So verwenden Sie es
- (Optional) Domain eingeben und aktuellen SPF importieren, damit keine genutzten Dienste verloren gehen.
- Haken Sie jeden Dienst an, der mit Ihrer Domain versendet, und ergänzen Sie eigene Server-IPs.
- Wählen Sie ~all oder -all und prüfen Sie mit „Lookups zählen“, dass Sie unter 10 bleiben.
- Ersetzen Sie im DNS den einzigen TXT-Eintrag bei @ durch den erzeugten Wert und prüfen Sie ihn mit dem Checker.
Wozu SPF dient
SPF (Sender Policy Framework) ist eine in einem TXT-Eintrag veröffentlichte Liste erlaubter Versandserver. Der Empfänger prüft, ob die verbindende IP darin steht, und entscheidet zusammen mit DKIM und DMARC über Posteingang, Spam oder Ablehnung.
Seit 2024 verlangen Gmail und Yahoo von jeder Absenderdomain SPF oder DKIM, Massenversender (über 5.000 Mails pro Tag) brauchen alle drei – sonst werden Mails gedrosselt oder abgelehnt.
Das Limit von 10 Lookups
RFC 7208 begrenzt include, a, mx, exists, redirect und ptr auf 10 DNS-Lookups pro SPF-Auswertung, verschachtelte Includes eingeschlossen. ip4, ip6 und all zählen nicht. Darüber gibt es permerror, das viele Empfänger als SPF-Fehlschlag werten.
Übliche Abhilfen: ungenutzte Dienste entfernen, überflüssige a und mx streichen, feste Server als ip4/ip6 eintragen und Marketing-Mails über eine Subdomain wie news.beispiel.de mit eigenem SPF versenden.
~all oder -all?
Mit DMARC entscheidet die DMARC-Richtlinie über das Blockieren; ~all und -all verhalten sich daher kaum anders. ~all ist schonender für weitergeleitete Mails und wird von den meisten Anbietern empfohlen. -all erst, wenn DMARC-Berichte bestätigen, dass alle Absender eingetragen sind.
Häufig gestellte Fragen
Darf eine Domain zwei SPF-Einträge haben?
Nein. Zwei TXT-Einträge mit v=spf1 führen zu permerror. Fügen Sie das include eines neuen Dienstes in den vorhandenen Eintrag ein, statt einen zweiten anzulegen.
Was gehört ins Host-Feld?
Verwenden Sie „@“ für die Hauptdomain (manche Oberflächen wollen ein leeres Feld) oder das Subdomain-Label, z. B. news. Typ TXT wählen, nicht den veralteten Typ SPF.
Ich habe SPF, aber Mails landen trotzdem im Spam. Warum?
SPF bürgt nur für den Server; DMARC verlangt zusätzlich, dass die SPF- oder DKIM-Domain zur From-Adresse passt. Richten Sie auch DKIM und DMARC ein und prüfen Sie Blacklists, Inhalt und Versandvolumen.
Braucht eine Domain ohne Mailversand SPF?
Ja: Veröffentlichen Sie v=spf1 -all und einen DMARC-Eintrag mit p=reject, damit niemand die Domain für Phishing missbraucht.