht mehr nutzen, dürfen Sie aber aufräumen.

Es funktioniert nicht sofort

Haben Sie den Eintrag gerade erstellt und meldet der Dienst „nicht gefunden“? Das liegt meist am Cache (Modul 6). Hat der Dienst Ihre Domain schon einmal abgefragt, bevor der Eintrag bestand, merkt er sich eine Weile, dass dort nichts stand. Warten Sie eine Viertelstunde und versuchen Sie es erneut. Prüfen Sie in der Zwischenzeit selbst mit einem Online-DNS-Abfragetool, ob der Eintrag vorhanden ist (Lektion 8.2 und 8.3).

In der Praxis: So sieht es in einem Panel aus

In diesem Beispiel verwenden wir Mein WebOké. Gehen Sie zur Domain, Reiter DNS, und klicken Sie auf Eintrag hinzufügen. Wählen Sie den Typ TXT, geben Sie bei Name @ ein (oder den Namen, den der Dienst angibt) und fügen Sie den Code beim Wert ein. Anführungszeichen müssen Sie nicht eingeben. In DirectAdmin funktioniert es in der DNS-Verwaltung genauso; dort lassen Sie TXT-Eintragstyp auf Klartext stehen.

In anderen Panels heißen die Felder manchmal Host, Hostname oder Name und Value, Content oder Data, aber das Prinzip ist dasselbe.

Zusammenfassung

• Ein TXT-Eintrag ist Text bei einem Namen. Dienste nutzen ihn, um zu prüfen, ob eine Domain Ihnen gehört.
• Kopieren Sie den Code genau und setzen Sie ihn auf den Namen, den der Dienst angibt (oft @, manchmal ein Name mit Unterstrich).
• Mehrere TXT-Einträge auf einem Namen sind erlaubt, außer bei SPF und DMARC: davon maximal einer.
• Gelingt die Verifizierung nicht sofort, warten Sie etwas: Die Antwort kann noch in einem Cache stecken.

Quiz

Aufgabe

Aufgabe Z4.2: Verifizierungscode nachschlagen. Suchen Sie die TXT-Einträge von wikipedia.org. Dort steht unter anderem ein Verifizierungscode von Google. Fügen Sie den vollständigen Verifizierungstext ein, der mit google-site-verification= beginnt.

Aufgabe O4.2: Selbst einrichten in Ihrer Übungszone. In der Übungszone verwenden Sie einen fiktiven Dienst; bei Ihrer echten Domain verwenden Sie natürlich den echten Code, den der Dienst Ihnen gibt. Sie erhalten bei der Aufgabe einen persönlichen Code <Ihr Code> (der sieht aus wie oefen-<code>-<letters>). Erstellen Sie in Ihrer Übungszone <code>.dnspractice.eu zwei TXT-Einträge:

1. auf dem Namen der Zone selbst (@): dnscursus-verificatie=<Ihr Code>
2. auf dem Namen _cursus-challenge: nur <Ihr Code>

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; in anderen Panels funktioniert es ähnlich.

• DirectAdmin Anleitung 5.6: TXT-Einträge zur Verifizierung (Google, Microsoft und andere)
• DNS-Einträge in Mein WebOké verwalten (mit Beispielen für CNAME, TXT und externe Dienste)
• WebOké Anleitung 5.4: DNS verwalten: Records hinzufügen, ändern und löschen
• RFC 1035 Abschnitt 3.3.14 (TXT), RFC 7208 Abschnitt 3.3 (lange SPF-Texte in mehreren Teilen)