Handbuch

Integrationen

Eine Integration verbindet deine Organisation mit dem Konto eines DNS-Anbieters. Darüber importierst du Zonen und legst fehlende Records per Klick an, nur additiv. Dazu kommen das Kalender-Abo mit Ablaufterminen und der CSV-Export.

Auf dieser Seite

DNS-Anbieter verbinden

Unter Einstellungen → Integrationen (Owner und Admins) wählst du den Anbieter, gibst die Zugangsdaten ein und speicherst. DomainWarn prüft dabei nicht nur, ob die Zugangsdaten gelten, sondern ob sie schreiben dürfen: je nach Anbieter über die Berechtigungen des Tokens oder über einen kurzlebigen Probe-Record _domainwarn-verify-…, der sofort wieder gelöscht wird; bei netcup nur die Anmeldung, weil die Zugangsdaten ohnehin für das ganze Konto gelten. Zugangsdaten werden verschlüsselt gespeichert und nie wieder angezeigt; Anlegen, Prüfen und Löschen stehen im Audit-Log.

Sechs Anbieter sind angebunden. Bei allen gilt: Zonen-Import und Records per Klick; DomainWarn legt nur an, ändert nie bestehende Records und schreibt nur, wenn alle Nameserver der Domain zum Zeitpunkt des Klicks auf den Anbieter zeigen.

  • Cloudflare: API-Token mit Zone:DNS:Edit und Zone:Zone:Read, am besten aus der Vorlage „DNS bearbeiten“ und auf die Zonen der Kunden begrenzt. Das Token lässt sich in Cloudflare jederzeit widerrufen.
  • Hetzner DNS: API-Token eines Projekts in der Hetzner Console mit „Lesen & Schreiben“; ein Nur-Lesen-Token wird abgelehnt. Hetzner-Tokens lassen sich nicht auf DNS beschränken, das Token darf alles im Projekt: deshalb ein eigenes Projekt nur für DNS-Zonen anlegen. Zonen der alten DNS Console müssen in die Hetzner Console übernommen sein.
  • IONOS: API-Schlüssel aus dem Developer Portal, bestehend aus öffentlichem Präfix und Geheimnis (nur einmal sichtbar). Der Schlüssel gilt für alle Zonen des Kontos und lässt sich weder auf Zonen noch auf DNS einschränken; DomainWarn belegt das Schreibrecht mit einem Probe-Record.
  • netcup: Kundennummer, Legacy-API-Key und Legacy-API-Passwort aus dem CCP unter Stammdaten → API (nicht das Login-Passwort). Es gibt keine Berechtigung je Zone. Eine Zonenliste liefert netcup nur Domain-Resellern; andere Konten importieren per Liste oder Zonendatei. Gilt für das klassische DNS, nicht für CloudDNS.
  • INWX: Benutzername und Passwort eines Unterkontos mit der Rolle „DNS-Verwaltung“ und ohne Zwei-Faktor-Authentifizierung, weil die API ohne TAN nicht anmelden kann. Das Unterkonto lässt sich im Kundencenter jederzeit sperren.
  • Amazon Route 53: Access Key ID und Secret Access Key eines IAM-Benutzers ohne Konsolenzugang mit einer Inline-Richtlinie, die nur route53:ListHostedZones, route53:ListHostedZonesByName, route53:ListResourceRecordSets und route53:ChangeResourceRecordSets erlaubt, nach Möglichkeit auf einzelne Hosted Zones begrenzt. Temporäre Schlüssel mit Sitzungstoken werden nicht unterstützt.

Siehe auch: Übersicht der Integrationen

Fehlende Records per Klick anlegen

Auf der Domainübersicht erscheint die Karte „Fehlende Records anlegen“, sobald ein aktueller Befund (höchstens 30 Tage alt, Monitor aktiv, letzter Lauf fehlerfrei) einen der vier Records vermisst. Jeder Vorschlag zeigt Typ, Name und Inhalt mit Kopierknopf; mit passender Integration und Nameservern beim Anbieter gibt es den Knopf „Bei {Anbieter} anlegen“ mit Bestätigungsdialog. Danach steht der Record im Audit-Log und in der Zeitleiste, und die Prüfung läuft nach etwa zwei Minuten erneut.

  • DMARC: TXT _dmarc.<domain> mit v=DMARC1; p=none; rua=mailto:<adresse>. Die Berichtsadresse gibst du ein (Vorschlag dmarc@<domain>); liegt sie auf einer fremden Domain, prüft DomainWarn deren Freigabe-Record.
  • SPF: TXT auf der Domain mit v=spf1 <include des erkannten Mailanbieters> <weitere Sender> ~all. Erkannt werden Microsoft 365, Google Workspace, IONOS, STRATO, ALL-INKL, Hetzner, mailbox.org, Posteo, Proton, Zoho, Fastmail und iCloud; ein unbekannter Anbieter ergibt mx. Weitere Sender trägst du als include:, ip4:, ip6:, a oder mx ein, bis zu acht; der fertige Record wird vorab aufgelöst und bei mehr als zehn Lookups abgelehnt.
  • TLS-RPT: TXT _smtp._tls.<domain> mit v=TLSRPTv1; rua=mailto:<adresse> (Vorschlag tls-reports@<domain>).
  • CAA: 0 issue "<ca>" für die Zertifizierungsstelle, die laut Zertifikaten und CT-Logs tatsächlich ausstellt, nur wenn genau eine CA im Spiel ist (Let's Encrypt, Sectigo/ZeroSSL, DigiCert, GlobalSign, Google Trust Services, Amazon, GoDaddy, Buypass, SSL.com).
  • Sicherheit: Vor dem Schreiben werden die Nameserver frisch aufgelöst und die Zone im Konto gesucht; existiert schon ein passender Record, bricht DomainWarn ab. Je Zone, Typ und Name läuft nur ein Schreibvorgang gleichzeitig. Anlegen dürfen Owner, Admins und Mitglieder, 20-mal je Minute.

Siehe auch: E-Mail-Monitoring

Kalender-Abo mit Ablaufterminen

Unter Einstellungen → Organisation → „Kalender-Abo“ erzeugst du eine ICS-Adresse (Owner und Admins). Sie enthält je Domain mit bekanntem Ablaufdatum einen ganztägigen Termin „Domain läuft ab“ und je Zertifikat einen Termin „Zertifikat läuft ab“, jeweils mit Kunde, Registrar bzw. Aussteller und Link ins Dashboard, mit Erinnerungen 14 und 3 Tage vorher, in der Zeitzone und Sprache der Organisation. Kalender-Apps holen die Datei alle 12 Stunden neu.

  • In Outlook, Google Kalender oder Apple Kalender als Abonnement per URL eintragen, nicht importieren, sonst bleibt der Kalender stehen.
  • Die Adresse enthält ein Token: „Neue Adresse“ macht die alte ungültig, „Abo beenden“ schaltet den Kalender ab. Wer die Adresse kennt, sieht die Ablaufdaten.
  • Ein Kalender je Organisation; Incidents und Wartungsfenster stehen nicht darin.

CSV-Export der Domainliste

Der Knopf „CSV“ über der Domainliste lädt die Liste mit den aktuellen Filtern (Kunde, Zustand, System, Suche, Sortierung) herunter: Domain, Kunde, Zustand, CMS und Version, Registrar, Domainablauf, Zertifikatsziel, gültig bis, Resttage, offene Incidents, letzte Prüfung, pausiert und Dashboard-Link. UTF-8 mit BOM, Semikolon bei deutscher Organisationssprache, sonst Komma (per Parameter wählbar), Datum als YYYY-MM-DD. Jede Rolle darf exportieren, Kundenzugänge nur ihre eigenen Domains; 30 Exporte je Stunde und Organisation, auch per API-Token.

Siehe auch: API-Dokumentation

Zonendatei

Der Import aus einer BIND-Zonendatei braucht keine Integration: Zonendatei aus Plesk, Cloudflare, IONOS oder Hetzner exportieren, einfügen, Hostnamen auswählen. Wie DomainWarn die Datei liest und welche Namen es weglässt, steht bei den ersten Schritten.

Siehe auch: Import aus einer Zonendatei

Häufige Fragen

Ändert DomainWarn bestehende Records?
Nein, nie. Es legt nur Records an, die fehlen, und bricht ab, sobald ein Record gleichen Typs und Namens existiert. Löschen oder Bearbeiten gibt es nicht, auch nicht über die API.
Warum fehlt der Knopf „Bei Cloudflare anlegen“?
Weil nicht alle Nameserver der Domain auf Cloudflare zeigen, die Integration noch nicht bestätigt ist oder du kein Schreibrecht hast. Die Werte stehen trotzdem zum Kopieren bereit.
Mein Anbieter fehlt. Was nun?
Werte kopieren und im DNS-Editor des Hosters eintragen; die Hoster-Anleitungen der Tool-Seiten beschreiben den Weg für IONOS, STRATO, ALL-INKL, Hetzner, netcup und weitere. Domains importierst du per Liste oder Zonendatei.
Kann ich mehrere Konten desselben Anbieters verbinden?
Ja, jede Integration hat einen Namen; beim Anlegen eines Records wählst du die Integration, in deren Konto die Zone liegt.