SPF, DKIM & DMARC für DreamHost.

Warum DreamHost authentifizieren?

SPF, DKIM und DMARC bei DreamHost richtig einzurichten, entscheidet darüber, ob Ihre Mail im Posteingang landet. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass SPF, DKIM und DMARC mit Alignment bestehen, und Microsoft begann 2025, dasselbe für Mail mit hohem Volumen an Outlook/Hotmail durchzusetzen. DreamHost ist unter den "Provider"-Seiten ungewöhnlich, weil Sie aus Ihren eigenen Postfächern versenden: Der Envelope-Absender ist Ihre Domain, sodass SPF alignt, und DreamHost signiert DKIM als Ihre Domain, sodass auch DKIM alignt — eine korrekt konfigurierte DreamHost-Domain besteht DMARC über beide Mechanismen, das robuste Setup, das auch Weiterleitungen übersteht. Aber zwei DreamHost-spezifische Dinge machen es unbemerkt kaputt: Website-Skripte, die über PHPs mail()/sendmail statt über authentifiziertes SMTP versenden, sind nicht DKIM-signiert, und das Bearbeiten von SPF verwirft DreamHosts verwalteten Eintrag. Schließen Sie beide Lücken, und die Versandreputation, die Sie aufbauen, kommt Ihrer eigenen Domain zugute, statt als nicht authentifizierte Mail zu verpuffen.

Die SPF-Realität bei DreamHost

DreamHost ist ein echter "include"-Provider, aber der Include besteht in Wahrheit aus zwei Includes plus mx, und zusammen SIND sie Ihr gesamter Root-SPF-Eintrag. Für eine Domain, deren DNS bei DreamHost liegt, veröffentlicht das Panel automatisch v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. netblocks.dreamhost.com enthält DreamHosts eigene ausgehende IP-Bereiche; relay.mailchannels.net ist dabei, weil DreamHost ausgehende Mail über MailChannels (ein geteiltes ausgehendes Relay) leitet — beide sind erforderlich, und das Weglassen eines der beiden führt dazu, dass ein Teil Ihrer Mail SPF hart scheitert (hard-fail). Da Sie aus Ihren eigenen Postfächern versenden, ist der SMTP-Envelope-Absender eine Adresse auf Ihrer Domain, sodass SPF hier tatsächlich zu Ihrer organisatorischen Domain ALIGNT (anders als bei einem Mailchimp oder SendGrid, das den Return-Path besitzt). Das Verhalten, das die Leute stolpern lässt: Dieser Eintrag wird nur so lange verwaltet, wie Sie ihn nicht anfassen. Fügen Sie einen benutzerdefinierten SPF-TXT-Eintrag hinzu oder bearbeiten ihn, entfernt DreamHost seinen automatisch erzeugten, sodass Ihr Ersatz sowohl include:netblocks.dreamhost.com als auch include:relay.mailchannels.net enthalten MUSS (plus jeden Drittanbieter-Include, den Sie hinzufügen), alles innerhalb EINES v=spf1-Eintrags. Der Standard endet auf -all (hard fail), was strikt ist — jeder legitime Absender muss aufgeführt sein, sonst wird er rundweg abgelehnt. Und veröffentlichen Sie niemals zwei SPF-TXT-Einträge auf der Domain; zwei SPF-Einträge sind selbst schon ein PermError.

Zwei Wege zur Einrichtung

Schritt für Schritt

Einzutragende Einträge

DreamHost erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.

Das Budget von 10 Lookups

SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von DreamHost von diesem Budget verbraucht.

Prüfen, ob es wirklich funktioniert hat

Vertrauen Sie nicht allein dem Panel — bestätigen Sie es an einer echten Nachricht. Senden Sie einen Test von einem DreamHost-Postfach an eine Gmail-Adresse, öffnen Sie ihn und wählen Sie ⋮ → Original anzeigen: Sie wollen SPF: PASS mit Ihrer Domain, DKIM: PASS mit d=yourdomain.com und dem Selektor dreamhost sowie DMARC: PASS sehen. Fehlt DKIM, ging die Nachricht so gut wie sicher über PHP mail()/sendmail statt über authentifiziertes SMTP hinaus. Sie können die Rohdaten der Einträge stichprobenartig mit dig TXT dreamhost._domainkey.yourdomain.com und dig TXT _dmarc.yourdomain.com prüfen und mit dig TXT yourdomain.com bestätigen, dass der SPF-Eintrag noch beide Includes enthält. Lassen Sie die Domain anschließend durch Qualisends Domain-Health-Check laufen, um zu bestätigen, dass jeder Eintrag auflöst und SPF unter dem 10-Lookup-Limit bleibt, und sobald die aggregierten DMARC-Berichte eintreffen, werfen Sie einen in den DMARC-Berichtsanalysator — DreamHost (und sein MailChannels-Relay) sollten als aligned und bestehende Quelle auftauchen.

Häufige Stolperfallen

• DNS-Einrichtung

  Das Bearbeiten von SPF entfernt DreamHosts verwalteten Eintrag — die DreamHost-Falle Nr. 1. In dem Moment, in dem Sie einen benutzerdefinierten SPF-TXT speichern, verwirft DreamHost seinen automatisch erzeugten, sodass Ihr Ersatz sowohl include:netblocks.dreamhost.com ALS AUCH include:relay.mailchannels.net enthalten MUSS, sonst beginnt ein Teil Ihrer Mail unbemerkt, SPF zu scheitern.

• Abdeckung

  relay.mailchannels.net ist nicht optional. DreamHost versendet ausgehende Mail über MailChannels, sodass über das Relay geleitete Mail SPF hart scheitert (hard-fail), wenn Sie diesen Include weglassen (der Eintrag endet auf -all).

• Abdeckung

  Website-Mail über PHP mail()/sendmail ist nicht DKIM-signiert. Nur Mail, die über authentifiziertes SMTP (smtp.dreamhost.com) versendet wird, ist signiert; ein WordPress-Formular oder PHP-Mailer ohne SMTP-Plugin besteht SPF, aber nicht DKIM und alignt daher nicht auf DKIM.

• Abdeckung

  Der Standard -all ist ein hard fail, kein soft fail. DreamHosts Eintrag lehnt jeden Absender ab, den Sie zu inkludieren vergessen, daher fügen Sie jeden legitimen Dienst hinzu, bevor Sie sich darauf verlassen — oder lockern Sie auf ~all, während Sie testen.

• DNS-Einrichtung

  Automatische Einträge existieren nur, wenn Ihr DNS bei DreamHost gehostet wird. Zeigen Ihre Nameserver auf Cloudflare oder einen Registrar, veröffentlicht DreamHost nichts — Sie müssen den SPF-Eintrag hinzufügen, den dreamhost._domainkey-DKIM-TXT kopieren und DMARC bei Ihrem echten DNS-Host selbst ergänzen.

• Bricht die Authentifizierung

  Veröffentlichen Sie niemals zwei SPF-Einträge. Wenn Sie einen weiteren Maildienst hinzufügen, führen Sie dessen Mechanismus in die eine v=spf1-Zeile zusammen — zwei separate SPF-TXT-Einträge sind ein PermError, der SPF vollständig zerstört.

• Abdeckung

  Lassen Sie das Feld Name für den Root-SPF leer. DreamHost stellt den Domain-Root mit einem leeren Name-Feld dar; die Eingabe von @ oder Ihrem Domainnamen verdoppelt ihn zu einem ungültigen Host.

• Abdeckung

  DMARC liegt bei Ihnen. DreamHost erledigt SPF und DKIM automatisch, erstellt aber nie DMARC — ohne einen _dmarc-Eintrag scheitern Sie an den Massenversender-Anforderungen von Gmail/Yahoo, selbst wenn SPF und DKIM bestehen.

Erstellen Sie Ihren SPF-Eintrag

DreamHost ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.

DreamHost SPF — FAQ

Weiterführende Lektüre

Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.