BIMI über Hetzner DNS Console hosten — Konsole, API und Panel-Diagnostik

SVG Tiny PS Logo auf eigenem Webspace oder CDN hosten

Hetzner DNS hostet keinen statischen Webserver — das SVG-Logo (SVG Tiny Portable/Secure, baseProfile=tiny-ps, quadratischer viewBox, deckender Hintergrund, keine animate/script/externe Referenzen) muss separat gehostet werden. Empfohlene Optionen im Hetzner-Ökosystem: Hetzner Webhosting (KonsoleH/cPanel mit eigenem PHP-/Static-Hosting und Let's-Encrypt-Zertifikat), Hetzner Cloud VM mit Nginx/Caddy (volle Kontrolle über Cache-Header und TLS), Hetzner Storage Box mit WebDAV oder S3-kompatiblem Reverse-Proxy, Hetzner Object Storage mit Public Bucket und Custom-Domain-Routing. Außerhalb von Hetzner funktionieren Bunny.net, Cloudflare Pages, Cloudflare R2 oder ein eigener Webspace ebenso — wichtig ist HTTPS mit gültigem TLS-Zertifikat und Content-Type image/svg+xml.

Hetzner DNS API für IaC-Automatisierung und Panel-Diagnostik

Für Multi-Tenant-Setups (Agenturen, MSPs, eigene Plattformen mit vielen Kundendomains) ist das manuelle Anlegen über die Konsole nicht skalierbar. Die Hetzner-DNS-API bietet einen REST-Endpunkt für DNS-Records: POST /api/v1/records für Initial-Anlage, PUT /api/v1/records/{record_id} für Logo-/VMC-Rotation, GET /api/v1/records?zone_id={zone_id} zum Auslesen der Record-ID. Authentifizierung per API-Token (Header Auth-API-Token), erstellt im Hetzner-DNS-Console-Panel unter API-Zugänge. Laut Hetzner-Doku „you won't be able to access it again“ — den Token sofort in ein Secret-Vault (z.B. HashiCorp Vault, 1Password, Bitwarden) ablegen.

# BIMI-Record per Hetzner DNS API anlegen (Initial-Setup)
# Doku: https://docs.hetzner.com/dns-console/dns/
curl -X POST \
  "https://dns.hetzner.com/api/v1/records" \
  -H "Auth-API-Token: $HETZNER_DNS_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "zone_id": "ZONE_ID",
    "type": "TXT",
    "name": "default._bimi",
    "value": "v=BIMI1; l=https://ihre-domain.de/bimi/logo.svg; a=https://ihre-domain.de/bimi/vmc.pem",
    "ttl": 3600
  }'

# Logo-/VMC-Rotation per PUT (z.B. nach VMC-Renewal nach 397 Tagen)
curl -X PUT \
  "https://dns.hetzner.com/api/v1/records/$RECORD_ID" \
  -H "Auth-API-Token: $HETZNER_DNS_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "zone_id": "ZONE_ID",
    "type": "TXT",
    "name": "default._bimi",
    "value": "v=BIMI1; l=https://ihre-domain.de/bimi/logo-v2.svg; a=https://ihre-domain.de/bimi/vmc-2027.pem",
    "ttl": 3600
  }'

# RECORD_ID per GET ermitteln (Filter nach Zone)
curl -X GET \
  "https://dns.hetzner.com/api/v1/records?zone_id=ZONE_ID" \
  -H "Auth-API-Token: $HETZNER_DNS_TOKEN" \
  | jq '.records[] | select(.name == "default._bimi")'

# Verifikation nach DNS-Propagation
dig TXT default._bimi.ihre-domain.de +short
# Erwartet: "v=BIMI1; l=https://...svg; a=https://...pem"

# DNSSEC-Status (Konservativ-Formulierung: Hetzner-Doku Oktober 2018 dokumentiert
# DNSSEC als nicht unterstuetzt — aktueller Stand der DNS Console kann sich
# seither geaendert haben, Panel-Sichtpruefung pro Zone verbindlich.)
dig +dnssec MX ihre-domain.de | grep -E "RRSIG|ad;"

Für noch tiefere Automatisierung kombinieren Sie die Hetzner-DNS-API mit einem Cron-Job auf der Hetzner-Cloud-VM, der nach jedem VMC-Renewal automatisch den neuen a=-Wert im BIMI-Record patcht und parallel die SVG-Datei im Webspace austauscht. Bei eigenem DANE-Setup für den dahinterliegenden Mailcow lassen sich TLSA-Records parallel über dieselbe API aktualisieren (Pre-Renewal-Hook für Let's Encrypt mit hash-slinger). Zusätzlich validieren Sie mit dem Wolf-Agents Email Security Check — dieser erkennt Hetzner-DNS-Hosting automatisch über das NS-Pattern hydrogen/oxygen/helium.ns.hetzner.com, validiert den BIMI-Record gegen Internet-Draft V14, prüft SVG-Tiny-PS-Konformität, VMC-Erreichbarkeit und korreliert mit dem DNSSEC-Status (mit Konservativ-Formulierung bei fehlender Aktivierung). Das Monitoring überwacht alle 6 Stunden auf BIMI-Drift.