Cloudflare-Einträge mit Proxy (orange Wolke) legen E-Mails lahm: so behebst du es

Was das bedeutet

Im Cloudflare-DNS hat jeder A-, AAAA- und CNAME-Eintrag einen Proxy status: Proxied (orange Wolke) oder DNS only (graue Wolke). Ist ein Eintrag proxied, veröffentlicht Cloudflare nicht die echte IP deines Servers. Es antwortet mit eigenen Cloudflare-IPs und reicht Web-Verkehr (HTTP/HTTPS) an deinen Server weiter.

E-Mails laufen nicht über diesen Proxy. Ist also ein Eintrag, der für E-Mails genutzt wird, proxied, bekommen andere Server die Adresse von Cloudflare statt die deines Mailservers. Die Symptome:

• Niemand kann dir E-Mails schicken: Der MX zeigt auf einen Host, der zu Cloudflare auflöst, und die Verbindung auf Port 25 schlägt fehl oder läuft in einen Timeout.
• SPF schlägt fehl: Ein a- oder mx-Mechanismus löst jetzt zu Cloudflare-IPs auf, nicht zu deinem Server.
• DKIM oder die Domain-Verifizierung schlägt bei SendGrid, Mailgun und ähnlichen Tools fehl: Ihre CNAME-Einträge wurden mit Proxy angelegt.
• Deine Mail-Apps können sich per IMAP oder SMTP nicht mit mail.yourdomain.com verbinden.

Warum das passiert

• DNS-Umzug zu Cloudflare: Beim Import stellt Cloudflare Einträge eventuell auf proxied, auch mail.
• Ein A-Eintrag für beides: Website und Mailserver teilen sich einen Hostnamen, und jemand hat ihn für die Website auf proxied gestellt.
• CNAMEs des E-Mail-Anbieters mit Proxy: CNAMEs wie em1234.yourdomain.com oder s1._domainkey.yourdomain.com wurden mit eingeschalteter oranger Wolke angelegt.

MX- und TXT-Einträge selbst können nicht proxied werden; das Problem ist immer der A-, AAAA- oder CNAME-Eintrag, auf den sie sich stützen.

So prüfst du es

1. Öffne den Domain-Scanner und schau dir deine MX-Einträge und die IP an, zu der jeder MX-Host auflöst. Nutze Whois für diese IP: Gehört sie Cloudflare und nutzt du für diesen Host kein Mail-Produkt von Cloudflare, ist der Eintrag proxied.
2. Mit dig:

   dig MX yourdomain.com +short
   10 mail.yourdomain.com.
   dig A mail.yourdomain.com +short
   104.16.x.x        (Cloudflare range: wrong for a mail server)

3. Teste einen DKIM-CNAME: Ein CNAME mit Proxy liefert den dahinterliegenden TXT-Schlüssel nicht.

   dig TXT s1._domainkey.yourdomain.com +short

4. Schick eine Test-E-Mail von deinem Server an die einmalige Adresse auf der Startseite von Delivmail (/) und lies das SPF-Ergebnis. Ein Fehlschlag für die IP deines eigenen Servers kommt oft von einem a- oder mx-Ziel mit Proxy.
5. Öffne im Cloudflare-Dashboard deine Domain, geh zu DNS > Records und schau dir die Spalte Proxy status an.

So behebst du es

1. Mail-Einträge auf DNS only stellen

Bearbeite jeden dieser Einträge und stelle den Proxy status auf DNS only (graue Wolke):

• den A/AAAA-Eintrag jedes Hosts, der in deinen MX-Einträgen steht (zum Beispiel mail, mx);
• die Hosts, mit denen sich deine Mail-Apps für IMAP, POP und SMTP verbinden;
• jeden CNAME, den ein E-Mail-Anbieter vorgibt (DKIM-Selectors, Return-Path- oder Bounce-Domains, Link-Tracking, sofern der Anbieter nichts anderes sagt);
• jeden Host, auf den SPF mit a: verweist.

Type   Name       Content          Proxy status
A      @          203.0.113.80     Proxied   (website: OK)
A      mail       203.0.113.25     DNS only  (mail server)
MX     @          mail.yourdomain.com   priority 10
CNAME  s1._domainkey  s1.domainkey.u123.wl.sendgrid.net   DNS only

2. Website und Mail-Host trennen

Lass deinen MX nicht auf denselben Namen zeigen wie deine Website mit Proxy. Nimm einen eigenen Namen wie mail.yourdomain.com, der auf DNS only steht. Beachte, dass ein Mail-Host mit DNS only seine IP veröffentlicht; ist es dieselbe IP wie die deiner Website, verrät sie deren echte Adresse. Mail auf einer anderen IP oder bei einem E-Mail-Anbieter zu hosten, vermeidet das.

3. SPF unabhängig von Namen mit Proxy machen

Nutze in SPF lieber ip4:/ip6: oder das include: deines Anbieters statt a und mx:

v=spf1 ip4:203.0.113.25 include:_spf.google.com ~all

Nutzt du Google Workspace oder Microsoft 365, zeigt dein MX auf deren Server, und dort musst du am Proxy nichts ändern; prüfe stattdessen die DKIM-CNAMEs und den SPF-Eintrag. Für verwandte Probleme siehe E-Mail-Einträge nach dem DNS-Umzug verloren.

Prüfe, ob es behoben ist

Proxy-Änderungen wirken schnell, aber Resolver können alte Antworten für die TTL des Eintrags zwischenspeichern (siehe DNS-Verbreitung und TTL). Führe dann dig A mail.yourdomain.com erneut aus: Es sollte die IP deines Servers liefern. Mach einen neuen Delivmail-Test und prüfe, dass SPF und DKIM bestehen, verifiziere die Domain in deinem E-Mail-Tool erneut und schick von einem externen Postfach eine E-Mail an deine Domain, um den Empfang zu bestätigen.