CNAME im Konflikt mit MX- und TXT-Einträgen: „CNAME and other data“

Was das bedeutet

Ein CNAME-Eintrag sagt: „Dieser Name ist ein Alias für einen anderen Namen.“ Die DNS-Regeln (RFC 1034, bestätigt durch RFC 2181) besagen: Hat ein Name einen CNAME, darf er keinen anderen Eintrag haben: kein MX, kein TXT, kein A. Ein Name ist entweder ein Alias oder ein echter Name mit eigenen Einträgen, nie beides.

Meist bemerkst du das auf eine von zwei Arten:

• Dein DNS-Anbieter weigert sich, den Eintrag zu speichern, mit einer Meldung wie „CNAME conflicts with existing records“, „A CNAME record already exists for this name“ oder „CNAME and other data“.
• Dein DNS-Anbieter akzeptiert ihn trotzdem (manche tun das), und dann liefern Resolver widersprüchliche Antworten: SPF, DMARC oder MX scheinen aufzutauchen und zu verschwinden, und E-Mails scheitern zufällig.

Warum das passiert

• CNAME auf der Hauptdomain. Ein Website-Baukasten oder eine Hosting-Plattform sagt dir, du sollst yourdomain.com (den Apex, @) per CNAME verweisen. Der Apex hat immer SOA- und NS-Einträge und meist MX und TXT (SPF, Verifizierung), also ist ein CNAME dort ungültig.
• Eine Subdomain für Web und Mail zugleich. Zum Beispiel ist shop.yourdomain.com ein CNAME auf deine Shop-Plattform, und ein E-Mail-Tool verlangt einen MX oder SPF-TXT auf demselben Namen.
• DKIM doppelt angelegt. Ein Selector wie selector1._domainkey hat einen CNAME von einem Anbieter und einen TXT aus einer anderen Einrichtung.
• Verifizierungs-TXT auf einem CNAME-Namen. Ein Tool verlangt einen TXT auf www, obwohl www ein CNAME ist.
• DMARC auf einem CNAME. _dmarc.yourdomain.com als CNAME ist erlaubt (damit delegierst du DMARC), aber dann kannst du dort nicht zusätzlich einen eigenen TXT anlegen.

So prüfst du es

1. Öffne den Domain-Scanner und schau dir MX, SPF und DMARC an. Fehlende oder seltsame Werte auf einem Namen, der sie haben sollte, sind ein Hinweis.
2. Frag den CNAME auf genau diesem Namen ab:

   dig CNAME yourdomain.com +short
   dig CNAME shop.yourdomain.com +short
   shops.platform.example.

   Liefert das ein Ziel, darf dieser Name nichts anderes haben.
3. Frag MX und TXT auf demselben Namen ab:

   dig MX shop.yourdomain.com
   dig TXT shop.yourdomain.com

   Beginnt der Antwortabschnitt mit einem CNAME, siehst du die Einträge des Ziels, nicht deine.
4. Schick eine Test-E-Mail an die einmalige Adresse auf der Startseite von Delivmail (/), um die SPF- und DMARC-Ergebnisse für die tatsächlich sendende Domain zu sehen.

So behebst du es

CNAME auf dem Apex

Ersetze ihn durch etwas, das am Apex erlaubt ist:

• A/AAAA-Einträge mit den IPs, die deine Web-Plattform für Apex-Domains angibt.
• Einen ALIAS-, ANAME- oder „CNAME flattening“-Eintrag, falls dein DNS-Anbieter so etwas anbietet (Cloudflare glättet einen CNAME am Apex automatisch). Diese antworten mit A-Einträgen, sodass MX und TXT daneben bestehen können.
• Oder verweise nur www per CNAME und leite den Apex auf www um.

Before (invalid):
yourdomain.com.   CNAME  sites.platform.example.
yourdomain.com.   MX 10  mail.yourdomain.com.

After:
yourdomain.com.   A      203.0.113.80
yourdomain.com.   MX 10  mail.yourdomain.com.
yourdomain.com.   TXT    "v=spf1 ip4:203.0.113.25 ~all"
www               CNAME  sites.platform.example.

Subdomain für Web und Mail

Nimm verschiedene Namen: Behalte shop.yourdomain.com als CNAME für die Website und sende E-Mails von einer anderen Subdomain wie mail.yourdomain.com oder news.yourdomain.com, mit eigenem MX und TXT. Siehe E-Mail-Authentifizierung für Subdomains.

DKIM-Selectors

Behalte einen Eintrag pro Selector. Nutzt ein Anbieter CNAMEs (siehe DKIM mit CNAME-Einträgen), lösche jeden TXT auf demselben Selector-Namen oder nimm für das andere System einen anderen Selector.

Verifizierungs-TXT auf einem CNAME-Namen

Frag beim Tool nach, ob es die Verifizierung auch auf einem anderen Namen (viele tun das) oder auf dem Apex akzeptiert.

Prüfe, ob es behoben ist

Wenn die TTL der alten Einträge abgelaufen ist, sollte dig CNAME dort, wo MX oder TXT existieren müssen, nichts liefern, und dig MX / dig TXT sollten deine Einträge direkt zurückgeben. Prüfe erneut mit dem Domain-Scanner, mach dann einen neuen Delivmail-Test und prüfe, dass SPF und DMARC bestehen. Schick eine E-Mail an eine Adresse der Domain, um zu bestätigen, dass der Empfang funktioniert.