SPF-Eintrag erstellen: Syntax, Beispiele und häufige Fehler

Die Kurzfassung

1. Was ein SPF-Eintrag bewirkt. SPF steht für Sender Policy Framework.
2. Die Syntax, Stück für Stück. Jeder SPF-Eintrag beginnt mit v=spf1.
3. Schritt 1: Alle Absender auflisten. Notieren Sie jedes System, das E-Mails mit Ihrer Domain als Absender versendet: Ihren Versanddienst, Ihren Mailbox-Anbieter, Ihre Website oder Ihren Shop, Ihr CRM, Ihren Support-Desk und jedes Rechnungs- oder HR-Tool.
4. Schritt 2: Den Eintrag erstellen. Beginnen Sie mit v=spf1, fügen Sie für jeden Absender ein include oder ip4 hinzu und schließen Sie mit ~all ab.
5. Schritt 3: Im DNS veröffentlichen. Fügen Sie einen TXT-Eintrag auf der Root-Ebene Ihrer Domain hinzu.
6. Schritt 4: Testen. Prüfen Sie per Abfrage, dass der Eintrag veröffentlicht ist und korrekt geparst wird, senden Sie dann eine Testnachricht an ein Postfach, das Sie kontrollieren, und lesen Sie die Authentifizierungsergebnisse in dessen Headern.

Was ein SPF-Eintrag bewirkt

SPF steht für Sender Policy Framework. Es ist ein TXT-Eintrag im DNS Ihrer Domain, der auflistet, welche Server E-Mails mit Ihrer Domain versenden dürfen. Trifft eine Nachricht ein, schlägt der empfangende Server den SPF-Eintrag der Absenderdomain nach und prüft, ob die verbindende IP-Adresse auf der Liste steht.

SPF prüft den Envelope-Absender, auch Return-Path oder MAIL-FROM-Adresse genannt, nicht die From-Adresse, die Menschen sehen. Dieser Unterschied ist später beim DMARC-Alignment wichtig.

Die Syntax, Stück für Stück

Jeder SPF-Eintrag beginnt mit v=spf1. Danach folgen Mechanismen, die jeweils eine E-Mail-Quelle benennen, und der Eintrag endet mit einem all-Mechanismus, der festlegt, was mit allem anderen geschehen soll. ip4 und ip6 listen Adressen oder Bereiche auf. include bindet den SPF-Eintrag einer anderen Domain ein, so autorisieren Sie einen Versanddienst. a und mx autorisieren die Adressen der eigenen Web- oder Mailserver Ihrer Domain.

v=spf1 ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Vor jedem Mechanismus kann ein Qualifier stehen. Ein Plus bedeutet pass und ist der Standard. Ein Minus bedeutet fail, eine Tilde softfail und ein Fragezeichen neutral. ~all besagt also, dass alles nicht Aufgeführte verdächtig, aber nicht verboten ist, und -all, dass es abgelehnt werden muss.

Schritt 1: Alle Absender auflisten

Notieren Sie jedes System, das E-Mails mit Ihrer Domain als Absender versendet: Ihren Versanddienst, Ihren Mailbox-Anbieter, Ihre Website oder Ihren Shop, Ihr CRM, Ihren Support-Desk und jedes Rechnungs- oder HR-Tool. SPF muss sie alle in einem Eintrag abdecken, eine unvollständige Liste bricht also die Absender, die Sie vergessen haben.

Jeder Anbieter dokumentiert den zu verwendenden Include-Wert. Kopieren Sie für MigoSMTP den SPF-Wert aus Ihrem Dashboard, statt ihn zu raten.

Schritt 2: Den Eintrag erstellen

Beginnen Sie mit v=spf1, fügen Sie für jeden Absender ein include oder ip4 hinzu und schließen Sie mit ~all ab. Ein Unternehmen mit einem Mailbox-Anbieter und einem Versanddienst hätte zum Beispiel zwei Includes und einen Abschluss.

Packen Sie alles in einen einzigen TXT-Eintrag. Legen Sie nicht einen Eintrag pro Absender an. Das ist die häufigste Ursache für SPF-Fehler, wir gehen unten darauf ein.

Schritt 3: Im DNS veröffentlichen

Fügen Sie einen TXT-Eintrag auf der Root-Ebene Ihrer Domain hinzu. In vielen DNS-Panels lautet der Host @ oder bleibt leer. Fügen Sie den Wert genau so ein, wie er erstellt wurde, ohne zusätzliche Anführungszeichen, sofern das Panel sie nicht verlangt. Registrar-Panels wie GoDaddy, BigRock und Hostinger sowie DNS-Anbieter wie Cloudflare folgen alle demselben Muster.

Existiert auf der Root-Ebene bereits ein Eintrag, bearbeiten Sie ihn, statt einen zweiten hinzuzufügen. Änderungen können je nach TTL des Eintrags von Minuten bis zu einigen Stunden brauchen, bis sie sich verbreitet haben.

Schritt 4: Testen

Prüfen Sie per Abfrage, dass der Eintrag veröffentlicht ist und korrekt geparst wird, senden Sie dann eine Testnachricht an ein Postfach, das Sie kontrollieren, und lesen Sie die Authentifizierungsergebnisse in dessen Headern. Achten Sie auf spf=pass. Unser kostenloser Checker zeigt Ihre SPF-, DKIM- und DMARC-Einträge an einem Ort und markiert häufige Fehler.

Testen Sie von jedem sendenden System, nicht nur von einem. Ein Pass Ihres Versanddienstes sagt nichts über das Rechnungstool aus.

Fehler 1: Mehr als ein SPF-Eintrag

Eine Domain muss genau einen SPF-Eintrag veröffentlichen. Bei zwei Einträgen liefert SPF einen permanenten Fehler, und Empfänger werten das als Fehlschlag. Haben verschiedene Teams jeweils ihren eigenen hinzugefügt, führen Sie sie in einem Eintrag mit allen Includes zusammen.

Das passiert leicht, wenn Sie ein neues Tool hinzufügen und dessen Anleitung vorgibt, einen neuen TXT-Eintrag anzulegen. Lesen Sie zuerst, was bereits vorhanden ist.

Fehler 2: Zu viele DNS-Lookups

SPF erlaubt bei der Auswertung eines Eintrags höchstens zehn DNS-Lookups. Jedes include, a, mx und ähnliche Mechanismen zählen, verschachtelte Includes ebenfalls. ip4 und ip6 nicht. Überschreiten Sie zehn, liefert SPF einen permanenten Fehler, die Prüfung schlägt also fehl, obwohl jeder einzelne Teil in Ordnung aussah.

Entfernen Sie Absender, die Sie nicht mehr nutzen, ersetzen Sie a- und mx-Mechanismen durch explizite ip4-Bereiche, wo die Adressen stabil sind, und vermeiden Sie viele gestapelte Includes. Manche Dienste bieten SPF-Flattening an, das Includes durch Adressen ersetzt. Das funktioniert, doch die Adressen ändern sich mit der Zeit, sodass es aktuell gehalten werden muss.

Fehler 3: -all zu früh wählen

Ein Hard Fail mit -all weist Empfänger an, alles nicht Aufgeführte abzulehnen. Fehlt in Ihrer Liste ein Absender, werden dessen E-Mails abgelehnt. Die meisten Teams beginnen mit ~all, beobachten einige Wochen ihre DMARC-Berichte und verschärfen erst, wenn sie sicher sind, dass jeder Absender aufgeführt ist.

Wofür Sie sich auch entscheiden: SPF allein entscheidet nicht über die Posteingangsplatzierung. Es ist ein Signal, das zusammen mit DKIM und DMARC wirkt.

Warum SPF bei weitergeleiteten E-Mails fehlschlägt

Wenn jemand Ihre Nachricht weiterleitet, wird sie vom Server des Weiterleitenden gesendet, der nicht in Ihrem Eintrag steht, daher schlägt SPF am endgültigen Ziel fehl. Das ist normal und kein Fehler auf Ihrer Seite.

Deshalb ist DKIM wichtig. Eine DKIM-Signatur übersteht eine Weiterleitung in der Regel, und DMARC besteht, wenn entweder SPF oder DKIM besteht und im Alignment ist. Richten Sie beides ein.

Weiterführende Literatur und Quellen

• RFC 7208: Sender Policy Framework (SPF)
• Google Workspace: Define your SPF record
• Microsoft: Set up SPF to help prevent spoofing

Umsetzen in MigoSMTP: Artikel im Hilfecenter

• SPF-permerror und das 10-Lookup-Limit beheben
• Ihre Absenderdomain verifizieren: DNS-Einträge und Propagierung
• Eine Absenderdomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC

Verwandte Leitfäden und Tools

• SPF-Record-Checker: Einen Eintrag abfragen und seine DNS-Lookups zählen.
• SPF-Record-Generator: Einen Eintrag aus Ihren Absendern erstellen.
• DKIM-, SPF- und DMARC-Einrichtung: Authentifizieren Sie Ihre Domain durchgängig.