Wie lautet der SPF-Eintrag für Google Workspace?

Google dokumentiert include:_spf.google.com für Workspace. Prüfen Sie den aktuellen Wert auf der Hilfeseite von Google, bevor Sie ihn veröffentlichen.

Wie lautet der SPF-Eintrag für Microsoft 365?

Microsoft dokumentiert include:spf.protection.outlook.com für Exchange Online. Prüfen Sie den aktuellen Wert in der Dokumentation von Microsoft.

Kann ich Google Workspace und einen Versanddienst in einem SPF-Eintrag kombinieren?

Ja. Setzen Sie beide include-Mechanismen in denselben einzelnen Eintrag und schließen Sie mit Ihrem all-Mechanismus ab.

Wie prüfe ich meine Anzahl an SPF-Lookups?

Verwenden Sie einen SPF-Checker, der Includes verfolgt und Lookups zählt. Halten Sie die Gesamtzahl bei zehn oder weniger.

SPF-Eintrag-Beispiele: Google Workspace, Microsoft 365

Auf einen Blick. Google: include:_spf.google.com · Microsoft 365: include:spf.protection.outlook.com · Immer: Ein v=spf1-Eintrag pro Domain · Prüfen: Aktuelle Werte in der Anbieterdokumentation bestätigen

Die Kurzfassung

Ein Eintrag, viele Absender. Wenn die E-Mails Ihrer Mitarbeitenden bei einem Anbieter laufen und die Anwendungs-E-Mails über einen Versanddienst, müssen beide im selben SPF-Eintrag autorisiert sein.
Nur Google Workspace. Google dokumentiert include:_spf.google.com für Workspace.
Nur Microsoft 365. Microsoft dokumentiert include:spf.protection.outlook.com für Exchange Online.
Google Workspace plus ein Versanddienst. Fügen Sie das Include des Versanddienstes neben dem von Google hinzu.
Microsoft 365 plus ein Versanddienst. Es gilt dasselbe Prinzip.
Den eigenen Server per IP-Adresse ergänzen. Wenn Sie einen Server betreiben, der E-Mails sendet, etwa eine Webanwendung oder einen alten Mailserver, listen Sie dessen Adresse mit ip4 auf.

Ein Eintrag, viele Absender

Wenn die E-Mails Ihrer Mitarbeitenden bei einem Anbieter laufen und die Anwendungs-E-Mails über einen Versanddienst, müssen beide im selben SPF-Eintrag autorisiert sein. Jeder fügt ein Include hinzu, und Sie behalten am Anfang ein einziges v=spf1 und am Ende ein einziges all.

Die folgenden Beispiele verwenden die von Google und Microsoft veröffentlichten Include-Werte. Anbieter ändern diese gelegentlich, bestätigen Sie sie daher vor der Veröffentlichung anhand der aktuellen Dokumentation.

Nur Google Workspace

Google dokumentiert include:_spf.google.com für Workspace. Eine Domain, die nur über Google sendet, würde diesen Eintrag veröffentlichen.

v=spf1 include:_spf.google.com ~all

Das ist auch der richtige Ausgangspunkt, wenn Sie Gmail mit Ihrer eigenen Domain nutzen.

Nur Microsoft 365

Microsoft dokumentiert include:spf.protection.outlook.com für Exchange Online. Eine Domain, die nur über Microsoft 365 sendet, würde diesen veröffentlichen.

v=spf1 include:spf.protection.outlook.com ~all

Wenn Sie während einer Migration beide Anbieter nutzen, kombinieren Sie sie wie weiter unten gezeigt und entfernen den alten, sobald der Umzug abgeschlossen ist.

Google Workspace plus ein Versanddienst

Fügen Sie das Include des Versanddienstes neben dem von Google hinzu. Behalten Sie einen einzigen Eintrag, mit beiden Includes vor dem Abschluss.

v=spf1 include:_spf.google.com include:YOUR_SPF_HOST ~all

Ersetzen Sie YOUR_SPF_HOST durch den Wert aus Ihrem MigoSMTP-Dashboard oder durch den Wert des Dienstes, den Sie verwenden.

Microsoft 365 plus ein Versanddienst

Es gilt dasselbe Prinzip. Zwei Includes, ein Eintrag.

v=spf1 include:spf.protection.outlook.com include:YOUR_SPF_HOST ~all

Authentifizieren Sie den Versanddienst zusätzlich mit DKIM, damit DMARC über die DKIM-Signatur bestehen kann, wenn SPF nicht im Alignment ist.

Den eigenen Server per IP-Adresse ergänzen

Wenn Sie einen Server betreiben, der E-Mails sendet, etwa eine Webanwendung oder einen alten Mailserver, listen Sie dessen Adresse mit ip4 auf. Einen Bereich können Sie in CIDR-Schreibweise angeben.

v=spf1 include:_spf.google.com ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Verwenden Sie nur Adressen, die Sie kontrollieren, und entfernen Sie sie, wenn der Server außer Betrieb genommen wird.

Andere Mailbox-Anbieter

Andere Anbieter, etwa Zoho, veröffentlichen eigene Include-Werte, und manche haben für verschiedene Rechenzentren unterschiedliche Werte. Kopieren Sie den Wert immer von der Hilfeseite des Anbieters für Ihre Region, nicht aus einem Blogbeitrag.

Das Muster bleibt gleich: ein Eintrag, ein Include pro Absender, ein Abschluss.

Lookup-Anzahl prüfen

Jedes Include zählt als Lookup, und das Include eines Anbieters kann selbst weitere Includes enthalten. Die Einträge von Google und Microsoft verbrauchen intern jeweils mehrere Lookups, sodass die Kombination mit ein paar Diensten das Limit von zehn schneller erreichen kann, als Sie erwarten.

Unser kostenloser Checker und die meisten SPF-Testtools zählen die Lookups für Sie. Wenn Sie nah am Limit sind, streichen Sie Absender, die Sie nicht mehr nutzen, und erwägen Sie, verschiedene E-Mail-Arten von unterschiedlichen Subdomains zu senden, jede mit eigenem Eintrag.

Von einer Subdomain senden

Viele Teams senden Marketing- oder Transaktions-E-Mails von einer Subdomain wie mail.yourdomain.com. Die Subdomain hat einen eigenen SPF-Eintrag, getrennt von der Root-Domain, was jeden Eintrag kurz und die Root-Domain sauber hält.

Denken Sie daran, dass DMARC auch für Subdomains gilt, prüfen Sie daher das Alignment für die E-Mails der Subdomain.

Einen Eintrag über die Kommandozeile abfragen

Sie können den SPF-Eintrag jeder Domain per DNS-Abfrage lesen. Unter Linux und macOS verwenden Sie dig, unter Windows nslookup. Beide zeigen die TXT-Einträge der Root-Domain, und der SPF-Eintrag beginnt mit v=spf1.

dig +short TXT yourdomain.com

Sehen Sie zwei Einträge, die mit v=spf1 beginnen, führen Sie sie zusammen. Sehen Sie keinen, veröffentlichen Sie einen. Wiederholen Sie die Abfrage nach jeder Änderung, denn Ihr DNS-Panel zeigt möglicherweise einen Wert an, der sich noch nicht verbreitet hat.

Ein durchgerechnetes Beispiel zur Lookup-Anzahl

Angenommen, ein Eintrag enthält include:_spf.google.com, include:YOUR_SPF_HOST und ip4:203.0.113.10. Das ip4 kostet nichts. Jedes Include kostet einen Lookup, plus alle Lookups, die im Eintrag des jeweiligen Anbieters stecken. Ein Anbieter, dessen Eintrag drei weitere Includes enthält, kostet daher insgesamt vier.

Addieren Sie die Summen für jedes Include. Liegen Sie bei zehn oder weniger, ist alles in Ordnung. Liegen Sie darüber, schlägt SPF für alle fehl, also streichen Sie Absender oder verlagern Sie einen Teil der E-Mails auf eine Subdomain, bevor Sie veröffentlichen.

Anbieter ohne Lücke wechseln

Wenn Sie von einem Versanddienst zu einem anderen wechseln, behalten Sie das alte Include im Eintrag, während Sie das neue hinzufügen, senden einen kleinen Anteil über den neuen Dienst und entfernen das alte Include erst, wenn der alte Dienst nichts mehr sendet.

Wird es zu früh entfernt, besteht jede Nachricht, die noch über den alten Dienst läuft, SPF nicht. Unsere Migrationsleitfäden beschreiben denselben Überlappungsansatz für DNS, Schlüssel und Templates.

Wenn SPF nicht genügt

SPF prüft nur den Envelope-Absender und bricht bei Weiterleitungen, daher betrachten Empfänger auch DKIM und DMARC. Ein Eintrag, der SPF besteht, aber keine DKIM-Signatur und keinen DMARC-Eintrag hat, ist nur teilweise authentifiziert.

Richten Sie alle drei ein. Unser DMARC-Leitfaden zeigt, wie Sie einen Eintrag sicher veröffentlichen und die Berichte lesen.

SPF-Eintrag-Beispiele für Google Workspace, Microsoft 365 und Ihren Versanddienst