SPF, DKIM & DMARC für Help Scout.
Help Scout authentifiziert Ihre ausgehende Support-E-Mail mit CNAME-delegiertem DKIM, nicht mit einem gemeinsam genutzten SPF-include. Wenn ein Postfach so eingestellt ist, dass es über \"Use Help Scout\" versendet, verlassen die Nachrichten die Mailserver von Help Scout, werden aber als Ihre eigene Domain DKIM-signiert — vorausgesetzt, Sie fügen zwei CNAME-Einträge hinzu, die den DKIM-Schlüssel an Help Scout delegieren. Es gibt bewusst keinen Help-Scout-SPF-include, den Sie hinzufügen müssten; deren Server bestehen SPF über einen Variable Envelope Return Path (VERP) auf einer Help-Scout-eigenen Domain, was bedeutet, dass DKIM das ist, was Ihnen tatsächlich die DMARC-Ausrichtung verschafft. Diese Anleitung behandelt den genauen Pfad im Help-Scout-Dashboard, die zwei CNAME-Einträge, den DMARC-Begleiter, den Help Scout von Ihnen selbst zu veröffentlichen erwartet, und wie Sie alles überprüfen.
Warum Help Scout authentifizieren?
Google und Yahoo lehnen nicht authentifizierte Mail inzwischen ab oder verschieben sie in den Spam-Ordner, und Help Scout selbst weist darauf hin, dass jede Domain, die täglich 5.000+ Nachrichten versendet (über alle Quellen hinweg, nicht nur Help Scout), einen DMARC-Eintrag benötigt. Ohne die DKIM-CNAMEs werden von Help-Scout-Servern gesendete Antworten nur als helpscout.net \"im Auftrag von\" Ihrer Domain signiert — sie tragen keine Signatur, die zu Ihrer From-Adresse ausgerichtet ist, sodass sie DMARC nicht bestehen und im Spam landen oder abgewiesen werden, was sowohl die Zustellbarkeit als auch die Absenderreputation Ihrer Support-Adresse schädigt.
Die SPF-Realität bei Help Scout
Help Scout ist ungewöhnlich: Es möchte NICHT, dass Sie einen SPF-include hinzufügen, und das zu tun bringt Ihnen für DMARC nichts. Wenn Sie über Help-Scout-Server versenden, ist der SMTP-Envelope-Return-Path eine Variable-Envelope-Return-Path-Adresse (VERP) auf einer Help-Scout-eigenen Domain — dieselbe helpscoutemail.com, die der veraltete SPF-include früher autorisierte. SPF wird daher gegen die Domain von Help Scout ausgewertet und besteht auf deren Seite, aber weil diese Domain nicht Ihre From-Domain ist, wird SPF nicht \"ausgerichtet\", sodass SPF DMARC für auf diese Weise gesendete Mail niemals erfüllen kann. Das ist der ganze Grund, warum die DKIM-CNAMEs wichtig sind: DKIM signiert als Ihre Domain und ist Ihr einziger Weg zur DMARC-Ausrichtung bei über Help Scout gesendeter Mail. Wenn Sie zuvor include:helpscoutemail.com (oder einen ähnlichen Help-Scout-Mechanismus) zu Ihrem SPF-Eintrag hinzugefügt haben, entfernen Sie ihn — Help Scout bestätigt, dass er veraltet und nicht mehr erforderlich ist. Der bestehende SPF-Eintrag Ihrer Domain für Ihren eigenen Postfach-Host (Google Workspace, Microsoft 365 usw.) bleibt genau so, wie er ist; Help Scout fügt ihm nichts hinzu. Die einzige Ausnahme ist, wenn Sie ein Postfach auf Custom SMTP oder Google OAuth umstellen, in welchem Fall die Mail die Server Ihres eigenen Anbieters verlässt und der eigene SPF und DKIM Ihres Anbieters anstelle der CNAMEs von Help Scout gelten.
Schritt für Schritt
- 1
Entscheiden, wie jedes Postfach versendet
Help Scout bietet drei ausgehende Modi: Use Help Scout (deren Server — benötigt die untenstehenden DKIM-CNAMEs), Custom SMTP (Relay über Ihren eigenen Mailserver) oder Google OAuth (Versand aus Google Workspace). Diese Anleitung behandelt den Standardpfad Use Help Scout. Wenn Sie stattdessen Custom SMTP oder Google OAuth wählen, überspringen Sie die CNAMEs und stützen sich für die Ausrichtung auf den eigenen SPF/DKIM Ihres Anbieters.
- 2
Die DKIM-CNAME-Einträge in Help Scout öffnen
Stellen Sie das Postfach unter Outgoing Email auf Use Help Scout. Standardmäßig signiert Help Scout Ihre Mail als helpscout.net in Ihrem Auftrag; um als Ihre eigene Domain zu signieren, zeigt es zwei CNAME-Einträge an, die auf den Selektoren strong1._domainkey und strong2._domainkey aufbauen und jeweils auf einen passenden Host unter helpscout.net verweisen. Kopieren Sie beide exakt. Hinweis: Sie benötigen dies nicht, wenn das Postfach die standardmäßige Help-Scout-Postfachadresse (…@helpscoutapp.com) verwendet — die DKIM-Delegation gilt nur für benutzerdefinierte Domains.
- 3
Die zwei CNAME-Einträge bei Ihrem DNS-Host hinzufügen
Erstellen Sie bei Ihrem DNS-Anbieter zwei CNAME-Einträge: strong1._domainkey → strong1._domainkey.helpscout.net und strong2._domainkey → strong2._domainkey.helpscout.net. Die meisten Hosts (GoDaddy, Cloudflare, Namecheap) wollen im Feld Host/Name nur den Teil vor Ihrer Domain (z. B. strong1._domainkey), weil sie die Domain automatisch anhängen. cPanel-basierte Hosts wollen einen abschließenden Punkt nach dem Wert. Fügen Sie BEIDE Einträge hinzu — Help Scout verwendet den zweiten Selektor für die Schlüsselrotation.
- 4
Jeglichen Proxy deaktivieren / Einträge auf DNS only setzen
Wenn Ihr DNS-Host den Verkehr über einen Proxy leitet (Cloudflares orange-cloud oder ein ähnlicher CDN-Proxy), schalten Sie ihn für beide CNAMEs AUS — ein per Proxy geleiteter CNAME löst auf den Proxy statt auf Help Scout auf, und die DKIM-Validierung schlägt fehl. Setzen Sie bei Cloudflare den Proxy-Status für strong1._domainkey und strong2._domainkey auf DNS only (graue Wolke).
- 5
Jeglichen veralteten Help-Scout-SPF-include entfernen
Falls Sie jemals include:helpscoutemail.com (oder einen anderen Help-Scout-Mechanismus) zum SPF-TXT-Eintrag Ihrer Domain hinzugefügt haben, löschen Sie jetzt genau diesen Mechanismus. Help Scout bestätigt, dass er nicht mehr benötigt wird und DMARC nicht hilft. Lassen Sie den Rest Ihres SPF (den include Ihres Postfach-Hosts, z. B. Google oder Microsoft) unberührt.
- 6
Einen DMARC-Eintrag veröffentlichen, falls Sie keinen haben
Help Scout generiert keinen DMARC-Eintrag für Sie — Sie veröffentlichen ihn selbst. Fügen Sie einen _dmarc-TXT-Eintrag hinzu, der bei p=none mit einer rua-Berichtsadresse beginnt, damit Sie die Ergebnisse beobachten können, bevor Sie verschärfen. Sobald bestätigt ist, dass DKIM ausrichtet (dkim=pass, header.d = Ihre Domain), steigern Sie die Richtlinie auf p=quarantine und dann p=reject.
- 7
Auf die Propagierung warten, dann auf Test Settings klicken
CNAME-Änderungen können von wenigen Minuten bis zu 24–48 Stunden für die Propagierung benötigen; warten Sie mindestens eine Stunde vor dem Testen. Klicken Sie zurück im Abschnitt Outgoing Email des Postfachs auf die Schaltfläche Test Settings (unten links). Wenn beide CNAMEs auflösen, wechselt die DKIM-Statusanzeige auf Active.
- 8
Extern mit einer echten Antwort überprüfen
Senden Sie eine Antwort aus dem Help-Scout-Postfach an eine Adresse, die Sie kontrollieren, und prüfen Sie die Roh-Header. Bestätigen Sie, dass Authentication-Results dkim=pass mit header.d=yourdomain.com und dmarc=pass anzeigt. Gegenprüfen Sie die CNAMEs und den DMARC-Eintrag mit einem externen Prüfer, damit Sie sich nicht allein auf die Statusanzeige von Help Scout verlassen.
Einzutragende Einträge
Help Scout erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| CNAME | strong1._domainkey | strong1._domainkey.helpscout.netErster DKIM-Selektor. Geben Sie bei den meisten DNS-Hosts im Feld Host/Name nur den Teil vor Ihrer Domain ein; auf DNS only setzen (kein Proxy). Der Wert ist fest — für jedes Help-Scout-Konto derselbe (CNAME-Delegation, kein Schlüssel pro Konto). |
| CNAME | strong2._domainkey | strong2._domainkey.helpscout.netZweiter DKIM-Selektor, verwendet für die Schlüsselrotation. Fügen Sie ihn hinzu, auch wenn der erste ausreichend erscheint — ein fehlender strong2 kann die Signierung nach einer Schlüsselrotation unterbrechen. |
| TXT | @ | v=spf1 include:_spf.google.com ~allIllustrativ — dies ist Ihr BESTEHENDER SPF für Ihren eigenen Postfach-Host (hier als Google Workspace gezeigt). Help Scout fügt ihm nichts hinzu. Fügen Sie KEINEN Help-Scout-include hinzu; entfernen Sie include:helpscoutemail.com, falls er noch hier ist. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIllustrativer DMARC-Starter. Help Scout schreibt keine Richtlinie vor — beginnen Sie bei p=none, überwachen Sie die Aggregatberichte (rua) und wechseln Sie dann zu p=quarantine und p=reject, sobald DKIM ausrichtet. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Help Scout von diesem Budget verbraucht.
Die empfohlene Einrichtung von Help Scout fügt 0 Lookups hinzu — alle 10 bleiben frei für die Absender, die tatsächlich ein include benötigen.
DKIM
DKIM ist CNAME-delegiert. Help Scout generiert und speichert den privaten DKIM-Schlüssel auf seiner Seite und veröffentlicht den öffentlichen Schlüssel unter strong1._domainkey.helpscout.net und strong2._domainkey.helpscout.net. Ihre zwei CNAME-Einträge (strong1._domainkey und strong2._domainkey auf Ihrer Domain) delegieren die Abfragen an diese Hosts, sodass empfangende Server einen gültigen öffentlichen Schlüssel unter IHRER Domain abrufen. Jede von Help Scout gesendete Nachricht wird dann mit einer d=yourdomain.com-Signatur signiert — diese Ausrichtung zwischen der signierenden Domain und Ihrer From-Adresse ist es, was DKIM DMARC erfüllen lässt. Bis die CNAMEs eingerichtet sind, signiert Help Scout die Mail als helpscout.net \"im Auftrag von\" Ihrer Domain, was nicht ausgerichtet ist. Die zwei Selektoren erlauben es Help Scout, Schlüssel ohne Ausfallzeit zu rotieren, weshalb beide erforderlich sind. Weil es sich um CNAME-Delegation handelt, fügen Sie niemals eine lange Schlüsselzeichenkette ein und müssen sie niemals aktualisieren, wenn Help Scout rotiert.
DMARC
Die Veröffentlichung von DMARC liegt in Ihrer Verantwortung — Help Scout signiert mit DKIM, erstellt aber keinen DMARC-Eintrag für Sie und verweist Kunden darauf, ihre eigene Richtlinie aufzubauen. Fügen Sie einen einzigen _dmarc-TXT-Eintrag für die Domain hinzu. Beginnen Sie bei v=DMARC1; p=none mit einer rua=-Adresse, damit Aggregatberichte Ihnen zeigen, ob über Help Scout gesendete Mail die DKIM-Ausrichtung besteht (und ob auch andere Absender auf der Domain ausgerichtet sind). Sobald Berichte dkim=pass / header.d = Ihre Domain im Help-Scout-Verkehr bestätigen, verschärfen Sie auf p=quarantine und dann p=reject. Denken Sie daran, dass bei über Help Scout gesendeter Mail SPF nicht ausgerichtet wird (der VERP-Return-Path ist eine Help-Scout-Domain), sodass sich DMARC hier auf DKIM stützen muss — erzwingen Sie keine strikte Richtlinie, bevor die DKIM-CNAMEs als Active angezeigt werden.
Prüfen, ob es wirklich funktioniert hat
Zweistufige Prüfung. Erstens, innerhalb von Help Scout: Klicken Sie nach der Propagierung auf Test Settings im Abschnitt Outgoing Email des Postfachs und bestätigen Sie, dass der DKIM-Status Active anzeigt. Zweitens, belegen Sie die Ausrichtung tatsächlich: Senden Sie eine Antwort aus dem Postfach an ein Postfach, das Sie kontrollieren, öffnen Sie die Rohnachricht und lesen Sie Authentication-Results — Sie wollen dkim=pass mit header.d=yourdomain.com und dmarc=pass. Bestätigen Sie unabhängig davon, dass die zwei CNAMEs auf helpscout.net auflösen (eine CNAME-Abfrage, z. B. MX Toolbox) und dass Ihr _dmarc-TXT-Eintrag mit einem externen SPF/DKIM/DMARC-Prüfer sauber geparst wird. Verlassen Sie sich nicht allein auf die Statusanzeige von Help Scout — sie bestätigt, dass die Einträge auflösen, nicht, dass DMARC durchgängig ausgerichtet ist.
Häufige Stolperfallen
- DNS-Einrichtung
Per Proxy geleitete CNAMEs unterbrechen DKIM stillschweigend. Wenn Ihr DNS-Host den Verkehr über einen Proxy leitet (Cloudflare orange-cloud oder ein CDN-Proxy), schalten Sie ihn aus — setzen Sie sowohl strong1._domainkey als auch strong2._domainkey auf DNS only. Ein per Proxy geleiteter Eintrag löst auf den Proxy auf, nicht auf helpscout.net, und Test Settings wird niemals Active.
- DNS-Einrichtung
Fügen Sie nicht Ihre vollständige Domain in das Host-Feld ein. GoDaddy, Cloudflare und Namecheap hängen die Domain automatisch an, geben Sie also nur strong1._domainkey / strong2._domainkey ein. Wenn der Eintrag als strong1._domainkey.yourdomain.com.yourdomain.com endet, löst er nicht auf. cPanel-artige Hosts sind das Gegenteil — sie wollen einen abschließenden Punkt nach dem Wert.
- Bricht die Authentifizierung
SPF für Help Scout ist eine Falle, kein Schritt. Das Hinzufügen von include:helpscoutemail.com bringt für DMARC nichts, weil der VERP-Return-Path von Help Scout auf deren Domain liegt, nicht auf Ihrer — SPF besteht, richtet sich aber nie aus. Help Scout sagt, den include zu entfernen, falls er noch vorhanden ist, und sich stattdessen auf DKIM zu stützen.
- DNS-Einrichtung
Fügen Sie BEIDE CNAMEs hinzu, nicht nur den ersten. strong2._domainkey wird für die Schlüsselrotation verwendet; wenn er fehlt, kann die Signierung beim nächsten Mal fehlschlagen, wenn Help Scout Schlüssel rotiert, und Mail beginnt Wochen später stillschweigend, DMARC nicht zu bestehen.
- DNS-Einrichtung
DKIM wird pro Domain delegiert, aber 'Use Help Scout' wird pro Postfach gesetzt. Die zwei CNAMEs decken jedes Postfach auf dieser Domain ab, aber jedes neue Postfach muss dennoch bei Outgoing Email auf Use Help Scout umgestellt und erneut getestet werden — das DNS ist bereits eingerichtet, nur die Postfacheinstellung ändert sich.
- DNS-Einrichtung
Das Umstellen eines Postfachs auf Custom SMTP oder Google OAuth ändert das ganze Bild. Dann verlässt die Mail die Server Ihres eigenen Anbieters, sodass der SPF und DKIM Ihres Anbieters die Ausrichtung erzeugen und die Help-Scout-CNAMEs nicht mehr die Signierquelle sind. Prüfen Sie die Authentifizierung nach jeder solchen Änderung erneut.
- DNS-Einrichtung
Propagierungsverzögerung verursacht falsche Fehlschläge. CNAMEs können bis zu 24–48 Stunden dauern; warten Sie mindestens eine Stunde, bevor Sie auf Test Settings klicken, und verschärfen Sie DMARC nicht auf quarantine/reject, bevor DKIM als Active angezeigt wird und Berichte die Ausrichtung bestätigen.
- Abdeckung
Die standardmäßige …@helpscoutapp.com-Adresse benötigt nichts davon. Die DKIM-Delegation ist nur für benutzerdefinierte Domains relevant, die über Help-Scout-Server versenden — wenn Sie nur die integrierte Help-Scout-Postfachadresse verwenden, gibt es nichts zu konfigurieren.
Erstellen Sie Ihren SPF-Eintrag
Help Scout benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listHelp Scout SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.