SPF, DKIM und DMARC bei Namecheap einrichten

Namecheap ist einer der beliebtesten Orte, um eine Domain zu registrieren, und für viele Versender daher auch die Stelle, an der sie SPF, DKIM und DMARC zum ersten Mal einrichten. Das Beruhigende daran: Alle drei sind ganz gewöhnliche DNS-TXT-Einträge, und Namecheap bietet Ihnen unter dem Reiter Advanced DNS ein schlichtes Formular, um sie hinzuzufügen. Das Einzige, worüber zuverlässig alle stolpern, ist das Host-Feld — was man für einen SPF-Eintrag auf Root-Ebene eingibt, was für eine _dmarc-Richtlinie und was für einen DKIM-Selektor. Diese Anleitung zeigt, wo jeder Eintrag im DNS-Editor von Namecheap liegt und was genau in jedes Feld gehört, ohne die Werte der Einträge selbst anzutasten — die stammen von Ihrem E-Mail-Anbieter.

Die kurze Antwort#

Bei Namecheap fügen Sie alle drei Einträge auf dieselbe Weise hinzu: Domain List → Manage → Advanced DNS → Add New Record → TXT Record, dann füllen Sie Host und Value aus. Der einzige Unterschied zwischen den dreien liegt im Host-Feld:

• SPF — Host @ (die Root-Domain); der Wert beginnt mit v=spf1.
• DKIM — Host <selector>._domainkey (den Selektor gibt Ihnen Ihr E-Mail-Anbieter); der Wert beginnt mit v=DKIM1.
• DMARC — Host _dmarc; der Wert beginnt mit v=DMARC1.

Namecheap hängt Ihre Domain an das an, was Sie ins Host-Feld eintragen, Sie geben also nur das Präfix ein — niemals den vollständigen Hostnamen. Speichern Sie jeden Eintrag, warten Sie die Propagierung ab und prüfen Sie ihn dann. Der Rest dieser Anleitung geht jeden Schritt im Detail durch, einschließlich, wie Sie die Werte der Einträge finden, ohne zu raten.

Bevor Sie beginnen: Betreibt Namecheap wirklich Ihr DNS?#

Das ist die Prüfung, die am meisten verschwendete Zeit erspart. Der Reiter Advanced DNS steuert Ihre Einträge nur dann, wenn die Domain Namecheap BasicDNS verwendet — die Standard-Nameserver, die mit einer Namecheap-Registrierung mitgeliefert werden. Wenn Sie die Nameserver der Domain auf einen anderen Anbieter gerichtet haben (Cloudflare, Ihren Webhoster, einen verwalteten DNS-Dienst), beantwortet Namecheap keine DNS-Anfragen mehr für diese Domain, und jeder TXT-Eintrag, den Sie im Reiter Advanced DNS hinzufügen, wird schlicht ignoriert. In diesem Fall fügen Sie die Einträge dort hinzu, wo Ihre Nameserver tatsächlich liegen.

Öffnen Sie zur Prüfung die Verwaltungsseite der Domain und sehen Sie sich die Einstellung Nameservers an. Steht dort „Namecheap BasicDNS“ (oder Namecheap Web Hosting DNS), sind Sie am richtigen Ort und der Reiter Advanced DNS ist aktiv. Zeigt es „Custom DNS“ mit den aufgeführten Nameservern eines anderen Anbieters, fügen Sie Ihre SPF-, DKIM- und DMARC-Einträge stattdessen bei diesem Anbieter hinzu.

Wo Namecheap Ihre DNS-Einträge aufbewahrt#

Sobald Sie bestätigt haben, dass Namecheap Ihr DNS betreibt, liegen die Einträge an einem Ort. Melden Sie sich an, öffnen Sie Ihre Domain List vom Konto-Dashboard aus, suchen Sie die Domain und klicken Sie auf Manage. Wechseln Sie auf der Verwaltungsseite zum Reiter Advanced DNS. Im Bereich Host Records sehen Sie eine Schaltfläche Add New Record. Klicken Sie darauf und setzen Sie den Type des Eintrags auf TXT Record.

Jeder TXT-Eintrag, den Sie bei Namecheap hinzufügen, hat dieselbe Handvoll Felder:

• Type — für alle drei, SPF, DKIM und DMARC, auf TXT Record gesetzt. (DKIM ist die eine Ausnahme, bei der manche Anbieter Ihnen stattdessen einen CNAME geben; dazu unten mehr.)
• Host — das Präfix, das vor Ihrer Domain steht. Dies ist das Feld, das sich je Eintrag unterscheidet: @ für die Root, _dmarc für DMARC, <selector>._domainkey für DKIM. Namecheap ergänzt .ihredomain.de für Sie, geben Sie hier also niemals den vollständigen Hostnamen ein.
• Value — die Zeichenkette des Eintrags selbst, genau so eingefügt, wie Ihr Generator oder E-Mail-Anbieter sie liefert.
• TTL — wie lange Resolver den Eintrag zwischenspeichern. Automatic ist in Ordnung; es gibt keinen Grund, das zu ändern.

Sie müssen den Value nicht in Anführungszeichen setzen — Namecheap speichert die TXT-Daten und übernimmt das Quoting für Sie. Eigene Anführungszeichen hinzuzufügen ist eine häufige Ursache für einen Eintrag, der richtig aussieht, aber die Validierung nicht besteht.

Ihren SPF-Eintrag bei Namecheap hinzufügen#

SPF ist der Eintrag, der auflistet, welche Server Mails für Ihre Domain versenden dürfen, und bei Namecheap liegt er stets an der Root. Fügen Sie einen neuen TXT-Eintrag hinzu, setzen Sie Host auf @ und fügen Sie Ihre SPF-Zeichenkette in Value ein. Ein typischer Eintrag sieht so aus:

v=spf1 include:spf.your-esp.com ~all

Der include:-Mechanismus autorisiert die Sendeserver Ihres E-Mail-Anbieters, und das ~all am Ende lässt alles Übrige weich fehlschlagen (-all lässt es hart fehlschlagen). Kopieren Sie das Beispiel oben nicht wörtlich — die Includes hängen vollständig davon ab, welche Dienste Ihre Mails versenden. Bauen Sie die genaue Zeichenkette mit dem SPF-Eintrag-Generator, der die Includes für Ihre Anbieter zu einem einzigen gültigen Eintrag zusammensetzt.

Auf dieses Wort einzig kommt es an. Eine Domain darf nur einen einzigen SPF-Eintrag veröffentlichen. Wenn ein zweiter TXT-Eintrag an der Root ebenfalls mit v=spf1 beginnt, werten Empfänger das SPF als defekt, und beide sind praktisch wirkungslos. Namecheap-Nutzer trifft das besonders: Das Aktivieren von Namecheap Private Email kann automatisch einen eigenen SPF-Eintrag hinzufügen; wenn Sie später über einen separaten ESP senden, müssen Sie die beiden daher zusammenführen — jedes include: der Anbieter in einem Eintrag vereinen — statt einen zweiten hinzuzufügen. Im Zweifel behalten Sie bei Host @ genau eine Zeile, die mit v=spf1 beginnt.

Ihren DKIM-Eintrag bei Namecheap hinzufügen#

Bei DKIM sieht das Host-Feld ungewohnt aus, doch die Regel ist einfach. Ihr E-Mail-Anbieter gibt Ihnen einen Selektor — eine kurze Bezeichnung wie s1, k1, google oder eine zufällige Zeichenkette — und den Wert des öffentlichen Schlüssels. Bei Namecheap tragen Sie den Selektor plus ._domainkey ins Host-Feld ein und den Schlüssel in den Value:

Host:   s1._domainkey
Value:  v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Weil Namecheap Ihre Domain anhängt, wird aus einem Host s1._domainkey der vollständige Eintragsname s1._domainkey.ihredomain.de, genau dort, wo Empfänger danach suchen. Der Selektor und der lange p=-Schlüssel sind nichts, was Sie sich ausdenken — sie werden von Ihrem E-Mail-Anbieter (Google Workspace, Microsoft 365, Ihr ESP) erzeugt, wenn Sie die DKIM-Signatur aktivieren. Kopieren Sie sie aus der Admin-Konsole dieses Anbieters und fügen Sie sie unverändert ein.

Eine Namecheap-spezifische Feinheit: Manche Anbieter veröffentlichen DKIM als CNAME statt als TXT-Eintrag, damit sie die Schlüssel für Sie rotieren können. Gibt Ihnen Ihr Anbieter statt einer v=DKIM1-Zeichenkette einen Hostnamen als „points to“ oder „target“, setzen Sie den Type des Eintrags bei Namecheap auf CNAME Record, tragen Sie den Selektor-Host links und das Ziel des Anbieters rechts ein und lassen Sie das TXT-Format weg. Folgen Sie stets dem Eintragstyp, den Ihr Anbieter vorgibt.

Ihren DMARC-Eintrag bei Namecheap hinzufügen#

DMARC ist die Richtlinienebene, die SPF und DKIM an die sichtbare „From“-Adresse knüpft und den Empfängern sagt, was sie mit Mails tun sollen, die fehlschlagen. Es liegt am festen Host _dmarc. Fügen Sie einen TXT-Eintrag hinzu, setzen Sie Host auf _dmarc und fügen Sie Ihre Richtlinie in Value ein:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Namecheap macht aus diesem Host _dmarc.ihredomain.de, den einen und einzigen Ort, von dem ein DMARC-Eintrag gelesen wird. Wie bei SPF gibt es genau einen DMARC-Eintrag pro Domain — ein zweiter _dmarc-TXT macht beide ungültig.

Beachten Sie das p=none. Das ist Absicht und der mit Abstand wichtigste Teil einer sicheren Einführung. p=none bedeutet „nur überwachen“ — Empfänger unternehmen nichts gegen fehlschlagende Mails und schicken Ihnen lediglich Berichte —, sodass die Veröffentlichung nichts daran ändert, wie Ihre Mails zugestellt werden, während sie die Aggregatberichte einschaltet, mit denen Sie jede Quelle sehen, die als Ihre Domain sendet. Bauen Sie den Eintrag mit dem DMARC-Eintrag-Generator, beginnen Sie bei p=none und verschärfen Sie erst dann auf quarantine und danach reject, wenn die Berichte sauber sind. Die vollständige Abfolge, einschließlich wie Sie verstehen, was zurückkommt, behandeln die Schritt-für-Schritt-Anleitung zur DMARC-Einrichtung und der Begleitartikel zum Lesen von DMARC-Berichten.

Nach dem Speichern: Propagierung und Prüfung#

Namecheap übernimmt Advanced-DNS-Änderungen meist innerhalb von etwa einer halben Stunde, doch die DNS-Propagierung durch das weitere Internet kann länger dauern — räumen Sie bis zu 48 Stunden ein, bevor Sie auf einen Fehler schließen, insbesondere wenn Sie einen bestehenden Eintrag bearbeitet haben, dessen alter Wert mit einer langen TTL zwischengespeichert war. Wenn Sie die TTL auf Automatic gesetzt haben, ist das bei neuen Einträgen selten ein Problem.

Sobald die Einträge live sind, überzeugen Sie sich, dass sie sich auflösen und korrekt geparst werden, statt es anzunehmen. Der SPF-, DKIM- und DMARC-Checker liest alle drei für Ihre Domain zurück und meldet die üblichen Probleme — einen fehlenden Eintrag, ein doppeltes SPF, einen DKIM-Selektor, der nichts zurückgibt, ein fehlerhaftes DMARC-Tag. Es ist außerdem der schnellste Weg, zu belegen, dass Ihre Änderungen wirksam geworden sind, bevor Sie sich darauf verlassen.

Häufige Stolperfallen bei Namecheap#

Eine Handvoll Fehler macht die meisten Authentifizierungs-Tickets bei Namecheap aus:

• Den vollständigen Hostnamen ins Host-Feld eingeben. ihredomain.de oder _dmarc.ihredomain.de einzugeben erzeugt einen doppelten Namen wie _dmarc.ihredomain.de.ihredomain.de. Verwenden Sie nur das Präfix: @, _dmarc oder <selector>._domainkey.
• Zwei SPF-Einträge. Ob durch Private Email plus einen ESP oder durch zwei manuelle Einträge — ein zweiter Root-TXT, der mit v=spf1 beginnt, macht SPF kaputt. Führen Sie sie zu einem zusammen.
• Falsche Nameserver. Läuft die Domain auf Custom DNS, bewirken Advanced-DNS-Einträge nichts — fügen Sie sie bei Ihrem tatsächlichen DNS-Host hinzu.
• Anführungszeichen von Hand hinzufügen. Namecheap setzt TXT-Werte für Sie in Anführungszeichen; zusätzliche Anführungszeichen beschädigen den Eintrag.
• DKIM-Werte erfinden. Selektor und Schlüssel müssen von Ihrem E-Mail-Anbieter stammen. Es gibt keinen generischen DKIM-Eintrag zum Einfügen.
• DMARC überstürzt auf p=reject setzen. Die Überwachungsphase zu überspringen ist der Weg, die eigene legitime Post im Spam landen zu lassen. Beginnen Sie bei p=none.

Alle drei richtig hinzubekommen ist genau das, was die Mailbox-Anbieter-Regeln von 2024 verlangen — die Absenderanforderungen von Google und Yahoo zeigen, wer welche Einträge bei welchem Volumen braucht; und denken Sie daran, dass Authentifizierung die Eintrittskarte ist, nicht das ganze Spiel: Sie schützt Ihre Absenderreputation, verschafft aber allein noch keine Platzierung im Posteingang.

Häufig gestellte Fragen#

Was trage ich bei Namecheap im Host-Feld für SPF, DKIM und DMARC ein?#

Nur das Präfix, denn Namecheap hängt Ihre Domain automatisch an. Verwenden Sie @ für SPF (die Root-Domain), _dmarc für DMARC und <selector>._domainkey für DKIM — wobei der Selektor die Bezeichnung ist, die Ihnen Ihr E-Mail-Anbieter genannt hat, zum Beispiel s1._domainkey oder google._domainkey. Geben Sie niemals den vollständigen Hostnamen ein; wenn Sie _dmarc.ihredomain.de ins Host-Feld schreiben, entsteht ein doppelter Name, der sich nicht auflösen lässt.

Warum funktioniert mein Eintrag nicht, nachdem ich ihn bei Namecheap hinzugefügt habe?#

Arbeiten Sie die üblichen Ursachen der Reihe nach durch. Prüfen Sie zunächst, ob die Domain auf Namecheap BasicDNS läuft und nicht auf Custom DNS, das woanders hinzeigt — Advanced-DNS-Einträge werden ignoriert, wenn ein anderer Anbieter Ihre Nameserver betreibt. Kontrollieren Sie zweitens, ob Sie nur das Host-Präfix eingegeben haben, ohne vollständige Domain und ohne manuell hinzugefügte Anführungszeichen. Stellen Sie drittens sicher, dass es genau einen SPF- und einen DMARC-Eintrag gibt. Räumen Sie schließlich Zeit für die Propagierung ein — bis zu 48 Stunden — und nutzen Sie den SPF-, DKIM- und DMARC-Checker, um zu sehen, was tatsächlich aufgelöst wird.

Muss ich Namecheap BasicDNS verwenden, um diese Einträge hinzuzufügen?#

Sie müssen die Einträge dort hinzufügen, wohin die Nameserver Ihrer Domain zeigen. Nutzt die Domain Namecheap BasicDNS, ist der Reiter Advanced DNS der richtige Ort. Haben Sie DNS über Custom DNS zu einem anderen Anbieter verlagert, fügen Sie SPF, DKIM und DMARC stattdessen dort hinzu — die Einträge sind dieselben, nur der Editor ist ein anderer. Sie im Advanced-DNS-Reiter von Namecheap hinzuzufügen, hat keine Wirkung, wenn Namecheap gar nicht das DNS für die Domain beantwortet.

Kann ich bei Namecheap mehr als einen SPF-Eintrag haben?#

Nein — eine Domain darf nur einen einzigen SPF-Eintrag veröffentlichen, und das ist eine häufige Stolperfalle bei Namecheap. Wenn Sie Namecheap Private Email aktiviert haben, wurde möglicherweise bereits ein eigener SPF-Eintrag hinzugefügt; einen zweiten für Ihren ESP hinzuzufügen macht dann beide kaputt. Führen Sie stattdessen den include:-Mechanismus jedes Anbieters in einem einzigen Eintrag bei Host @ zusammen. Der SPF-Eintrag-Generator erstellt einen gültigen kombinierten Eintrag für alle Dienste, über die Sie senden.

Sobald SPF, DKIM und DMARC bei Namecheap live sind, nutzen Sie den kostenlosen SPF-, DKIM- und DMARC-Checker, um zu bestätigen, dass sich alle drei auflösen — und säubern Sie dann die Liste dahinter mit dem kostenlosen E-Mail-Checker, denn eine perfekt authentifizierte Domain landet trotzdem im Spam, wenn sie an tote Adressen sendet.