Eigene Tagging-Domain einrichten: CNAME, Zertifikat und Cloudflare

Eine Tagging-Adresse auf derselben Domain wie deine Website kann die Nutzung von First-Party-Cookies unterstützen. Ein zugewiesener Hostname auf einer anderen Domain wird im Browser anders behandelt. Auch eine eigene Subdomain unterliegt jedoch Browserregeln und kann durch Filter blockiert werden. Sie umgeht keine Einwilligung und garantiert weder eine bestimmte Cookie-Lebensdauer noch die Zuordnung eines Kaufs zu einer Anzeige. Wenn Website und Tagging-Adresse bereits dieselbe Domain teilen, ist für diese Eigenschaft keine zusätzliche Domain nötig.

Du richtest einen Tagging-Server selbst ein? So richtest du serverseitigen Google Tag Manager Schritt für Schritt ein.

Lege bei deinem DNS-Anbieter einen CNAME für die gewählte Subdomain an. Er muss auf den im SignalHost-Assistenten angezeigten DNS-only-Endpunkt zeigen:

metrics.yoursite.com.   CNAME   tenants.signalhost.io.

Verwende tenants.signalhost.io als Ziel, nicht deinen zugewiesenen Container-Hostnamen unter signalhost.io. Der Assistent zeigt dir den genauen Namen und Wert für deinen Eintrag. SignalHost unterstützt hier einen sichtbaren CNAME auf einer Subdomain, nicht die Hauptdomain selbst.

Bei Cloudflare schaltest du den Proxy für diesen Eintrag aus: graue Wolke, „DNS only“. So erreicht die Domain direkt unsere Server. Ein vorgeschalteter Proxy kann die Prüfung oder die Zertifikatsausstellung verhindern; für die unterstützte Einrichtung bleibt er aus.

Unsere eigenen Hostnamen laufen über Cloudflare. Zeigt dein CNAME auf einen solchen proxied Hostnamen statt auf das vorgesehene DNS-only-Ziel, kann Cloudflare die Anfrage als kontoübergreifenden CNAME ablehnen. Der Browser zeigt dann Fehler 1014, „CNAME Cross-User Banned“.

tenants.signalhost.io ist deshalb nicht proxied und löst direkt zu unseren Servern auf. Die DNS-Prüfung im Dashboard erkennt ein bekanntes falsches Ziel und zeigt dir, was du ändern musst. Der richtige CNAME allein bestätigt aber noch nicht, dass Domain und HTTPS vollständig bereit sind.

SignalHost prüft zunächst den DNS-Eintrag und einen Prüfpfad auf deinem Hostnamen. Danach wird ein Let’s-Encrypt-Zertifikat angefordert. Für die HTTP-01-Validierung muss ein bestimmter Pfad unter /.well-known/acme-challenge/ über Port 80 erreichbar sein. Die Tagging-Anfragen selbst werden über HTTPS bedient.

Der Assistent zeigt den Fortschritt von DNS-Prüfung, Erreichbarkeit und Zertifikat bis zur aktiven Domain. Das dauert häufig einige Minuten, kann aber länger dauern. Bleibt ein Schritt stehen, prüfe den konkreten Hinweis im Dashboard. Mögliche Ursachen sind ein falscher DNS-Eintrag, ein Proxy, eine Weiterleitung oder ein nicht erreichbarer Prüfpfad.

Sobald die Domain bereit ist, stellt SignalHost die Server-Container-URL des verwalteten Google-Tags um und veröffentlicht den Web-Container neu. Prüfe den Status dieser Umstellung im Dashboard. Die aktive Domain allein bestätigt noch nicht, dass deine Website bereits Messanfragen an sie sendet.

Aktualisiere auch das Snippet auf deiner Website. Die Container-Seite zeigt dafür den neuen Code und einen Hinweis; wir senden ihn außerdem per E-Mail. Ersetze das alte Snippet, statt beide einzubauen. Wenn du ein Banner mit Skriptblockierung oder eine Content-Security-Policy verwendest, prüfe dort ebenfalls die neue Loader-URL und den Hostnamen.

Beim Entfernen gehst du umgekehrt vor: Entferne die Domain im Dashboard, warte auf die angezeigte Umstellung und ersetze das Snippet durch den dann angezeigten Code. Prüfe deine Website und lösche den bisherigen DNS-Eintrag zuletzt. Wenn ein noch eingebautes Snippet auf einen nicht mehr erreichbaren Hostnamen zeigt, können Tags ausfallen. Verlass dich deshalb nicht auf eine unterbrechungsfreie automatische Rückkehr.

• Fehler 1014: Prüfe das CNAME-Ziel. Es muss tenants.signalhost.io sein, nicht ein anderer Hostname unter signalhost.io.
• DNS erkannt, Zertifikat noch nicht bereit: Prüfe, ob der Proxy ausgeschaltet ist und der HTTP-Prüfpfad erreichbar bleibt. Beachte die Meldung im Dashboard; eine Verzögerung beweist nicht allein ein Proxy-Problem.
• Kein CNAME erkannt: Vergleiche Name und Ziel genau mit dem Assistenten. Manche Anbieter ergänzen deine Domain automatisch. Prüfe auch auf konkurrierende A-, AAAA- oder andere Einträge unter demselben Namen. DNS-Änderungen können verzögert sichtbar werden.
• Domain aktiv, aber keine Messung über die neue Adresse: Prüfe den Status der Google-Tag-Umstellung, die aktuelle Snippet-Version, das Banner und die Browser-Konsole. Eine erfolgreiche DNS-Prüfung bestätigt nur einen Teil der Einrichtung.
• Die Website lädt noch von signalhost.io: Ersetze das alte Snippet durch den neuen Code und veröffentliche die Änderung. Prüfe anschließend die tatsächlich geladene Adresse im Browser. Ein Cache kann noch die vorherige Version ausliefern.