Mailgun-Domain nicht verifiziert: SPF-, DKIM-, MX- und CNAME-Einträge korrigieren

Was das bedeutet

Wenn du in Mailgun eine Sendedomain hinzufügst, bekommst du DNS-Einträge, die du veröffentlichen musst. Bis Mailgun sie findet, ist die Domain nicht verifiziert (unverified), und du kannst nicht normal von ihr senden. Sendeversuche werden abgelehnt; die Meldung sagt meist, dass die Domain nicht senden darf, weil sie nicht verifiziert ist und eine DNS-Konfiguration benötigt.

Laut der Mailgun-Dokumentation verifizieren die beiden TXT-Einträge, SPF und DKIM, die Domain für den Versand. Die MX-Einträge (um Antworten zu empfangen oder Routes zu nutzen) und der Tracking-CNAME (für Öffnungen, Klicks und Abmeldungen) sind empfohlen, dienen aber anderen Funktionen.

Warum das passiert

• Einträge unter dem falschen Namen. Mailgun schlägt meist eine Subdomain wie mg.yourdomain.com vor. Die Einträge müssen dann unter mg.yourdomain.com und selector._domainkey.mg.yourdomain.com liegen, nicht auf der Hauptdomain. Manche Panels hängen die Domain außerdem doppelt an (zum Beispiel mg.yourdomain.com.yourdomain.com).
• Zwei SPF-Einträge unter demselben Namen: der alte und der von Mailgun. SPF schlägt dann mit einem permerror fehl. Füge sie zu einem zusammen (siehe mehrere SPF-Einträge auf einer Domain).
• DKIM-Schlüssel kaputt: beim Einfügen abgeschnitten, Anführungszeichen im Wert hinzugefügt oder ein langer Schlüssel falsch aufgeteilt.
• Proxy oder CNAME-Flattening: Bei Cloudflare machen über den Proxy geleitete Einträge die Mail-Einträge kaputt (siehe Cloudflare-Proxy-Einträge legen E-Mail lahm).
• Ein CNAME unter demselben Namen wie der SPF-TXT-Eintrag: Ein CNAME verdeckt alle anderen Einträge unter diesem Namen.
• Falsche DNS-Zone: Einträge beim Registrar angelegt, obwohl die Domain andere Nameserver nutzt.
• Werte verschiedener Regionen vermischt: EU-Domains nutzen EU-Hosts für MX und Tracking (mxa.eu.mailgun.org, eu.mailgun.org).

So prüfst du es

Öffne im Mailgun-Control-Panel Send, Domains, deine Domain und dann den Bereich mit den DNS-Einträgen. Jeder Eintrag zeigt einen Status. Kopiere die genauen Werte von dort: Sie sind spezifisch für deine Domain und Region. Für eine US-Domain sehen sie meist so aus:

mg.yourdomain.com.                     TXT    "v=spf1 include:mailgun.org ~all"
selector._domainkey.mg.yourdomain.com. TXT    "k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."
mg.yourdomain.com.                     MX 10  mxa.mailgun.org.
mg.yourdomain.com.                     MX 10  mxb.mailgun.org.
email.mg.yourdomain.com.               CNAME  mailgun.org.

Den Namen des DKIM-Selektors (den Teil vor ._domainkey) wählt Mailgun. Neuere Domains mit Automatic Sender Security zeigen DKIM eventuell als CNAME-Einträge statt als TXT-Schlüssel an, damit Mailgun die Schlüssel selbst rotieren kann; veröffentliche sie genau so, wie sie angezeigt werden. Frage das DNS dann selbst ab:

dig +short TXT mg.yourdomain.com
dig +short TXT selector._domainkey.mg.yourdomain.com
dig +short NS yourdomain.com

Der Domain-Scanner von Delivmail liest ebenfalls die SPF-, DMARC-, MX- und DKIM-Einträge deiner Sendedomain so, wie die Außenwelt sie sieht.

So behebst du es

1. Nutze eine eigene Subdomain wie mg.yourdomain.com, wenn deine Hauptdomain bereits woanders E-Mails empfängt. Lass die MX-Einträge deiner Hauptdomain nicht auf Mailgun zeigen, außer Mailgun soll alle ihre E-Mails empfangen.
2. Veröffentliche einen SPF-Eintrag pro Name. Auf einer eigenen Subdomain reicht v=spf1 include:mailgun.org ~all. Sendest du auch mit anderen Diensten von der Hauptdomain, füge include:mailgun.org zum bestehenden Eintrag hinzu, statt einen zweiten anzulegen.
3. Füge den DKIM-Wert am Stück ein, ohne zusätzliche Anführungszeichen. Begrenzt dein Anbieter TXT-Strings auf 255 Zeichen, lass ihn den Wert in mehrere Strings im selben Eintrag aufteilen.
4. Schalte den Proxy aus und entferne jeden kollidierenden CNAME unter denselben Namen.
5. Klick auf „Verify DNS settings“ in den Domain-Einstellungen oder warte auf die automatischen Prüfungen von Mailgun. Neue Einträge erscheinen meist innerhalb von Minuten, Caches können das aber verzögern; eine zwischengespeicherte Antwort „kein Eintrag“ kann bis zum Ablauf ihrer TTL bestehen bleiben.
6. Füge DMARC hinzu auf deiner Hauptdomain, falls du keinen hast, zum Beispiel _dmarc.yourdomain.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com". Das DKIM von Mailgun auf mg.yourdomain.com passt zu einer From-Adresse auf mg.yourdomain.com und im lockeren Modus auch zu yourdomain.com.

Bis die Domain verifiziert ist, kannst du mit der Sandbox-Domain testen, die nur an autorisierte Empfänger zustellt: siehe Mailgun-Sandbox: nur autorisierte Empfänger.

Prüfe, ob es behoben ist

Alle Einträge sollten im Mailgun-Panel als verifiziert angezeigt werden. Sende über Mailgun von deiner verifizierten Domain eine Nachricht an die einmalige Adresse auf der Startseite von Delivmail: Der Bericht sollte zeigen, dass SPF für mg.yourdomain.com besteht (Mailgun nutzt sie als Bounce-Domain), dass DKIM mit d=mg.yourdomain.com (oder deiner Domain) besteht und dass DMARC besteht. Sende dann die fehlgeschlagenen Nachrichten erneut.