SPF-Eintrag-Checker

Was ein SPF-Eintrag tatsächlich leistet

SPF (Sender Policy Framework) ist ein TXT-Eintrag auf der Root Ihrer Domain, der die Server auflistet, die mit Ihrer Domain im Envelope-Absender senden dürfen. Wenn Gmail oder Microsoft eine Nachricht empfängt, fragt der Empfänger den Eintrag ab, vergleicht die verbindende IP der Reihe nach mit jedem Mechanismus und stoppt beim ersten Treffer.

Das Ergebnis ist pass, fail, softfail oder neutral. Für sich allein blockiert SPF selten Mail, aber DMARC braucht entweder SPF oder DKIM, das besteht und zur Absender-Domain ausgerichtet ist. Bei Cold E-Mail bedeutet ein kaputter SPF-Eintrag, dass DMARC allein auf DKIM zurückfällt, und wenn auch das falsch konfiguriert ist, landen Ihre Kampagnen im Spam.

v=spf1 include:_spf.google.com ~all

Das Limit von 10 DNS-Lookups und wie Einträge es reißen

RFC 7208 begrenzt die Zahl der DNS-abfragenden Terme auf 10 für den gesamten Eintrag, inklusive jedem verschachtelten Include. Terme, die zählen: include, a, mx, ptr, exists und redirect. Terme, die nicht zählen: ip4, ip6 und all. Wird das Limit überschritten, liefern Empfänger permerror zurück, was die meisten als Hard Fail behandeln.

Die Falle: Includes verstecken ihre eigenen Lookups. Ein einzelner Include für einen großen Anbieter kann für sich schon vier oder fünf verbrauchen. Agenturen, die ein CRM, ein Helpdesk, eine Marketing-Plattform und zwei Versand-Tools ergänzen, landen häufig bei 12 oder 13, ohne es zu merken.

• Entfernen Sie Includes für Tools, die nicht mehr von dieser Domain senden.
• Nutzen Sie eine eigene Subdomain für Marketing- oder Transaktionsmail, damit jeder SPF-Eintrag klein bleibt.
• Ersetzen Sie einen statischen Anbieter-Include nur dann durch dessen ip4-Bereiche, wenn Sie bereit sind, diese zu pflegen.
• Veröffentlichen Sie niemals zwei v=spf1-Einträge, führen Sie sie zu einem zusammen.

Die Wahl zwischen ~all und -all für Cold E-Mail

Der abschließende all-Term legt die Richtlinie für jeden nicht gelisteten Server fest. -all ist ein Hard Fail, ~all ein Soft Fail. Beides akzeptieren Gmail und Microsoft, und beides lässt DMARC seine Arbeit tun. Viel wichtiger ist, dass jeder legitime Absender vor dem all-Term gelistet ist und dass Sie +all und ?all vollständig vermeiden.

Für Outreach-Domains, die über Google Workspace oder Microsoft 365 senden, ist ~all die sichere Voreinstellung, solange Sie noch Tools ergänzen. Wechseln Sie auf -all, sobald die Absenderliste stabil ist. InboxOne veröffentlicht beim Bereitstellen eines Postfachs automatisch einen korrekten SPF-Eintrag mit dem passenden Include, damit neue Domains sauber starten.

Häufige SPF-Fehler, die dieser Checker findet

Die meisten SPF-Fehler sind nichts Exotisches. Sie entstehen durch Copy-Paste-Fehler, übrig gebliebene Includes und Einträge, die nach einem Anbieterwechsel nie aktualisiert wurden. Der Checker markiert jeden davon mit einer konkreten Lösung.

• Mehrere v=spf1-Einträge, die sofort einen permerror auslösen.
• Terme hinter all, die still ignoriert werden.
• Veraltete ptr-Mechanismen, die manche Empfänger komplett überspringen.
• Leere Lookups, bei denen ein Include auf eine Domain ohne SPF-Eintrag zeigt.
• TXT-Strings über 255 Zeichen oder Einträge, deren Gesamtlänge Truncation riskiert.
• Unbekannte Tokens durch Tippfehler wie includes: oder ip4= statt ip4:.