SendGrid Domain Authentication: CNAME-Einträge werden nicht verifiziert

Was das bedeutet

In Twilio SendGrid verlangt Domain Authentication (Settings > Sender Authentication), dass du DNS-Einträge veröffentlichst und dann auf Verify klickst. Findet SendGrid sie nicht mit dem richtigen Wert, zeigt es die Einträge als nicht verifiziert an, und deine Domain bleibt unauthentifiziert.

Mit eingeschaltetem „Use automated security“ (Standard) gibt dir SendGrid drei CNAME-Einträge und schlägt einen DMARC-Eintrag vor. Die Namen und Ziele enthalten Zahlen, die für dein Konto einmalig sind:

em1234.yourdomain.com            CNAME  u1234567.wl123.sendgrid.net
s1._domainkey.yourdomain.com     CNAME  s1.domainkey.u1234567.wl123.sendgrid.net
s2._domainkey.yourdomain.com     CNAME  s2.domainkey.u1234567.wl123.sendgrid.net
_dmarc.yourdomain.com            TXT    "v=DMARC1; p=none;"

Der em-Eintrag wird für den Return-Path verwendet (Bounce-Domain, durch die SPF ausgerichtet wird). Die beiden _domainkey-Einträge zeigen auf DKIM-Schlüssel, die SendGrid für dich rotiert. Kopiere immer deine eigenen Werte aus der Konsole; die oben sind Beispiele.

Warum das passiert

• Doppelter Domainname. Dein DNS-Panel hängt yourdomain.com automatisch an, sodass aus em1234.yourdomain.com der Name em1234.yourdomain.com.yourdomain.com wird. Das ist die häufigste Ursache; siehe DNS-Eintrag unter dem falschen Namen angelegt.
• Cloudflare-Proxy. Ein über den Proxy geleiteter CNAME (orange Wolke) antwortet mit Cloudflare-IP-Adressen statt mit dem CNAME-Ziel. Siehe Cloudflare-Proxy-Einträge legen E-Mail lahm.
• Ein kollidierender Eintrag. Ein CNAME kann nicht neben einem anderen Eintrag mit demselben Namen bestehen. Ein alter TXT- oder MX-Eintrag unter em1234 oder s1._domainkey blockiert ihn. Siehe CNAME kollidiert mit MX- und TXT-Einträgen.
• Tippfehler im Ziel oder ein Problem mit dem abschließenden Punkt in Panels, die einen vollqualifizierten Namen erwarten.
• Einträge in der falschen DNS-Zone angelegt. Das DNS deiner Domain wird von einem anderen Anbieter ausgeliefert (prüfe die NS-Einträge), daher werden die beim Registrar angelegten Einträge nie gesehen.
• Noch nicht sichtbar. Manche DNS-Anbieter brauchen Zeit, um neue Einträge zu veröffentlichen; SendGrid nennt bei manchen Anbietern bis zu 48 Stunden.
• Falsche Domain authentifiziert: Du hast yourdomain.com authentifiziert, aber Einträge für eine Subdomain angelegt, oder umgekehrt.

So prüfst du es

1. Frage jeden Eintrag im Terminal ab. Eine korrekte Antwort liefert das SendGrid-Ziel:

   dig +short CNAME em1234.yourdomain.com
   dig +short CNAME s1._domainkey.yourdomain.com
   dig +short CNAME s2._domainkey.yourdomain.com
   dig +short NS yourdomain.com

   Eine leere Antwort heißt, dass der Eintrag nicht da ist (oder noch nicht). IP-Adressen deuten auf einen Proxy hin.
2. Prüfe auf den doppelten Namen: dig +short CNAME em1234.yourdomain.com.yourdomain.com. Kommt darauf eine Antwort, wurde der Name falsch eingegeben.
3. Nutze den Domain-Scanner von Delivmail, um die SPF-, DMARC- und DKIM-Einträge zu sehen, die andere für deine Domain sehen.

So behebst du es

1. Öffne in deinem DNS-Panel jeden Eintrag und gib im Namensfeld nur den Teil vor deiner Domain ein: em1234, s1._domainkey, s2._domainkey.
2. Füge das Ziel genau so ein, wie SendGrid es anzeigt. Setze den Eintragstyp auf CNAME, nicht auf TXT.
3. Stelle bei Cloudflare jeden Eintrag auf „DNS only“.
4. Lösche alte Einträge mit denselben Namen, auch alte DKIM-TXT-Einträge für s1/s2 aus einer früheren Einrichtung.
5. Stell sicher, dass du die Zone des DNS-Anbieters bearbeitest, der in deinen NS-Einträgen steht.
6. Lehnt dein DNS-Anbieter Unterstriche in CNAME-Namen ab, schalte die automatische Sicherheit in SendGrid aus (du bekommst dann MX- und TXT-Einträge) oder zieh mit deinem DNS zu einem Anbieter um, der Standardeinträge unterstützt.
7. Klick zurück in SendGrid auf Verify. Schlägt ein Eintrag weiterhin fehl, zeigt SendGrid an, welcher.

SPF und bestehende Einträge

Mit automatischer Sicherheit musst du SendGrid nicht zu deinem SPF-Eintrag auf der Hauptdomain hinzufügen: SPF wird auf der em-Subdomain geprüft, die dem SPF von SendGrid über den CNAME folgt. Behalte dein bestehendes SPF auf der Hauptdomain für deine anderen Dienste. Wie DKIM über CNAME funktioniert, erfährst du in DKIM mit CNAME-Einträgen (delegierte Selektoren).

Prüfe, ob es behoben ist

Wenn dig die richtigen Ziele liefert, klick in SendGrid erneut auf Verify; alle Einträge sollten grün werden. Sende dann über SendGrid einen Test an die Adresse auf der Startseite von Delivmail: DKIM sollte mit d=yourdomain.com bestehen, der Return-Path sollte auf em1234.yourdomain.com liegen, und DMARC sollte bestehen. Sind die Einträge korrekt und SendGrid verifiziert sie nach der Propagationszeit trotzdem nicht, kontaktiere den SendGrid-Support mit deiner dig-Ausgabe.