TXT-Record: Funktion und Einrichtung im DNS
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: Ein TXT-Record ist ein Eintrag in DNS, dem System zur Verwaltung von Domainnamen, der Textinformationen speichert. Er dient unter anderem dazu, die Kontrolle über eine Domain zu bestätigen und Einstellungen zur E-Mail-Authentifizierung zu veröffentlichen. Er leitet weder eine Website weiter noch gibt er die Adresse eines Webservers an — seine Bedeutung hängt von dem Dienst ab, der den gespeicherten Text ausliest.
Wie funktioniert ein TXT-Record und was enthält er?
DNS verknüpft Domainnamen mit verschiedenen Informationen, nicht nur mit den IP-Adressen von Servern. Ein TXT-Record stellt Text unter einem bestimmten Namen bereit, beispielsweise example.com oder _dmarc.example.com. Ein Programm, das DNS abfragt, liest diesen Text und interpretiert ihn nach den Regeln des jeweiligen Dienstes.
In der Verwaltung für DNS findest du üblicherweise folgende Felder:
| Feld | Bedeutung |
|---|---|
| Typ | Wähle TXT. |
| Name / Host | Legt fest, unter welchem Namen der Eintrag verfügbar ist. |
| Wert / Inhalt | Text, den der Dienstanbieter bereitstellt oder der sich aus der Konfiguration ergibt. |
| TTL | Zeitraum, in dem die Antwort von DNS im Cache gespeichert werden darf. |
Für die Hauptdomain wird im Namensfeld häufig das Zeichen @ eingetragen oder das Feld bleibt leer. Das ist eine Konvention der jeweiligen Verwaltungsoberfläche, keine allgemeingültige Anweisung. Andere Oberflächen verlangen den vollständigen Domainnamen. Prüfe deshalb vor dem Speichern den Hinweis am Feld.
Ein TXT-Record ist öffentlich lesbar. Hinterlege darin keine Passwörter, privaten Schlüssel oder vertraulichen Daten. Ein Verifizierungstoken, das der Dienstanbieter zur Veröffentlichung in DNS vorgesehen hat, kannst du dort gemäß seiner Anleitung eintragen.
Wozu dienen TXT-Records?
Eine der einfachsten Anwendungen ist der Nachweis, dass du die Kontrolle über eine Domain hast. Der Anbieter eines E-Mail-Dienstes, eines Analysewerkzeugs oder eines anderen Dienstes stellt einen eindeutigen Text bereit und bittet dich, ihn in DNS einzutragen. Indem er den richtigen Wert ausliest, kann er prüfen, ob du die Konfiguration der Domain ändern kannst. Das ist jedoch kein Nachweis dafür, dass dir der Name oder das gesamte Unternehmen rechtlich gehört.
Ein zweiter wichtiger Anwendungsbereich ist E-Mail:
- SPF legt fest, welche Server E-Mails mit der jeweiligen Domain in der technischen Absenderadresse versenden dürfen. Die SPF-Richtlinie wird als TXT-Record veröffentlicht.
- DKIM ermöglicht es dem Empfänger, die kryptografische Signatur einer Nachricht zu prüfen. Der öffentliche Schlüssel wird meist als TXT-Record unter einem Namen wie
selektor._domainkey.example.comveröffentlicht; manche Anbieter verlangen stattdessen einen CNAME-Record, der auf ihre Konfiguration verweist. - DMARC legt die Regeln dafür fest, wie die Übereinstimmung der Authentifizierung mit der im Feld „Von“ sichtbaren Domain bewertet wird, wie mit Nachrichten umzugehen ist, die diese Bedingungen nicht erfüllen, und wie Berichte erstellt werden. Der TXT-Record wird unter dem Namen
_dmarc.example.comangelegt.
Diese Mechanismen helfen, das Vortäuschen einer fremden Absenderdomain einzudämmen, garantieren aber nicht, dass Nachrichten im Posteingang ankommen. TXT-Records werden auch bei der Ausstellung von Zertifikaten für TLS verwendet: Bei der Verifizierung über DNS-01 wird der vorgegebene Wert unter dem Namen _acme-challenge für die zu prüfende Domain veröffentlicht.
Wie fügst du einen TXT-Record Schritt für Schritt hinzu?
Angenommen, ein Dienst bittet dich, für die Hauptdomain example.com einen TXT-Record mit dem Wert service-verification=abc123 hinzuzufügen. Das ist nur ein Beispiel — für die tatsächliche Konfiguration brauchst du den Wert deines eigenen Anbieters.
- Ermittle, wer DNS für die Domain betreibt. Du fügst den Eintrag bei dem Anbieter hinzu, der die autoritativen Server für DNS betreibt, also die Server, die als Quelle der Antworten für die Domain dienen. Das muss nicht das Unternehmen sein, bei dem du die Registrierung bezahlst.
- Öffne die Zone für DNS der richtigen Domain. Eine Zone umfasst die Einträge für diese Domain. Wähle die Option zum Hinzufügen eines neuen TXT-Records.
- Gib den Namen gemäß der Anleitung der Verwaltungsoberfläche ein. Für die Hauptdomain kann das
@, ein leeres Feld oderexample.comsein. - Füge den Wert exakt ein. Ergänze keine Leerzeichen, Zeilenumbrüche oder eigenen Erläuterungen. Die TTL kannst du auf dem Standardwert belassen, sofern der Anbieter nichts anderes empfiehlt.
- Speichere den Eintrag und starte die Verifizierung beim Dienst. Falls der erste Versuch scheitert, prüfe die Antwort von DNS, bevor du den Inhalt des Records änderst.
Für einen separaten Verifizierungseintrag müssen vorhandene TXT-Records normalerweise nicht gelöscht werden. Prüfe nach der Verifizierung in der Dokumentation des Dienstes, ob der Eintrag bestehen bleiben soll — manche Systeme kontrollieren ihn erneut.
Wie prüfst du den Eintrag und vermeidest Fehler?
Du kannst den Record mit einem Werkzeug für Abfragen an DNS prüfen. Verwende in einem Terminal, in dem das Programm dig verfügbar ist, dig TXT example.com und für DMARC dig TXT _dmarc.example.com. Eine Alternative ist der Befehl nslookup -type=TXT example.com.
Eine Änderung ist nicht unbedingt sofort überall sichtbar. Einige Resolver, also Server, die Abfragen an DNS vermitteln, können die frühere Antwort entsprechend ihrer TTL noch im Cache halten. Auch die Information, dass kein Record vorhanden ist, kann zwischengespeichert werden. Eine erst nach der Änderung gesenkte TTL entfernt daher keine bereits gespeicherten Antworten.
Der häufigste Fehler ist ein falscher Name für den Eintrag. Wenn die Verwaltungsoberfläche die Domain automatisch anhängt, kann die Eingabe des vollständigen Namens _dmarc.example.com zu _dmarc.example.com.example.com führen. Ein weiteres Problem entsteht, wenn du DNS bei einem Anbieter bearbeitest, dessen Server nicht mehr für die Domain zuständig sind.
Unter einem Namen können mehrere TXT-Records vorhanden sein, aber veröffentliche nicht mehrere unabhängige SPF-Richtlinien für denselben Namen. Wenn ein weiterer E-Mail-Absender hinzukommt, müssen die erforderlichen Versandquellen in einer gemeinsamen Richtlinie zusammengeführt werden, statt einen zweiten Eintrag hinzuzufügen, der mit v=spf1 beginnt.
Anführungszeichen im Ergebnis einer Abfrage an DNS dienen häufig nur der Darstellung des Textes. Ein einzelner TXT-Record kann außerdem mehrere Teilstücke enthalten, die jeweils bis zu 255 Byte lang sind; das bedeutet nicht, dass der gesamte Record auf 255 Zeichen begrenzt ist. Halte dich bei einem langen DKIM-Schlüssel an die Anleitung deines Anbieters für DNS, statt ihn eigenständig auf mehrere unabhängige Records aufzuteilen.
Vergleiche vor dem Speichern drei Angaben mit der offiziellen Anleitung des Dienstes: den Record-Typ, den vollständigen Zielnamen und den Wert. Prüfe diese Angaben nach dem Speichern in der Antwort von DNS — dass der Eintrag in der Verwaltungsoberfläche erscheint, bestätigt noch nicht seine korrekte Veröffentlichung.
Siehe auch: Was ist Linux?
Lesen Sie auch
