So überwachen Sie MX-Datensätze und die Gesundheit von E-Mail-Servern

E-Mail-Infrastruktur ist einer der zerbrechlichsten und am wenigsten überwachten Teile eines typischen Webdienstes. MX-Datensätze werden während einer Vendor-Migration geändert und nie überprüft. SPF-Datensätze wachsen, bis sie das Limit von 10 Lookups überschreiten und versagen stillschweigend. DKIM-Schlüssel rotieren und der öffentliche Schlüssel im DNS wird nie aktualisiert. Das Ergebnis ist ein intermittierendes oder vollständiges Zustellungsversagen, das kein Monitoring auf Anwendungsebene erfasst. Diese Anleitung behandelt, was auf den DNS- und SMTP-Ebenen zu überwachen ist, damit Fehler auftauchen, bevor der Kunde es bemerkt.

Was kann bei MX-Datensätzen schief gehen

Ein MX-Datensatz weist Absender auf den Mail-Server hin, der E-Mails für Ihre Domain akzeptiert. Falsche MX-Datensätze bedeuten, dass nichts ankommt.

Die häufigen Fehlermodi: Der MX-Datensatz wurde während einer Vendor-Änderung aktualisiert, aber der alte Datensatz wurde nicht entfernt, was zu konkurrierenden Servern führt. Ein Tippfehler im MX-Hostnamen (mailserver.example.com statt mailservers.example.com) leitet stillschweigend alles an einen nicht vorhandenen Server weiter. Der MX-Datensatz weist auf einen Hostnamen, der keinen A-Datensatz hat. Jedes dieser Probleme führt zu einem teilweisen oder vollständigen Zustellungsversagen, das ein Inbox-seitiger Test erfasst, aber eine reine DNS-Überprüfung nicht.

Die vier wichtigsten DNS-Einträge zum Überwachen

Vier DNS-Einträge decken zusammen die Konfigurationsseite der E-Mail-Integrität ab. Überwachen Sie alle vier für jede Domain, von der aus Sie versenden.

• MX: die Mail-Server selbst. Warnung, wenn sich der Eintrag unerwartet ändert oder wenn der aufgelöste Hostname keinen A-Eintrag hat.
• SPF (TXT an der Root): welche Server zum Versenden autorisiert sind. Warnung bei Änderungen und bei Einträgen, die mehr als 10 verschachtelte DNS-Abfragen enthalten (ein Zustellbarkeitskiller).
• DKIM (TXT at ._domainkey): der öffentliche Schlüssel, der ausgehende Signaturen verifiziert. Warnung bei Änderungen; fehlende DKIM bedeutet, dass die meisten Provider das Vertrauen reduzieren.
• DMARC (TXT at _dmarc): die Richtlinie für die Behandlung von SPF- und DKIM-Fehlern. Warnung bei Änderungen und bei zu freizügigen Richtlinien (p=none in Production).

SMTP-Checks jenseits von DNS

DNS-Überwachung erfasst Fehlkonfigurationen. SMTP-Überwachung erfasst einen Mail-Server, der ordnungsgemäß konfiguriert ist, aber nicht wirklich läuft. Beide sind erforderlich.

Die Überprüfung: Öffnen Sie eine TCP-Verbindung zum Mail-Server an Port 25 oder 587. Lesen Sie das SMTP-Banner (220 mail.example.com ESMTP). Schließen Sie die Verbindung ordnungsgemäß. Stündlich ausführen. Die Überprüfung ist leichtgewichtig und erfasst den Fehler, bei dem der Server abgestürzt ist, aber das DNS noch darauf verweist. Fügen Sie TLS-Verifizierung an Port 587 hinzu, wenn Sie STARTTLS verwenden; die meisten modernen Mail-Server tun dies.

End-to-End-Zustellungsüberwachung

DNS- und SMTP-Checks zeigen Ihnen, dass die Infrastruktur funktioniert. End-to-End-Checks zeigen Ihnen, dass E-Mail tatsächlich zugestellt wird. Zwei Muster decken die häufigsten Fälle ab.

• Round-Trip-Test: Senden Sie eine Test-E-Mail von Ihrer Anwendung an ein Postfach, das Sie kontrollieren (eine Gmail-Adresse, ein Mailosaur-Postfach, eine interne Adresse). Überprüfen Sie, ob sie innerhalb weniger Minuten ankommt.
• Externes Werkzeug: Services wie GlockApps, MXToolbox Inbox Insight und Mail-Tester bewerten die Zustellbarkeit über Postfachanbieter hinweg. Monatliche Ausführung lohnt sich, wenn E-Mail ein bedeutender Verkehrstreiber ist.
• Kunden-Feedback-Schleife: Abonnieren Sie eine dedizierte Adresse auf Ihrer eigenen Marketingliste. Wenn die Test-Adresse Ihre E-Mails nicht mehr erhält, tun es auch Kunden.

SPF-10-Lookup-Fehler erfassen

SPF-Einträge, die mehr als 10 DNS-Abfragen enthalten (alle Includes, Weiterleitungen und a/mx-Mechanismen zählend), werden von empfangenden Mail-Servern stillschweigend abgelehnt. Der klassische Fehlermodus: Jeder neue SaaS, den Sie zum Versenden in Ihrem Namen autorisieren (Mailchimp, Customer.io, Sendgrid), wird Ihren SPF-Includes hinzugefügt. Nach dem elften sinkt die Zustellbarkeit stillschweigend.

Überwachen Sie die SPF-Lookup-Anzahl, nicht nur den Eintragsinhalt. Tools wie dmarcian und Postmark's SPF-Tester melden die Anzahl. Setzen Sie Warnungen bei 8, um sich Spielraum zu geben. Flachen Sie den Eintrag ab (ersetzen Sie Include:-Direktiven durch ihre aufgelösten IPs), wenn Sie sich dem Limit nähern. Verwalten Sie die abgeflachte Version mit Automatisierung; manuelle Abflachung driftet ab.

Ein Monitoring-Stack für E-Mail-Infrastruktur

Das essenzielle Minimum-Setup: ein MX-Monitor auf der Apex-Domain, ein SPF-Monitor (TXT-Eintragsinhalt + Lookup-Anzahl), ein DKIM-Monitor auf dem verwendeten Selector, ein DMARC-Monitor auf _dmarc, ein SMTP-Banner-Monitor auf dem primären Mail-Server an Port 587. Fügen Sie täglich einen End-to-End-Round-Trip-Test zu einem Postfach hinzu, das Sie tatsächlich prüfen. Gesamt: sechs Monitore. Gesamtabdeckung: die meisten E-Mail-Fehlerflächen. Gesamtmonatliche Kosten im Pro-Tarif: deutlich unter dem, was Sie für Kaffee ausgeben.