Erstelle einen korrekten SPF-Eintrag aus deinen echten Versandquellen: deine eigenen Server, die includes, die deine E-Mail-Plattformen veröffentlichen, und bestimmte IP-Bereiche, mit der richtigen all-Policy und einer Live-Zählung der 10 DNS-Lookups, die SPF erlaubt. Läuft kostenlos im Browser, ohne Anmeldung und speichert nichts.
SPF-Eintrag ist gültig
v=spf1 include:_spf.google.com ~all Veröffentliche das als einzelnen TXT-Eintrag auf deiner Versanddomain. Eine Domain darf nur einen SPF-Eintrag haben.
Eintrag generiert? Prüfe mit dem SPF-Check, ob er auflöst, und sieh dann mit einem kostenlosen Inbox-Placement-Test, wo deine E-Mails landen.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
Ein SPF-Eintrag (Sender Policy Framework) ist ein einzelner DNS-TXT-Eintrag, der auflistet, welche Server E-Mails für deine Domain senden dürfen. Dieser Generator baut den Eintrag aus einfachen Angaben zusammen: deine eigenen a- und mx-Hosts, die include-Mechanismen, die dir deine E-Mail-Anbieter geben, und beliebige feste IP-Adressen, und schließt ihn mit dem all-Qualifier ab, der die Policy für alle anderen festlegt. Während du baust, zählt er die DNS-Lookups, die dein Eintrag auslöst, da SPF höchstens 10 erlaubt, und validiert das Ergebnis mit denselben Prüfungen wie unser SPF-Check. Veröffentliche das Ergebnis als einen TXT-Eintrag auf deiner Versanddomain, um die Authentifizierungsanforderungen von Gmail, Yahoo und Microsoft zu erfüllen.
Jede Plattform, über die du sendest (Google Workspace, Microsoft 365, dein ESP), veröffentlicht einen include-Wert wie _spf.google.com oder sendgrid.net. Füge einen pro Zeile hinzu, und der Generator macht aus jedem einen include:-Mechanismus.
Aktiviere diese nur, wenn der eigene Webhost deiner Domain (a) oder deine Mailserver (mx) ebenfalls E-Mails senden. Jeder kostet einen deiner 10 DNS-Lookups, lass sie also aus, außer du sendest wirklich von diesen Hosts.
Liste alle festen IP-Adressen oder CIDR-Bereiche auf, von denen du direkt sendest. Anders als includes kosten ip4 und ip6 keine DNS-Lookups, bevorzuge sie also für statische Versand-IPs.
Er legt die Policy für nicht gelistete Quellen fest: -all lehnt nicht autorisierte E-Mails per Hard Fail ab (empfohlen), ~all per Soft Fail (ein sicherer Standard, während du jeden Absender bestätigst), und ?all ist neutral. Der Generator gibt nie +all aus, was jeden autorisieren würde.
Der Live-Zähler summiert die include-, a- und mx-Mechanismen in deinem Eintrag. Bleib bei höchstens 10, sonst geben Empfänger einen PermError zurück und SPF schlägt fehl. Flache ungenutzte includes ab oder entferne sie, wenn du darüber liegst.
Jeder include-, a- und mx-Mechanismus kostet einen DNS-Lookup, und verschachtelte includes fügen ihre eigenen hinzu. Ab 10 gibt die Auswertung einen PermError zurück und SPF schlägt fehl. Ersetze schwere includes durch die konkreten ip4-Bereiche, die sie abdecken, oder entferne Anbieter, die du nicht mehr nutzt.
Eine Domain darf nur einen TXT-Eintrag haben, der mit v=spf1 beginnt. Wenn du über mehrere Anbieter sendest, kombiniere sie in einem Eintrag mit mehreren include-Mechanismen, statt separate Einträge hinzuzufügen.
Ohne einen abschließenden all-Mechanismus ist die Policy unvollständig und DMARC hat nichts Festes, woran es sich ausrichten kann. Beende den Eintrag mit ~all während des Testens und mit -all, sobald jeder Absender bestätigt ist.
Wenn du von einer statischen IP sendest, liste sie als ip4 oder ip6 auf, statt sie in einen include zu verpacken. Direkte IP-Mechanismen kosten keine Lookups und halten dich unter dem Limit.
Einen Eintrag mit +all zu beenden, sagt Empfängern, dass jeder Server als deine Domain senden darf, was SPF deaktiviert und Spoofing einlädt. Nutze stattdessen -all oder ~all.