DKIM und DMARC für Brevo: Ihre Versanddomain authentifizieren
Den Brevo-Code, die zwei DKIM-Einträge und den DMARC-Eintrag veröffentlichen, die eigenen DMARC-Berichte behalten und prüfen, dass Brevo mit Ihrer Domain signiert.
Solange eine Domain in Brevo nicht authentifiziert ist, werden in ihrem Namen gesendete E-Mails nicht von ihr signiert; Brevo kann sogar die Absenderadresse durch eine eigene ersetzen. Die Authentifizierung besteht aus vier DNS-Einträgen. Dieser Leitfaden folgt den Hilfeseiten von Brevo, nachgelesen am 14. November 2026.
1. Die Domain hinzufügen
Öffnen Sie in Brevo Einstellungen → Absender, Domains, IPs → Domains (Settings → Senders, Domains, IPs → Domains) und klicken Sie auf Domain hinzufügen (oder auf Authentifizieren neben einer bereits aufgeführten Domain). Geben Sie den Teil Ihrer Adresse nach dem @ ein.
Brevo kann die Einträge selbst anlegen, indem es sich bei Ihrem DNS-Anbieter anmeldet. Der manuelle Weg, Domain selbst authentifizieren, zeigt die Einträge zum Kopieren; er ist hier beschrieben.
2. Die vier Einträge
| Eintrag | Typ | Host | Wozu er dient |
|---|---|---|---|
| Brevo-Code | TXT | die Domain selbst (@) |
Belegt, dass Sie die Domain kontrollieren |
| DKIM 1 | CNAME | brevo1._domainkey |
Signiert Ihre E-Mails (im Wechsel mit DKIM 2) |
| DKIM 2 | CNAME | brevo2._domainkey |
Signiert Ihre E-Mails (im Wechsel mit DKIM 1) |
| DMARC | TXT | _dmarc |
Sagt Empfängern, was mit fehlgeschlagenen E-Mails geschieht |
Übernehmen Sie jeden Namen und Wert aus Brevo. Hängt Ihr DNS-Anbieter die Domain selbst an den Host an, geben Sie brevo1._domainkey ein, nicht den vollen Namen. Ältere Konten können einen einzelnen DKIM-Eintrag vom Typ TXT mit einem 1024-Bit-Schlüssel haben: Brevo erlaubt den Wechsel zu den zwei CNAME-Einträgen, die einen stärkeren Schlüssel tragen und rotieren.
SPF müssen Sie auf Brevos gemeinsam genutzten Adressen nicht anfassen: SPF besteht auf Brevos eigener Return-Path-Domain, und DMARC besteht über die mit Ihrer Domain erstellte DKIM-Signatur. Eine SPF-Änderung wird nur mit einer dedizierten IP verlangt.
3. DMARC: ein Eintrag, und Ihre Berichte
Eine Domain darf nur einen DMARC-Eintrag haben. Haben Sie bereits einen, fügen Sie den von Brevo nicht daneben hinzu: Bearbeiten Sie Ihren.
Brevo verlangt ein rua=-Tag im Eintrag und schlägt die eigene Adresse rua@dmarc.brevo.com vor. Die Berichte gehen dann an Brevo, nicht an Sie. Um weiter zu lesen, wer in Ihrem Namen sendet, nennen Sie auch Ihre Adresse; rua= nimmt mehrere, durch Kommas getrennt:
v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.example,mailto:rua@dmarc.brevo.comSteht Ihre Richtlinie bereits auf p=quarantine oder p=reject, verlangt Brevo die Authentifizierung der Domain, bevor Sie darauf einen Absender anlegen können: Erledigen Sie zuerst die DNS-Arbeit.
4. Bestätigen
Zurück auf der Seite Domains klicken Sie auf Diese E-Mail-Domain authentifizieren. Brevo prüft jeden Eintrag; rechnen Sie mit bis zu 48 Stunden für die Verbreitung der DNS-Änderung und drücken Sie die Schaltfläche erneut. Auf der Seite Absender sollte jeder Absender ein grünes Häkchen für die DKIM-Signatur und für die DMARC-Richtlinie zeigen.
Senden Sie dann eine echte Kampagne an eines Ihrer Postfächer und lesen Sie die Header: dkim=pass mit Ihrer Domain. Der E-Mail-Header-Analyzer liest sie für Sie.
Was schiefgeht
- Der Absender erscheint als @brevosend.com: Die Domain ist nicht authentifiziert, daher hat Brevo die Adresse ersetzt.
- Ein Eintrag „stimmt nicht überein“: Der Host wurde vom DNS-Anbieter verdoppelt oder der Wert abgeschnitten. Versuchen Sie den kurzen Host (
brevo1._domainkey), dann den vollen. - Mehrere DMARC-Einträge: Empfänger ignorieren alle. Führen Sie sie zu einem zusammen.
- Der TXT-Schlüssel ist für den Anbieter zu lang: Wechseln Sie zu den zwei CNAME-Einträgen.
- Brevo besteht, DMARC scheitert weiter: Ein anderer Dienst sendet in Ihrem Namen. Der DMARC-Bericht-Leser zeigt, welcher, sofern die Berichte bei Ihnen ankommen.
Besteht alles, was in Ihrem Namen sendet, folgen Sie Von p=none zu p=reject.