TXT Record Lookup, der jeden Eintrag erklärt
Gib eine Domain oder einen beliebigen Hostnamen ein. Du siehst jeden TXT-Eintrag mit TTL und Aufteilung, was er ist (SPF, DMARC, DKIM, BIMI oder ein Verifizierungs-Token) und was zu beheben ist. Kostenlos, ohne Anmeldung, nichts wird gespeichert.
Deine Domain
Probier es aus: salesforce.com, _dmarc.salesforce.com
Optionen: E-Mail-Einträge, DKIM-Selektoren
Im Header einer gesendeten Mail: DKIM-Signature: … s=selektor. Mehrere durch Kommas trennen.
Was ist ein TXT-Eintrag?
Ein TXT-Eintrag enthält Text, den eine Domain im DNS veröffentlicht. Mailserver lesen SPF, DKIM und DMARC aus TXT-Einträgen, und Dienste wie Google oder Microsoft 365 prüfen ein TXT-Token, um zu bestätigen, dass dir die Domain gehört.
DNS speichert den Text in Strings von höchstens 255 Oktetten. Ein längerer Eintrag, etwa ein 2048-Bit-DKIM-Schlüssel, wird in mehrere Strings geteilt, die SPF und DKIM ohne Leerzeichen zusammenfügen.
- Typ
- TXT (16)
- String-Limit
- je 255 Oktette (RFC 1035)
- Mehrere pro Name
- Ja; SPF und DMARC nur einmal
- Änderungen sichtbar
- Nach Ablauf der alten TTL
- Kommandozeile
dig TXT example.com
So liest du dein Ergebnis
Vier Teile, das Dringendste zuerst.
- 1
Die Antwort
Wie viele Einträge welcher Art, der Resolver, DNSSEC und die Zeit der Abfrage.
- 2
Was du zuerst beheben solltest
Zwei SPF-Einträge, DMARC oder DKIM am falschen Namen, als Text gespeicherte Anführungszeichen, eine Antwort zu groß für ein UDP-Paket.
- 3
Jeder Eintrag erklärt
Art, Bestandteile in einer Tabelle, TTL, Größe in Oktetten und Aufteilung in Strings.
- 4
Deine E-Mail-Einträge
_dmarc, die üblichen DKIM-Selektoren, BIMI, MTA-STS und TLS-Berichte auf einmal, jeweils mit ihrem Checker verlinkt.
Was in TXT-Einträgen steht
Der Lookup erkennt jeden an seinem Anfang.
| Eintrag | Beginnt mit | Liegt unter | Gelesen von |
|---|---|---|---|
| SPF | v=spf1 | der Domain (@) | empfangenden Mailservern |
| DMARC | v=DMARC1 | _dmarc.example.com | empfangenden Mailservern |
| DKIM | v=DKIM1; k=rsa; p=… | selector._domainkey.example.com | empfangenden Mailservern |
| BIMI | v=BIMI1 | default._bimi.example.com | Gmail, Apple Mail, Yahoo |
| MTA-STS | v=STSv1; id=… | _mta-sts.example.com | sendenden Mailservern |
| TLS-Berichte | v=TLSRPTv1 | _smtp._tls.example.com | sendenden Mailservern |
| Verifizierungs-Token | google-site-verification=, MS=ms… | meist der Domain (@) | dem Dienst, der es ausgegeben hat |
Verifizierungs-Tokens, die wir erkennen
Jedes im Format, das der Dienst dokumentiert. Andere Tokens zeigen wir mit dem Namen, den sie tragen.
Tokens, die der Lookup benennt
- Google.
google-site-verification=für Search Console und Google Workspace. - Microsoft 365.
MS=msmit Ziffern, aus dem Microsoft 365 Admin Center. - Apple.
apple-domain-verification=für Apple Business. - Stripe.
stripe-verification=. Behalte ihn: Stripe prüft später erneut. - Zoho, Brevo.
zoho-verification=undbrevo-code:(mit Doppelpunkt). - GlobalSign, Docusign, Adobe.
globalsign-domain-verification=,docusign=,adobe-idp-site-verification=.
Für Pardot und Marketing Cloud Next
Welche DNS-Einträge die Salesforce-Hilfe verlangt, geprüft am 16. Oktober 2026.
Account Engagement (Pardot)
Die Domainverwaltung gibt dir zwei TXT-Einträge für eine Versanddomain: einen Validierungsschlüssel und den DKIM-Schlüssel unter
200608._domainkey. Frag beide hier ab, um zu sehen, ob sie live sind. Account Engagement (Pardot) braucht kein SPF-include.Marketing Cloud Next
Eine authentifizierte Domain nutzt acht CNAME-Einträge; drei tragen die DKIM-Schlüssel (
s1-e360-…). Ein TXT-Lookup unter diesen Namen folgt dem CNAME und zeigt den Schlüssel.
Häufige TXT-Probleme
Was am häufigsten schiefgeht, und die Lösung.
- Der Eintrag erscheint noch nicht. Resolver behalten die alte Antwort, bis ihre TTL abläuft. Warte so lange und prüf dann erneut. Prüf auch den Host: Manche Panels hängen die Domain an, aus _dmarc.beispiel.de wird _dmarc.beispiel.de.beispiel.de.
- Zwei SPF-Einträge. Nur ein Eintrag pro Name darf mit v=spf1 beginnen; bei zweien scheitert SPF für alle Mails. Fass sie im SPF Generator zusammen.
- Anführungszeichen als Text. Manche DNS-Panels setzen die Anführungszeichen selbst. Füge den Wert ohne sie ein, sonst beginnt der Eintrag mit einem Anführungszeichen.
- Eintrag am falschen Namen. DMARC gehört unter _dmarc, DKIM unter selektor._domainkey. Direkt auf der Domain finden Empfänger sie nie.
- Ein langer Eintrag in mehreren Strings. Über 255 Oktetten normal. SPF und DKIM fügen die Strings ohne Leerzeichen zusammen, setz also an der Teilung kein Leerzeichen.
- Alte Tokens sammeln sich. Jedes Token vergrößert die Antwort. RFC 7208 empfiehlt, die TXT-Antwort eines Namens unter 450 Oktetten zu halten. Lösch Tokens von Diensten, die du nicht mehr nutzt.
Häufige Fragen zum TXT-Record-Lookup
Kurze Antworten auf das, was Leute zu TXT-Einträgen fragen.
Wie frage ich die TXT-Einträge einer Domain ab?
Gib die Domain oben ein. Auf der Kommandozeile: dig TXT beispiel.de oder nslookup -type=TXT beispiel.de.
Warum ist mein TXT-Eintrag in mehrere Teile in Anführungszeichen geteilt?
DNS speichert Text in Strings von höchstens 255 Oktetten, längere Einträge werden geteilt. SPF und DKIM fügen die Teile ohne Leerzeichen zusammen; es gibt nichts zu beheben.
Warum sehe ich den TXT-Eintrag nicht, den ich gerade angelegt habe?
Resolver behalten die vorherige Antwort, bis ihre TTL abläuft. Prüf auch den Hostnamen: Manche DNS-Panels hängen deine Domain an, trag also nur den Teil vor der Domain ein.
Darf eine Domain mehrere TXT-Einträge haben?
Ja, so viele wie nötig. Zwei Ausnahmen: ein SPF-Eintrag pro Name und ein DMARC-Eintrag unter _dmarc.
Darf ich einen Verifizierungs-Eintrag nach der Verifizierung löschen?
Das hängt vom Dienst ab. Manche prüfen später erneut (Stripe sagt das), lösch ein Token also erst, wenn du den Dienst nicht mehr nutzt.
Unterscheidet TXT Groß- und Kleinschreibung?
Namen nicht; der Text wird gespeichert, wie er eingegeben wurde. Ob es zählt, hängt vom Leser ab: DKIM-Tags und -Werte unterscheiden die Schreibweise, SPF-Mechanismen nicht.
Wird der abgefragte Name gespeichert?
Nein. Dein Browser schickt den Namen an unseren Server, der einen öffentlichen DNS-Resolver fragt. Nichts wird gespeichert, kein Name protokolliert, und der Resolver sieht deine IP-Adresse nie.
Mehr kostenlose Tools
Wir sorgen dafür, dass dein Salesforce-Marketing für dich arbeitet
Du sprichst mit einem zertifizierten Berater, nicht mit dem Vertrieb, und weißt nach dem ersten Gespräch, was als Nächstes kommt.