SPF, DKIM & DMARC für Fastmail.
Fastmail authentifiziert Ihre eigene Domain über einfache DNS-Einträge statt über einen Assistenten mit nur einem Klick: einen einzigen gemeinsam genutzten SPF-Include, drei DKIM-CNAMEs, die Fastmail für Sie rotiert, MX-Einträge für den Empfang und eine DMARC-Richtlinie, die Sie selbst hinzufügen. Es gibt zwei Wege, sie zu veröffentlichen — Sie lassen Fastmail das DNS Ihrer Domain hosten, sodass alles automatisch konfiguriert wird, oder Sie belassen das DNS bei Ihrem Registrar und tragen die Einträge von Hand ein und klicken dann auf "Recheck DNS", damit Fastmail sie prüft und mit dem Signieren Ihrer Mail beginnt. So oder so ist das Ziel dasselbe: Mail, die Sie über Fastmail versenden, wird als Ihre eigene Domain authentifiziert, wobei SPF und DKIM beide ausgerichtet sind, sodass sie moderne Posteingangsanforderungen erfüllt, anstatt gefiltert zu werden.
Warum Fastmail authentifizieren?
Die Authentifizierung einer eigenen Fastmail-Domain ist keine optionale Pflichtübung — sie entscheidet, ob Ihre Mail den Posteingang erreicht. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass er SPF, DKIM und DMARC mit Ausrichtung besteht, und Microsoft begann 2025, dasselbe bei aufkommensstarker Mail an Outlook.com/Hotmail durchzusetzen. Auch unterhalb dieser Schwellen ist eine nicht authentifizierte Domain der schnellste Weg in den Spam-Ordner. Fastmail hat eine besondere Eigenheit, die die DKIM-Einrichtung so wichtig macht: Es signiert Ihre ausgehende Mail mit zwei Signaturen — einer für die Domain in Ihrem From-Header und einer für seine eigene Domain messagingengine.com —, aber es signiert mit Ihrer Domain erst dann, wenn es Ihre drei DKIM-CNAMEs verifiziert hat. Bis dahin trägt Ihre Mail nur die Signatur d=messagingengine.com, die nicht zu Ihrer From-Adresse ausgerichtet ist und DMARC allein nicht tragen kann. Das Veröffentlichen von SPF, den DKIM-CNAMEs und DMARC schließt diese Lücke: SPF richtet sich über Ihre eigene Envelope-Domain aus, DKIM richtet sich über die fm-Selektoren auf Ihrer Domain aus, DMARC besteht, und die Versandreputation, die Sie aufbauen, kommt Ihrer Domain zugute statt der gemeinsam genutzten Infrastruktur von Fastmail.
Die SPF-Realität bei Fastmail
Fastmail ist ein echter "include"-Anbieter: Sie fügen einen einzigen gemeinsam genutzten Mechanismus, include:spf.messagingengine.com, zum einzelnen SPF-TXT-Eintrag auf Ihrer Domain hinzu — der vollständige Eintrag lautet v=spf1 include:spf.messagingengine.com ~all. Dies ist ein echter gemeinsam genutzter Include (jede Fastmail-Domain verwendet denselben), keine CNAME-Delegation. Er löst zu einem flachen Eintrag auf — derzeit v=spf1 ip4:103.168.172.128/27 ip4:202.12.124.128/27 -all — ohne verschachtelte Includes, sodass er genau EINEN Ihrer 10 erlaubten SPF-DNS-Lookups kostet (RFC 7208), nicht die zwei oder drei, die manche älteren Anleitungen suggerieren. Da Fastmail beim Versand Ihre eigene Domain als Envelope/Return-Path verwendet, richtet sich SPF tatsächlich zu Ihrer organisatorischen Domain aus und trägt schon von sich aus zu einem DMARC-Pass bei — etwas, das Return-Path-eigene Massen-ESPs nicht leisten können. Eine Fastmail-spezifische Eigenheit: Fastmails eigene Einrichtungsanweisungen veröffentlichen den Eintrag mit ?all (neutral) am Ende, nicht mit ~all (softfail). Der all-Qualifier wirkt sich nur auf Quellen aus, die NICHT Fastmail sind — Mail von Fastmails IPs besteht SPF ohnehin —, aber ?all weist Empfänger an, nicht gelistete/gefälschte Quellen weder als Pass noch als Fail zu behandeln, was ein schwächerer Spoofing-Schutz ist als ~all. Fastmail hat sich historisch für neutral entschieden, um nicht für Mail Ihrer anderen Versender verantwortlich gemacht zu werden; wenn Fastmail Ihr einziger Versender ist (oder Sie alle aufgeführt haben), ist ~all die DMARC-freundlichere Wahl. Behalten Sie genau einen SPF-Eintrag auf der Domain: Wenn Sie auch über Google Workspace, SendGrid, Mailchimp usw. versenden, führen Sie jeden Mechanismus in einer einzigen v=spf1-Zeile zusammen, anstatt einen zweiten SPF-TXT-Eintrag zu veröffentlichen (zwei SPF-Einträge ergeben einen PermError).
Zwei Wege zur Einrichtung
Lassen Sie Fastmail Ihr DNS hosten (automatisch)
- Richten Sie die Nameserver Ihrer Domain auf Fastmail aus, und es veröffentlicht MX, SPF, die drei DKIM-CNAMEs und einen Start-DMARC für Sie
- DKIM-Schlüssel rotieren automatisch und bleiben verifiziert — nichts nachzubearbeiten
- Am besten, wenn Fastmail Ihr Haupt-Mailhost ist und Sie keine anderen DNS-Einträge (Web, andere Tools) betreiben, die Sie lieber bei Ihrem Registrar behalten würden
- Weniger Gelegenheiten, sich bei einem Eintrag zu vertippen oder eine Verdopplung des Host-Felds auszulösen
Externes DNS behalten (Einträge von Hand hinzufügen)
- Belassen Sie das DNS bei Ihrem Registrar/Cloudflare und fügen Sie die MX-, SPF-, DKIM-CNAME- und DMARC-Einträge selbst hinzu
- Notwendig, wenn Ihre Website, andere Subdomains oder andere Versender bereits bei diesem DNS-Host liegen
- Gehen Sie nach dem Veröffentlichen zu Settings → Domains und klicken Sie auf Recheck DNS, damit Fastmail verifiziert und mit dem DKIM-Signieren mit Ihrer Domain beginnt
- Sie besitzen die SPF-Zeile, führen also Fastmails Include mit allen anderen Versendern zusammen und verwalten das 10-Lookup-Budget
Schritt für Schritt
- 1
Fügen Sie Ihre Domain hinzu
Melden Sie sich an und gehen Sie zu Settings → Domains, dann fügen Sie Ihre Domain hinzu (dies haben Sie bei der Anmeldung ebenfalls getan, falls Sie mit einer eigenen Domain begonnen haben). Fastmail zeigt die genauen Einträge an, die Ihre Domain benötigt, und ob jeder einzelne derzeit erkannt wird.
- 2
Wählen Sie, wer Ihr DNS hostet
Entscheiden Sie sich zwischen dem Hosten Ihres DNS durch Fastmail (richten Sie die Nameserver Ihres Registrars auf Fastmail aus, sodass MX, SPF, DKIM und ein Start-DMARC automatisch konfiguriert werden) und dem Belassen des DNS an seinem Ort mit manuellem Hinzufügen der Einträge. Für die meisten mit einer bestehenden Website oder anderen DNS-Einträgen empfiehlt es sich, externes DNS zu behalten und den manuellen Schritten unten zu folgen.
- 3
Fügen Sie die MX-Einträge hinzu (Empfang)
Damit Fastmail Mail für Ihre Domain empfangen kann, fügen Sie zwei MX-Einträge auf dem Root hinzu: Host @ (oder leer) → in1-smtp.messagingengine.com mit Priorität 10 und einen zweiten → in2-smtp.messagingengine.com mit Priorität 20. Entfernen Sie alle alten MX-Einträge, die auf einen vorherigen Mailhost zeigen.
- 4
Veröffentlichen Sie den SPF-Eintrag
Fügen Sie einen TXT-Eintrag auf der Root-Domain (Host @ oder leer) mit v=spf1 include:spf.messagingengine.com ~all hinzu. Falls bereits ein SPF-Eintrag existiert, erstellen Sie keinen zweiten — führen Sie include:spf.messagingengine.com in die bestehende v=spf1-Zeile zusammen. (Fastmails eigene Anweisungen zeigen ?all; ~all ist der stärkere, DMARC-freundlichere Qualifier, sobald alle Ihre Versender aufgeführt sind.)
- 5
Fügen Sie die drei DKIM-CNAME-Einträge hinzu
Erstellen Sie drei CNAME-Einträge: Host fm1._domainkey → fm1.yourdomain.com.dkim.fmhosted.com, Host fm2._domainkey → fm2.yourdomain.com.dkim.fmhosted.com, Host fm3._domainkey → fm3.yourdomain.com.dkim.fmhosted.com. Diese müssen CNAME sein (nicht TXT oder A) — es gibt keinen Schlüssel zum Einfügen. Wenn Ihr Panel hinter Cloudflare liegt, stellen Sie sie auf DNS-only (graue Wolke).
- 6
Veröffentlichen Sie den DMARC-Eintrag
Fügen Sie einen TXT-Eintrag bei Host _dmarc mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. p=none dient nur zur Überwachung — an der Zustellung ändert sich nichts, während Sie bestätigen, dass Fastmail-Mail ausgerichtetes SPF und DKIM besteht. Bei externem DNS erstellt Fastmail diesen Eintrag nicht für Sie (bei von Fastmail gehostetem DNS wird automatisch ein Start-p=none hinzugefügt).
- 7
Klicken Sie auf Recheck DNS
Zurück in Settings → Domains öffnen Sie Ihre Domain und klicken auf Recheck DNS. Fastmail scannt erneut und schaltet, sobald es die drei DKIM-CNAMEs auflösen sieht, die DKIM-Signierung für Ihre Domain ein. Bis dies verifiziert ist, signiert Fastmail Ihre Mail nur mit d=messagingengine.com (das nicht zu Ihrer From-Adresse ausgerichtet ist).
- 8
Senden Sie einen Test und lesen Sie die Header
Senden Sie eine Nachricht von Ihrer Fastmail-Adresse an ein Gmail-Konto, öffnen Sie sie und wählen Sie ⋮ → Show original. Bestätigen Sie SPF: PASS, DKIM: PASS mit signed-by: yourdomain.com (Selektor fm1, fm2 oder fm3 — nicht messagingengine.com) und DMARC: PASS, alle zu Ihrer Domain ausgerichtet.
- 9
Wiederholen Sie es für Subdomains und weitere Domains
Die Root-Einträge decken keine Subdomains ab. Wenn Sie von einer Adresse auf einer Subdomain (z. B. news@mail.yourdomain.com) oder von einer zweiten Domain senden, fügen Sie MX, SPF und ihre eigenen drei DKIM-CNAMEs auch auf diesem Namen hinzu und führen dann erneut Recheck DNS aus.
Einzutragende Einträge
Fastmail erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| MX | @ | 10 in1-smtp.messagingengine.comPrimärer MX (Empfang). Priorität 10. |
| MX | @ | 20 in2-smtp.messagingengine.comSekundärer MX (Empfang). Priorität 20. |
| TXT | @ | v=spf1 include:spf.messagingengine.com ~allRoot-SPF — behalten Sie nur einen SPF-Eintrag; führen Sie andere Versender in diese Zeile zusammen. Fastmails Assistent verwendet ?all; ~all ist stärker. Kostet 1 DNS-Lookup. |
| CNAME | fm1._domainkey | fm1.yourdomain.com.dkim.fmhosted.comDKIM-Selektor 1 (automatisch von Fastmail rotiert). CNAME, nicht TXT — ersetzen Sie yourdomain.com durch Ihre echte Domain. |
| CNAME | fm2._domainkey | fm2.yourdomain.com.dkim.fmhosted.comDKIM-Selektor 2 (automatisch rotiert). |
| CNAME | fm3._domainkey | fm3.yourdomain.com.dkim.fmhosted.comDKIM-Selektor 3 (automatisch rotiert). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIhre DMARC-Richtlinie — eine pro Domain. Beginnen Sie bei p=none, dann verschärfen Sie auf quarantine/reject. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Fastmail von diesem Budget verbraucht.
Fastmail verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
Fastmail-DKIM wird über drei CNAME-Einträge delegiert, nicht über einen TXT-Schlüssel, den Sie kopieren. Sie fügen fm1._domainkey, fm2._domainkey und fm3._domainkey auf Ihrer Domain hinzu, die jeweils auf fmN.yourdomain.com.dkim.fmhosted.com zeigen. Fastmail hält die privaten Schlüssel hinter diesen drei Selektoren und rotiert die veröffentlichten Schlüssel eigenständig, um mit bewährten Verfahren Schritt zu halten — das ist der ganze Grund, warum es drei CNAMEs gibt statt eines statischen TXT-Eintrags, und es bedeutet, dass Sie DKIM im DNS nie wieder anfassen müssen. Entscheidend: Fastmail beginnt erst dann, Ihre ausgehende Mail mit Ihrer Domain zu signieren, wenn es verifiziert hat, dass alle drei CNAMEs auflösen. Davor signiert es nur mit d=messagingengine.com, einer Signatur, die nicht zu Ihrer From-Domain ausgerichtet ist und daher DMARC nicht tragen kann. Nachdem Sie die CNAMEs veröffentlicht haben, gehen Sie zu Settings → Domains, öffnen Ihre Domain und klicken auf Recheck DNS, um die Verifizierung zu erzwingen; sobald die Domain als eingerichtet angezeigt wird, wird Mail mit d=yourdomain.com und dem Selektor fm1 signiert (mit Wechsel zu fm2/fm3, während die Schlüssel rotieren). Fügen Sie jeden Eintrag als CNAME hinzu (nicht als TXT oder A) — viele DNS-Panels setzen einen neuen Eintrag standardmäßig auf A oder TXT, was DKIM stillschweigend bricht. Wenn Sie Ihr DNS von Fastmail hosten lassen, werden diese drei Einträge automatisch für Sie erstellt und gepflegt.
DMARC
DMARC ist ein separater Richtlinien-Eintrag, den Sie selbst veröffentlichen — bei externem DNS erstellt Fastmail ihn nicht für Sie (wenn Sie Ihr DNS von Fastmail hosten lassen, fügt es automatisch einen Start-Eintrag mit p=none hinzu). Fügen Sie einen TXT-Eintrag bei _dmarc.yourdomain.com mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. p=none dient nur zur Überwachung: An der Zustellung ändert sich nichts, aber es weist Empfänger an, Ihnen Aggregatberichte zu mailen, sodass Sie bestätigen können, dass Fastmail-Mail SPF und DKIM ausgerichtet zu Ihrer Domain besteht. Da Fastmail beide Mechanismen ausrichtet — SPF über Ihre eigene Envelope-Domain und DKIM über den fm-Selektor auf Ihrer Domain —, sollten Sie saubere, ausgerichtete Passes sehen, sobald die drei DKIM-CNAMEs verifiziert sind. Beobachten Sie die rua-Berichte ein oder zwei Wochen lang, stellen Sie sicher, dass jeder legitime Versender (Fastmail plus alle anderen Tools, die Sie verwenden) authentifiziert, und verschärfen Sie dann die Richtlinie auf p=quarantine und schließlich p=reject. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Domain, egal wie viele Versender Sie verwenden — fügen Sie niemals einen zweiten DMARC-Eintrag speziell für Fastmail hinzu. Beachten Sie: Wenn Fastmail Ihr DNS hostet, bedeutet ein Schritt über p=none hinaus, dass Sie seinen automatisch generierten Eintrag deaktivieren und Ihren eigenen mit der strengeren Richtlinie veröffentlichen. DMARC im Durchsetzungsmodus ist auch das, was die Frage SPF ?all vs. ~all für Spoofer bedeutungslos macht: Selbst ein neutrales SPF-Ergebnis auf einer nicht autorisierten Quelle wird von einer p=reject-Richtlinie abgefangen.
Prüfen, ob es wirklich funktioniert hat
Verlassen Sie sich nicht allein auf den Status unter Settings → Domains — bestätigen Sie es an einer echten Nachricht. Senden Sie sich selbst eine Testmail von Ihrer Fastmail-Adresse an ein anderes Postfach (Gmail ist am einfachsten), öffnen Sie sie und wählen Sie ⋮ → Show original. Sie wollen SPF: PASS (wobei die Envelope-/mailed-by-Domain yourdomain.com anzeigt), DKIM: PASS mit signed-by: yourdomain.com und Selektor fm1/fm2/fm3 — nicht messagingengine.com — und DMARC: PASS. Wenn DKIM nur messagingengine.com anzeigt, sind Ihre CNAMEs noch nicht verifiziert: Prüfen Sie erneut, dass dig CNAME fm1._domainkey.yourdomain.com zu fm1.yourdomain.com.dkim.fmhosted.com auflöst, und klicken Sie dann in Fastmail auf Recheck DNS. Sie können die rohen Einträge auch stichprobenartig mit dig TXT yourdomain.com (SPF), dig CNAME fm1._domainkey.yourdomain.com (DKIM) und dig TXT _dmarc.yourdomain.com (DMARC) überprüfen. Führen Sie die Domain schließlich durch Qualisends Domain-Health-Check, um zu bestätigen, dass jeder Eintrag auflöst und Ihr SPF unter dem 10-Lookup-Limit bleibt, und sobald DMARC-Aggregatberichte eintreffen, laden Sie einen in den DMARC-Berichtsanalyzer — Fastmail sollte als ausgerichtete, vollständig bestehende Quelle erscheinen.
Häufige Stolperfallen
- DNS-Einrichtung
DKIM ist CNAME, nicht TXT — es gibt keinen Schlüssel zum Einfügen. Viele DNS-Panels setzen einen neuen Eintrag standardmäßig auf A oder TXT, was DKIM stillschweigend bricht. Jeder fmN._domainkey muss ein CNAME sein, der auf fmN.yourdomain.com.dkim.fmhosted.com zeigt.
- DNS-Einrichtung
Fastmail signiert DKIM nicht mit Ihrer Domain, bis es alle drei CNAMEs verifiziert hat. Bis dahin signiert es nur mit d=messagingengine.com, das nicht zu Ihrer From-Adresse ausgerichtet ist und DMARC nicht tragen kann. Veröffentlichen Sie die CNAMEs und klicken Sie dann in Settings → Domains auf Recheck DNS.
- Abdeckung
Fastmails Einrichtung zeigt den SPF-Eintrag mit ?all (neutral) am Ende. Fastmail-Mail erhält so oder so einen SPF-Pass, aber ?all behandelt gefälschte/nicht gelistete Quellen weder als Pass noch als Fail — wechseln Sie zu ~all, sobald alle Ihre Versender aufgeführt sind, für stärkeren Spoofing-Schutz.
- DNS-Einrichtung
Verdopplung des Host-Felds: Registrare hängen oft automatisch Ihre Domain an und machen aus fm1._domainkey ein fm1._domainkey.yourdomain.com.yourdomain.com. Geben Sie nur das Label (fm1._domainkey) ein, wenn das Panel die Domain für Sie ergänzt.
- Bricht die Authentifizierung
Behalten Sie genau einen SPF-TXT-Eintrag auf dem Root. Falls bereits ein Eintrag existiert, führen Sie include:spf.messagingengine.com in ihn zusammen — das Veröffentlichen eines zweiten v=spf1-Eintrags ist selbst ein PermError.
- DNS-Einrichtung
Subdomains werden von den Root-Einträgen nicht abgedeckt. Um von einer Adresse wie news@mail.yourdomain.com zu senden, benötigen Sie MX plus ein eigenes SPF und drei DKIM-CNAMEs auf mail.yourdomain.com und dann ein weiteres Recheck DNS.
- Abdeckung
Wählen Sie einen DNS-Inhaber. Wenn Sie Ihre Nameserver auf Fastmail umstellen, verwaltet es MX/SPF/DKIM automatisch — fügen Sie nicht auch noch von Hand widersprüchliche Einträge bei Ihrem alten Registrar hinzu, sonst geraten die beiden in Konflikt.
- Abdeckung
Kodieren Sie Fastmails Versand-IPs nicht fest in Ihr SPF. Verwenden Sie include:spf.messagingengine.com, damit Fastmail seine IP-Bereiche ändern kann, ohne Ihre Authentifizierung zu brechen; eine flach ausgeschriebene ip4:-Liste veraltet und beginnt, SPF zu verfehlen.
Erstellen Sie Ihren SPF-Eintrag
Fastmail ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listFastmail SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.