So entsteht der Record
Ein SPF-Eintrag ist ein einzelner TXT-Record auf der Hauptdomain, der mit v=spf1 beginnt und mit einem all-Mechanismus endet. Dazwischen steht, wer senden darf: include für Dienstleister, ip4 und ip6 für eigene Adressen, mx für die eigenen Mailserver. Der Generator hält diese Reihenfolge ein und setzt jeden Mechanismus nur einmal.
Wichtig ist, alle Versender zu erfassen, nicht nur den Mailanbieter: Newsletter-Tools, Ticketsysteme, CRM, Rechnungssoftware, Website-Formulare und Drucker versenden oft mit der Domain als Absender. Jeder, der fehlt, landet beim Empfänger als Softfail oder Fail.
Das Lookup-Limit im Blick
Empfänger dürfen höchstens zehn DNS-Abfragen zur Auswertung eines SPF-Records durchführen. include, a, mx und redirect zählen, jeweils inklusive der Abfragen, die der eingebundene Record selbst auslöst. Der Generator rechnet mit den bekannten Werten der Anbieter (Google Workspace vier, Microsoft 365 zwei) und warnt, sobald die Summe über zehn liegt. Dann hilft nur Streichen: ungenutzte Dienste entfernen oder feste Adressen mit ip4 statt include eintragen.
-all oder ~all
Mit -all (Hard Fail) sagst du Empfängern, nicht gelistete Absender abzulehnen. Mit ~all (Soft Fail) werden sie nur markiert. Für eine neue oder unvollständige Liste ist ~all der sichere Start; sobald DMARC-Berichte zeigen, dass alle Versender erfasst sind, wechselst du auf -all. ?all und +all bieten keinen Schutz und werden vom Generator nicht angeboten.
Eintragen und prüfen
Den erzeugten Wert als TXT-Record auf der Hauptdomain (Name @ oder leer) eintragen. Existiert bereits ein Record mit v=spf1, diesen ersetzen, nicht einen zweiten anlegen: zwei SPF-Records sind ein permanenter Fehler. Nach dem Speichern den SPF Checker aufrufen; er löst alle Includes auf und zeigt die tatsächliche Lookup-Zahl.
Häufige Fragen
- Mein Anbieter fehlt in der Liste.
- Trage seinen include-Wert unter „Weitere includes“ ein. Den Wert nennt der Anbieter in seiner Hilfe unter SPF oder Domain-Authentifizierung.
- Brauche ich mx, wenn ich Microsoft 365 oder Google Workspace nutze?
- Nein. Der include des Anbieters deckt dessen Server ab. mx ist nur sinnvoll, wenn eigene Mailserver senden, die auch als MX eingetragen sind.
- Kann ich mehrere SPF-Einträge anlegen, einen je Dienst?
- Nein. Es darf genau einen TXT-Record mit v=spf1 je Domain geben. Alle Mechanismen gehören in diesen einen Record.