MailLandDocs
Domains

DNS-Einrichtung

SPF-, DKIM- und DMARC-Einträge für Ihre Sendedomain konfigurieren

Nach dem Hinzufügen einer Domain konfigurieren Sie die erforderlichen DNS-Einträge für die E-Mail-Authentifizierung. MailLand benötigt SPF-, DKIM- und DMARC-Einträge; alle drei müssen verifiziert sein, bevor Sie senden können. Der benutzerdefinierte Return-Path-Eintrag (Bounce) gehört zur Domain-Verifizierung und ist für neue Domains standardmäßig aktiv; er blockiert den Versand nicht, und bis er verifiziert ist, nutzt MailLand seinen Standard-Return-Path. Eine Tracking-Domain ist optional.

DNS-Anweisungen abrufen

Rufen Sie die genauen Einträge für Ihre Domain ab:

GET https://api.mail.land/v1/domains/{id}/dns-instructions

Authentifizieren Sie sich mit Authorization: Bearer <token> oder X-API-Key: <api key>.

Get DNS instructions
curl https://api.mail.land/v1/domains/k3v9x2m8q1w7z4/dns-instructions \
  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIs..."
DNS instructions response
{
  "domain": "yourdomain.com",
  "spfRecord": {
    "recordType": "TXT",
    "hostName": "@",
    "value": "v=spf1 include:spf.mlnd.net ~all",
    "status": "pending",
    "instructions": "Add this TXT record to your domain's root. If you have an existing SPF record, add 'include:spf.mlnd.net' to it instead of creating a new record."
  },
  "dkimRecord": {
    "recordType": "TXT",
    "hostName": "mlnd._domainkey",
    "value": "v=DKIM1; k=rsa; p=MIIBIjANBgkq...",
    "status": "pending",
    "instructions": "Add this TXT record with hostname 'mlnd._domainkey' to enable DKIM signing."
  },
  "dmarcRecord": {
    "recordType": "TXT",
    "hostName": "_dmarc",
    "value": "v=DMARC1; p=quarantine; pct=100; adkim=r; aspf=r; rua=mailto:[email protected]; sp=none",
    "status": "pending",
    "instructions": "Add this TXT record at the '_dmarc' subdomain to enable DMARC policy. The rua tag sends aggregate reports to a MailLand address. MailLand stores the reports for this domain for your plan's retention period and makes their DMARC pass rate, sending sources and dispositions available through the API (GET /v1/domains/{id}/dmarc/summary and /dmarc/sources). To also receive the reports yourself, add your own address to the rua tag."
  },
  "trackingRecord": {
    "recordType": "CNAME",
    "hostName": "track",
    "value": "track.mlnd.net",
    "status": "pending",
    "instructions": "Custom Tracking Links"
  },
  "bounceRecords": [
    {
      "recordType": "CNAME",
      "hostName": "bounce",
      "value": "bounce.mlnd.net",
      "status": "pending",
      "instructions": "Bounce Domain (Return-Path) DNS-only (not proxied): a proxied record hides the CNAME from mail servers."
    }
  ],
  "notes": [
    "DNS changes can take up to 48 hours to propagate globally.",
    "After adding records, click 'Verify Domain' to check the configuration.",
    "All three records (SPF, DKIM, DMARC) must be verified to start sending emails.",
    "Use your DNS provider's documentation for specific instructions on adding TXT records."
  ]
}

Jeder Eintrag enthält ein status-Feld, das anzeigt, ob er im DNS erkannt wurde:

StatusBeschreibung
pendingNoch nicht geprüft
validEintrag gefunden und korrekt
invalidEintrag fehlt oder ist falsch

trackingRecord wird nur zurückgegeben, wenn die benutzerdefinierte Tracking-Domain eingeschaltet ist, und bounceRecords nur, wenn die benutzerdefinierte Bounce-Domain eingeschaltet ist.

Die Tracking- und Bounce-Einträge zeigen pending an, bis sie verifiziert sind, selbst nach einer fehlgeschlagenen Prüfung.

Erforderliche Einträge

SPF (Sender Policy Framework)

SPF autorisiert MailLand-Server, E-Mails im Namen Ihrer Domain zu senden.

FeldWert
TypTXT
Nameyourdomain.com (oder @)
Wertv=spf1 include:spf.mlnd.net ~all
TTL3600

Wenn Sie bereits einen SPF-Eintrag haben, fügen Sie include:spf.mlnd.net vor dem ~all- oder -all-Mechanismus hinzu. SPF erlaubt nur einen TXT-Eintrag pro Domain, mehrere SPF-Einträge verursachen Authentifizierungsfehler.

Beispiel für bestehenden SPF:

# Before
v=spf1 include:_spf.google.com ~all

# After
v=spf1 include:_spf.google.com include:spf.mlnd.net ~all

DKIM (DomainKeys Identified Mail)

DKIM fügt jeder E-Mail eine kryptografische Signatur hinzu, sodass Empfänger überprüfen können, dass die Nachricht während der Übertragung nicht verändert wurde.

FeldWert
TypTXT
Namemlnd._domainkey.yourdomain.com
Wertv=DKIM1; k=rsa; p=MIIBIjANBgkq... (Ihr öffentlicher Schlüssel)
TTL3600

MailLand generiert beim Hinzufügen einer Domain ein 2048-Bit-RSA-Schlüsselpaar. Der Standard-Selektor ist mlnd. Der vollständige öffentliche Schlüsselwert wird in der DNS-Anweisungsantwort bereitgestellt.

DKIM-Schlüssel sind lang (ungefähr 400 Zeichen). Einige DNS-Anbieter teilen TXT-Einträge in 255-Zeichen-Blöcke auf. Die meisten Anbieter handhaben dies automatisch: wenn Ihres nicht, umschließen Sie den Wert mit doppelten Anführungszeichen, und der Anbieter sollte ihn zusammenführen.

DMARC (erforderlich)

DMARC teilt empfangenden Mailservern mit, was zu tun ist, wenn SPF- oder DKIM-Prüfungen fehlschlagen. DMARC ist erforderlich: Die Verifizierung schlägt fehl ohne einen _dmarc-Eintrag, der mit v=DMARC1 beginnt und p= enthält.

FeldWert
TypTXT
Name_dmarc.yourdomain.com
WertVerwenden Sie den exakten Wert aus der dns-instructions-Antwort oben (er enthält eine eindeutige Berichtsadresse pro Domain)
TTL3600

DMARC-Richtlinienoptionen:

RichtlinieVerhalten
p=noneNur Überwachung: keine Aktion bei Fehlern (gut für die Ersteinrichtung)
p=quarantineFehler in den Spam-Ordner senden (empfohlener Ausgangspunkt)
p=rejectFehler vollständig blockieren (strengste Option, bester Schutz)

Mail.Land verarbeitet die DMARC-Sammelberichte für Ihre Domain. Veröffentlichen Sie den Wert aus der Antwort von dns-instructions unverändert. Seine rua-Adresse (dmarc+<id>@rpt.mail.land) ist der Berichtsempfänger von Mail.Land. Berichte für diese Domain oder eine ihrer Subdomains werden für die Aufbewahrungsfrist Ihres Plans gespeichert, und ihre DMARC-Bestehensquote, sendenden Quellen und angewandten Maßnahmen sind über die API verfügbar: GET /v1/domains/{id}/dmarc/summary und GET /v1/domains/{id}/dmarc/sources. Eine Dashboard-Seite dafür gibt es noch nicht. Um Berichte zusätzlich selbst zu erhalten, fügen Sie Ihre eigene Adresse zum selben Tag hinzu: rua=mailto:dmarc+<id>@rpt.mail.land,mailto:[email protected].

Optionale Einträge

Benutzerdefinierter Rückpfad (Bounce-Domain)

Die benutzerdefinierte Bounce-Domain gehört zur Domain-Verifizierung und ist für jede neue Domain standardmäßig aktiv: MailLand versendet Ihre E-Mails mit einem Return-Path (der „mailed-by“-Adresse) auf Ihrer eigenen Subdomain, sodass SPF zu Ihrer Domain passt. Fügen Sie einen CNAME-Eintrag hinzu:

FeldWert
TypCNAME
Namebounce.yourdomain.com
Wertbounce.mlnd.net
TTL3600

Mailserver folgen diesem CNAME zum Mailserver und zum SPF-Eintrag von MailLand. Legen Sie unter diesem Namen daher keine MX- oder TXT-Einträge an.

Der Eintrag muss „Nur DNS“ (ohne Proxy) sein. Ein Eintrag mit Proxy, etwa mit der orangen Wolke von Cloudflare, verbirgt den CNAME vor Mailservern, und die Verifizierung schlägt fehl. Verwenden Sie keinen MX-Eintrag, der auf bounce.mlnd.net zeigt: Dieser Host nimmt keine E-Mails an.

MailLand prüft diesen Eintrag regelmäßig erneut. Wird er entfernt oder geändert, gilt die benutzerdefinierte Bounce-Domain nicht mehr als verifiziert, Sie erhalten eine Benachrichtigung, und Ihre E-Mails verwenden den Standard-Return-Path von MailLand, bis Sie den Eintrag erneut verifizieren. Auch wenn Sie die Einstellung aus- und wieder einschalten, müssen Sie den Eintrag erneut verifizieren.

Sie können die benutzerdefinierte Bounce-Domain in den Domain-Einstellungen ausschalten, aber nur nach Bestätigung einer Warnung: Die Domain sendet dann unter dem gemeinsamen Bounce-Envelope von MailLand, SPF passt nicht zu Ihrer Domain, und die Reputation des Envelopes teilen Sie mit anderen Absendern. Domains mit ausgeschalteter Option werden für MailLand-Betreiber markiert. Domains, die vor der Umstellung auf Standard-aktiv angelegt wurden, behalten ihre Einstellung; schalten Sie sie in den Domain-Einstellungen ein, um den Eintrag zu erhalten.

Tracking-CNAME

Wenn Sie eine benutzerdefinierte Tracking-Subdomain verwenden, fügen Sie einen CNAME hinzu:

FeldWert
TypCNAME
Nametrack.yourdomain.com
Werttrack.mlnd.net
TTL3600

Der Eintrag muss „Nur DNS“ (ohne Proxy) sein. Ein Eintrag mit Proxy, etwa mit der orangen Wolke von Cloudflare, antwortet mit einem anderen Zertifikat, sodass Tracking-Links und der Abmeldelink nicht mehr funktionieren. Nachdem der CNAME verifiziert ist, fordert MailLand das Zertifikat an und prüft HTTPS auf diesem Host. Links verwenden weiterhin den Standard-Tracking-Host von MailLand, bis diese Prüfung erfolgreich ist. Schlägt sie dauerhaft fehl, werden Sie benachrichtigt. Der CNAME wird stündlich erneut geprüft. Über die API senden Sie useCustomBounce: false zusammen mit acknowledgeSharedBounceRisk: true; ohne dieses Feld wird die Anfrage mit BOUNCE_OPT_OUT_NOT_ACKNOWLEDGED abgelehnt.

Eingehender MX

Wenn Sie die Verarbeitung eingehender E-Mails verwenden:

FeldWert
TypMX
Namestandardmäßig die Wurzel (@) Ihrer Domain, oder Ihre inboundSubdomain (zum Beispiel in), falls Sie eine in den Domain-Einstellungen festgelegt haben. Eine Subdomain belässt Ihren bestehenden Mailbox-Anbieter auf der Wurzel; E-Mails an die Subdomain und an die Wurzel werden beide angenommen.
Wertmx.mlnd.net
Priorität10
TTL3600

DNS-Anbieter-Anleitungen

  1. Melden Sie sich beim Cloudflare-Dashboard an
  2. Wählen Sie Ihre Domain aus
  3. Gehen Sie zu DNS → Records
  4. Klicken Sie für jeden Eintrag auf Add Record
  5. Stellen Sie bei TXT-Einträgen den Proxy-Status auf DNS only (graue Wolke)
  6. Stellen Sie bei CNAME-Einträgen den Proxy-Status auf DNS only: proxied CNAMEs können die E-Mail-Authentifizierung beeinträchtigen

DNS-Einträge prüfen

Überprüfen Sie nach dem Hinzufügen der Einträge, ob sie propagiert wurden:

GET https://api.mail.land/v1/domains/{id}/dns-records
Check DNS records
curl https://api.mail.land/v1/domains/k3v9x2m8q1w7z4/dns-records \
  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIs..."
DNS records response
{
  "domain": "yourdomain.com",
  "spfRecord": {
    "recordType": "TXT",
    "hostName": "@",
    "value": "v=spf1 include:spf.mlnd.net ~all",
    "status": "valid",
    "instructions": "Add this TXT record to your domain's root. If you have an existing SPF record, add 'include:spf.mlnd.net' to it instead of creating a new record."
  },
  "dkimRecord": {
    "recordType": "TXT",
    "hostName": "mlnd._domainkey",
    "value": "v=DKIM1; k=rsa; p=MIIBIjANBgkq...",
    "status": "valid",
    "instructions": "Add this TXT record with hostname 'mlnd._domainkey' to enable DKIM signing."
  },
  "dmarcRecord": {
    "recordType": "TXT",
    "hostName": "_dmarc",
    "value": "v=DMARC1; p=quarantine; pct=100; adkim=r; aspf=r; rua=mailto:[email protected]; sp=none",
    "status": "valid",
    "instructions": "Add this TXT record at the '_dmarc' subdomain to enable DMARC policy. The rua tag sends aggregate reports to a MailLand address. MailLand stores the reports for this domain for your plan's retention period and makes their DMARC pass rate, sending sources and dispositions available through the API (GET /v1/domains/{id}/dmarc/summary and /dmarc/sources). To also receive the reports yourself, add your own address to the rua tag."
  },
  "trackingRecord": {
    "recordType": "CNAME",
    "hostName": "track",
    "value": "track.mlnd.net",
    "status": "valid",
    "instructions": "Custom Tracking Links"
  },
  "bounceRecords": [
    {
      "recordType": "CNAME",
      "hostName": "bounce",
      "value": "bounce.mlnd.net",
      "status": "valid",
      "instructions": "Bounce Domain (Return-Path) DNS-only (not proxied): a proxied record hides the CNAME from mail servers."
    }
  ],
  "notes": [
    "DNS changes can take up to 48 hours to propagate globally.",
    "After adding records, click 'Verify Domain' to check the configuration.",
    "All three records (SPF, DKIM, DMARC) must be verified to start sending emails.",
    "Use your DNS provider's documentation for specific instructions on adding TXT records."
  ]
}

Die DNS-Propagierung kann je nach DNS-Anbieter und TTL der vorhandenen Einträge zwischen einigen Minuten und 48 Stunden dauern. Die meisten Anbieter propagieren innerhalb von 5–15 Minuten.

Nächste Schritte

Domain hinzufügen

Eine Sendedomain in Ihrem Mail.Land-Workspace hinzufügen und konfigurieren

Domain-Verifizierung

Domain-Besitz durch DNS-Eintragsvalidierung verifizieren

Auf dieser Seite

DNS-Anweisungen abrufenErforderliche EinträgeSPF (Sender Policy Framework)DKIM (DomainKeys Identified Mail)DMARC (erforderlich)Optionale EinträgeBenutzerdefinierter Rückpfad (Bounce-Domain)Tracking-CNAMEEingehender MXDNS-Anbieter-AnleitungenDNS-Einträge prüfenNächste Schritte