SPF- und DMARC-Einträge erstellen
Zwei kurze Zeilen in Ihrer DNS-Zone entscheiden, welche Server im Namen Ihrer Domain E-Mails senden dürfen und was mit allen anderen passiert, die es versuchen. Beantworten Sie ein paar Fragen, und der Generator schreibt beide Zeilen mit.
SPF
Tick everything that puts your domain in a From line: the mailbox service, the newsletter platform, the billing or help desk app, the web server behind your contact form.
Für einen Absender, der oben nicht aufgeführt ist: Fügen Sie die Angaben ip4:, ip6: oder include: ein, die er Ihnen genannt hat, jeweils durch ein Leerzeichen getrennt.
Mailchimp is absent on purpose. It passes DMARC through DKIM, which you switch on in its domain settings, and needs no SPF term.
DMARC
Your instruction to receivers for mail that uses your domain and passes neither check, plus the mailbox where they report what they saw.
Use a mailbox made for this: each large receiver sends one XML file a day. No address, no reports.
DNS changes take from a few minutes to a few hours to spread. After that, confirm both records with the SPF, DKIM and DMARC checkup.
Was in den beiden Einträgen steht
Beide sind TXT-Einträge, der Freitext-Typ unter den DNS-Einträgen. Ein SPF-Eintrag wird von links nach rechts gelesen, und der erste Begriff, der auf den sendenden Server passt, gewinnt:
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 ~all
v=spf1- Kennzeichnet den Eintrag als SPF. Er muss am Anfang stehen.
include:- Importiert die Serverliste, die ein Anbieter für seine Kunden aktuell hält. Sie müssen dessen IP-Adressen nie kennen.
ip4:,ip6:- Eine Adresse oder ein Bereich, für einen Server, den Sie selbst betreiben.
mx,a- Die Maschinen, auf die Ihre MX-Einträge oder die Adresse Ihrer Website gerade zeigen.
~alloder-all- Das Urteil für jeden anderen Server: Softfail (mit Misstrauen annehmen) oder Fail.
Ein DMARC-Eintrag ist eine Liste von Tags, getrennt durch Semikolons, veröffentlicht unter dem Namen _dmarc:
v=DMARC1; p=none; rua=mailto:dmarc@example.com;
p= ist die Richtlinie für E-Mails, die durchfallen, und rua= ist die Adresse, an die Empfänger ihre tägliche Zusammenfassung schicken.
Wie der Generator sie zusammensetzt
Jedes Kästchen, das Sie anhaken, fügt einen Begriff hinzu. Die Liste enthält fünfzehn gängige Absender, von Google Workspace und Microsoft 365 bis SendGrid, Amazon SES und Shopify, jeweils mit dem Include aus deren Dokumentation. Das freie Feld nimmt ip4:-, ip6:- und include:-Begriffe an. Tippen Sie einen bloßen Hostnamen ein, wird daraus ein Include.
Der Generator zählt eine DNS-Abfrage für jedes include, mx und a und warnt ab sieben. SPF erlaubt insgesamt zehn, und die meisten Includes enthalten weitere Includes, die der Generator von Ihrem Browser aus nicht sehen kann.
Haken Sie nichts an, erhalten Sie v=spf1 -all, und die DMARC-Richtlinie wird von none auf reject angehoben. Dieses Paar ist die richtige Einstellung für eine Domain, die überhaupt keine E-Mails sendet.
Die eingegebene Domain dient nur dazu, die Namen der Einträge anzuzeigen und den Link zur Prüfung vorzubereiten. Sie verlässt die Seite nie.
Die Einträge bei Ihrem DNS-Anbieter eintragen
Öffnen Sie die DNS-Zone dort, wo Ihre Nameserver liegen, etwa bei Ihrem Registrar, bei Cloudflare oder beim Hoster. Fügen Sie zwei TXT-Einträge hinzu.
| Eintrag | Feld Name oder Host | Wert |
|---|---|---|
| SPF | @, leer gelassen oder die Domain selbst | Die Zeile, die mit v=spf1 beginnt |
| DMARC | _dmarc | Die Zeile, die mit v=DMARC1 beginnt |
Die meisten Verwaltungsoberflächen hängen die Domain selbst an. Wer _dmarc.example.com eintippt, erzeugt also _dmarc.example.com.example.com. Lassen Sie die Anführungszeichen weg, sofern die Oberfläche sie nicht verlangt.
Gibt es bereits einen TXT-Eintrag, der mit v=spf1 beginnt, bearbeiten Sie diesen. Ein zweiter macht beide ungültig. Dasselbe gilt für _dmarc.
Was der Generator Ihnen überlässt
DKIM bekommen Sie hier nicht, denn jeder sendende Dienst erzeugt sein eigenes Schlüsselpaar. Suchen Sie in dessen Einstellungen nach „Domain-Authentifizierung“. Dort erhalten Sie ein bis drei CNAME- oder TXT-Einträge zum Hinzufügen. Das ist wichtig für DMARC, das besteht, wenn SPF oder DKIM unter Ihrer eigenen Domain erfolgreich ist. Newsletter-Plattformen senden oft mit ihrer eigenen Bounce-Adresse. SPF deckt sie also nicht ab, und DKIM muss die Arbeit übernehmen.
Beginnen Sie mit p=none. Nach zwei bis vier Wochen Berichten, geöffnet mit dem DMARC-Berichtsleser, kennen Sie jede Quelle. Wechseln Sie dann zu quarantine und später zu reject, und wenn Sie möchten von ~all zu -all.
Der Generator liest Ihr aktuelles DNS nicht. Er kann Ihnen also nicht sagen, was bereits veröffentlicht ist oder wie viele Abfragen Ihre Includes wirklich kosten. Sobald die Einträge live sind, führen Sie die Prüfung von SPF, DKIM und DMARC aus, die jedem Include folgt und sie zählt.
Häufige Fragen
Wie erstelle ich einen SPF-Eintrag für Google Workspace oder Microsoft 365?
Nur für Google Workspace: v=spf1 include:_spf.google.com ~all. Nur für Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all. Fügen Sie für jeden weiteren Dienst, der im Namen Ihrer Domain sendet, ein include: hinzu, alles im selben Eintrag.
Was trage ich als DMARC-rua-Adresse ein?
Ein Postfach, das Sie eigens dafür anlegen, etwa dmarc@yourdomain, oder die Adresse, die Ihnen ein Dienst zur Berichtsauswertung gibt. Rechnen Sie mit einem XML-Anhang pro Tag von jedem großen Anbieter. Eine Adresse auf einer anderen Domain funktioniert nur, wenn diese Domain einen Eintrag veröffentlicht, der Ihre Berichte annimmt.
Wie lange dauert es, bis ein neuer SPF- oder DMARC-Eintrag wirkt?
Ein neuer Eintrag ist meist innerhalb von Minuten sichtbar. Ein geänderter Eintrag kann so lange aus Caches ausgeliefert werden, wie seine vorherige TTL dauert, oft eine Stunde, manchmal einen Tag. Verfolgen können Sie das mit der DNS-Propagation-Prüfung.
Brauche ich SPF, wenn ich schon DKIM habe?
Jedes von beiden genügt DMARC, aber Gmail und Yahoo verlangen von Massenversendern beides, und manche Empfänger werten Sie ab, wenn ein SPF-Eintrag fehlt. Veröffentlichen Sie beide.
Warum steht Mailchimp nicht auf der Liste?
Mailchimp sendet mit seiner eigenen Absenderadresse für Rückläufer. Ein SPF-Begriff auf Ihrer Domain wird für dessen E-Mails also nie ausgewertet. Mailchimp besteht DMARC über DKIM, sobald Sie die CNAME-Einträge hinzugefügt haben, die auf der Seite zur Domain-Authentifizierung angezeigt werden.
Kann ich für Subdomains eigene SPF-Einträge haben?
Ja. SPF wird genau bei der Domain der Absenderadresse für Rückläufer abgefragt. news.example.com hat also einen eigenen Eintrag und eigene zehn Abfragen. Einen Versender mit vielen Includes auf eine Subdomain zu verlegen, ist ein üblicher Weg, unter die Grenze zu kommen.