SPF, DKIM & DMARC für Zendesk.

Warum Zendesk authentifizieren?

Die Authentifizierung von Zendesk ist keine bloße Formsache — sie entscheidet darüber, ob Ihre Support-Antworten Ihre Kunden überhaupt erreichen. Eine ausgelastete Support-Warteschlange überschreitet schnell die Schwelle von 5.000 Nachrichten pro Tag, ab der Gmail und Yahoo seit Februar 2024 von Massenversendern verlangen, dass sie SPF, DKIM und DMARC mit Alignment bestehen; Microsoft hat 2025 begonnen, ähnliche Regeln für Versender mit hohem Volumen durchzusetzen. Solange Sie eine externe Support-Domain nicht authentifizieren, sendet Zendesk Antworten, die Ihnen nur schwach zugeordnet werden können: Empfänger sehen einen „via zendesk.com"-Hinweis, Ihre Absenderadresse ist nicht kryptografisch die Ihre, DMARC kann nicht bestehen, und etwaige Spam-Beschwerden fallen auf Zendesks gemeinsam genutzte Infrastruktur zurück, statt Ihre eigene Reputation aufzubauen. Es gibt zudem eine Zendesk-spezifische Besonderheit, die DKIM hier unverzichtbar macht: Zendesks SPF ist niemals zu Ihrer Domain aligned (es lässt E-Mails über seine eigene zendesk.com-Return-Path bouncen), sodass Sie sich — anders als bei Google Workspace oder Microsoft 365 — nicht auf SPF stützen können, um DMARC zu tragen. DKIM ist der einzige Mechanismus, der aligned. Richten Sie den SPF-include, die beiden DKIM-CNAMEs und eine DMARC-Richtlinie ein, dann gehen Ihre Antworten signiert als Ihre eigene Domain hinaus, die „via"-Kennzeichnung verschwindet, DMARC besteht und die Reputation, die Sie aufbauen, gehört Ihnen.

Die SPF-Realität bei Zendesk

Zendesk ist ein echter „include"-Anbieter — Sie fügen einen einzigen realen gemeinsamen Mechanismus, include:mail.zendesk.com, dem einen SPF-TXT-Eintrag Ihrer Domain hinzu, und Zendesk empfiehlt offiziell den vollständigen Eintrag v=spf1 include:mail.zendesk.com -all (empfohlen wird das harte -all zum stärksten Schutz vor Spoofing). Gegen Live-DNS verifiziert löst mail.zendesk.com zu einem flachen Eintrag auf, der nur ip4:-Bereiche und sein eigenes ~all enthält, ohne verschachtelte includes, sodass er genau EINEN Ihrer 10 SPF-DNS-Lookups kostet. Hier kommt der Teil, den fast jedes Tutorial auslässt, und es ist das Wichtigste, das man über Zendesk-SPF verstehen muss: Es besteht, aber es ALIGNED nicht. Standardmäßig sendet Zendesk ausgehende E-Mails mit dem Envelope-Return-Path (dem MAIL FROM, gegen das Empfänger tatsächlich SPF prüfen) auf einer von Zendesks eigenen zendesk.com-Bounce-Domains, nicht auf Ihrer Domain — und Zendesk bietet keinen Mechanismus, um diesen Return-Path auf Ihre Domain zu verlegen. SPF authentifiziert also gegen Zendesks Infrastruktur und besteht, aber weil die geprüfte Domain eine zendesk.com-Subdomain ist und nicht Ihre Absender-Domain, ist es nicht aligned, und DMARC wertet SPF nur, wenn es aligned. Das bedeutet, include:mail.zendesk.com kann für sich allein kein DMARC-Bestehen tragen. Es lohnt sich dennoch, ihn hinzuzufügen — Zendesk empfiehlt es, manche Empfänger führen eine nicht-alignte SPF-Prüfung auf der sichtbaren Absender-Domain durch, und es verhindert SPF-bedingte Bounces und das Landen im Spam-Ordner —, aber der Mechanismus, der DMARC für Zendesk tatsächlich bestehen lässt, ist DKIM-Alignment, nicht SPF. Behalten Sie genau einen SPF-Eintrag auf der Domain (führen Sie den include zusammen, falls Sie bereits über Google Workspace, Microsoft 365 usw. senden), behalten Sie include:mail.zendesk.com als First-Layer-Mechanismus in diesem Eintrag, und beginnen Sie mit ~all statt -all, bis jeder andere legitime Versender erfasst ist.

Zwei Wege zur Einrichtung

Schritt für Schritt

Einzutragende Einträge

Zendesk erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.

Das Budget von 10 Lookups

SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Zendesk von diesem Budget verbraucht.

Prüfen, ob es wirklich funktioniert hat

Verlassen Sie sich nicht allein auf den Status im Admin Center — bestätigen Sie ihn anhand einer echten Nachricht. Antworten Sie auf ein Test-Ticket, damit Zendesk eine ausgehende E-Mail von Ihrer externen Support-Adresse sendet, öffnen Sie sie in Gmail und wählen Sie ⋮ → Original anzeigen. Sie möchten DKIM: PASS mit signed-by: yourdomain.com (Selektor zendesk1 oder zendesk2) sowie DMARC: PASS sehen. SPF wird pass, aber unaligned anzeigen — die mailed-by/Return-Path wird eine zendesk.com-Domain sein — und das ist bei Zendesk zu erwarten, keine Fehlkonfiguration, jagen Sie also nicht dem SPF-Alignment hinterher. Sie können die Roh-Einträge stichprobenartig mit dig CNAME zendesk1._domainkey.yourdomain.com (sollte bis zu zendesk.com durchauflösen) und dig TXT _dmarc.yourdomain.com prüfen. Lassen Sie Ihre Domain anschließend durch {healthCheck} von Qualisend laufen, um zu bestätigen, dass jeder Eintrag auflöst und Ihr SPF unter dem 10-Lookup-Limit bleibt, und sobald die DMARC-Aggregatberichte eintreffen, laden Sie einen in {dmarcAnalyzer} — Zendesk sollte als DKIM-alignte, bestehende Quelle erscheinen, auch wenn sein SPF unaligned ist.

Häufige Stolperfallen

• DNS-Einrichtung

  DKIM zuletzt aktivieren. Zendesk weist ausdrücklich darauf hin, dass die Auswahl von Benutzerdefinierte Domain für DKIM, bevor Ihre zendesk1/zendesk2-CNAMEs propagiert sind, Zustellfehler verursacht — erst veröffentlichen und DNS setzen lassen (ein paar Stunden bis einen Tag), dann den Schalter umlegen.

• Abdeckung

  SPF aligned per Design nicht. Zendesk lässt ausgehende Mail über seine eigene zendesk.com-Return-Path bouncen, sodass include:mail.zendesk.com die reine SPF-Prüfung bestehen lässt, aber niemals zu Ihrer Domain aligned und DMARC nicht allein tragen kann. DKIM ist es, das aligned — verschwenden Sie keine Zeit damit, SPF-Alignment erzwingen zu wollen; Zendesk bietet keine Möglichkeit dazu.

• Abdeckung

  DKIM funktioniert nur auf einer externen E-Mail-Domain. Von einer yourbrand.zendesk.com-Adresse gesendete Mail kann nicht als Ihre Domain signiert werden — Sie müssen zuerst eine Support-Adresse auf Ihrer eigenen Domain hinzufügen und verifizieren (support@yourdomain.com).

• DNS-Einrichtung

  Die DKIM-CNAME-Ziele sind geteilt, nicht eindeutig. Beide zeigen für jeden Zendesk-Kunden auf zendesk1._domainkey.zendesk.com / zendesk2._domainkey.zendesk.com — versuchen Sie nicht, eine Konto-ID hinzuzufügen oder das Ziel zu „personalisieren", und veröffentlichen Sie sie nicht als TXT-Einträge.

• Bricht die Authentifizierung

  Behalten Sie genau einen SPF-Eintrag und den include im First-Layer. Falls Sie bereits über Google Workspace, Microsoft 365 usw. senden, führen Sie include:mail.zendesk.com in diese eine v=spf1-Zeile zusammen — zwei SPF-Einträge sind ein PermError, und den include in einem verschachtelten Lookup zu vergraben kann verhindern, dass er in der ersten Schicht auflöst.

• Abdeckung

  -all vs. ~all. Zendesk empfiehlt das harte -all, aber wenn Ihr SPF noch nicht jeden legitimen Versender auflistet, wird -all diese anderen Mails hart fehlschlagen lassen. Verwenden Sie ~all, bis Sie alle Versender erfasst haben, verschärfen Sie dann zu -all.

• DNS-Einrichtung

  Verdopplung im Host-Feld. Viele Registrare hängen Ihre Domain automatisch an, sodass die Eingabe von zendesk1._domainkey.yourdomain.com zu zendesk1._domainkey.yourdomain.com.yourdomain.com führt. Geben Sie nur das Label zendesk1._domainkey ein, wenn das Panel die Domain für Sie ergänzt.

• DNS-Einrichtung

  Mehrere Marken und Domains benötigen jeweils den vollständigen Satz. Jede externe Support-Domain benötigt ihren eigenen SPF-include, ihre eigenen zwei DKIM-CNAMEs, ihren eigenen DMARC-Eintrag und die aktivierte Option Benutzerdefinierte Domain für DKIM — das Setup einer Domain deckt die anderen nicht ab.

Erstellen Sie Ihren SPF-Eintrag

Zendesk ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.

Zendesk SPF — FAQ

Weiterführende Lektüre

Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.