Der Startwert

Mit p=none passiert an der Zustellung nichts, du bekommst nur Berichte. Das ist der richtige Start, weil die Berichte zeigen, welche Dienste im Namen der Domain senden und ob SPF und DKIM für sie passen. Die rua-Adresse sollte ein Postfach sein, das jemand liest, oder ein Report-Dienst.

v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de

Danach: quarantine und reject

Nach vier bis acht Wochen Berichten und nachgezogenen SPF- und DKIM-Einträgen den Record bei Cloudflare auf p=quarantine setzen, gern mit pct=25, und zuletzt auf p=reject. Der Record wird dabei nur bearbeitet, nie neu angelegt.

v=DMARC1; p=reject; rua=mailto:dmarc@deine-domain.de; adkim=s; aspf=s

So trägst du den DMARC-Eintrag bei Cloudflare ein

Der Weg zum DNS-Editor von Cloudflare:

Im Cloudflare-Dashboard die Domain öffnen und "DNS" → "Records" wählen.
"Add record" wählen, Typ, Name und Inhalt eintragen.
Bei MX, TXT und CNAME für Mail den Proxy-Status auf "DNS only" lassen; ein orangefarbenes Wölkchen gehört nur zu Web-Einträgen.
Typ TXT, Hostname _dmarc (bei manchen Hostern _dmarc.deine-domain.de), Wert: der DMARC-Record beginnend mit v=DMARC1.
Speichern; Cloudflare verteilt sofort.

Typische Fehler bei Cloudflare

Name falsch: der Record liegt auf der Domain statt auf _dmarc.
Doppelte Domain im Namen (_dmarc.deine-domain.de.deine-domain.de), weil der Hoster die Domain selbst anhängt.
rua ohne mailto: oder mit Tippfehler, dann kommen keine Berichte.
p=none bleibt dauerhaft stehen und schützt nicht.

Prüfen und dauerhaft im Blick behalten

Nach dem Speichern greift die Änderung bei Cloudflare meist innerhalb weniger Minuten. Der Checker unten fragt die autoritativen Nameserver ab und zeigt sofort, ob der DMARC-Eintrag korrekt gelesen wird. DomainWarn prüft den Eintrag danach regelmäßig weiter und meldet, wenn er sich ändert oder verschwindet, etwa nach einem Umzug oder einem Klick zu viel im DNS-Editor.

Häufige Fragen

Muss ich bei Cloudflare _dmarc oder _dmarc.deine-domain.de eintragen?: Das hängt vom Editor ab: Hängt Cloudflare die Domain automatisch an, nur _dmarc eintragen. Das Ergebnis muss _dmarc.deine-domain.de sein; der DMARC Checker zeigt, ob es stimmt.
Kann ich DMARC ohne DKIM setzen?: Ja, mit p=none zum Beobachten. Für quarantine oder reject sollte DKIM eingerichtet sein, weil SPF bei Weiterleitungen bricht.

DMARC-Eintrag bei Cloudflare eintragen