Leitfaden: Authentifizierung
SPF einrichten
Mit SPF prüft ein empfangender Server, ob der Server, der eine Nachricht übergibt, für die Domain im Umschlag senden darf. Dafür genügt ein DNS-Eintrag, und kleine Fehler darin sind häufig.
Zuletzt geprüft am 4. November 2026
Was SPF prüft
Sender Policy Framework (SPF, RFC 7208) ist ein TXT-Eintrag Ihrer Domain, der die Server nennt, die für sie E-Mails senden dürfen. Kommt eine Nachricht an, liest der empfangende Server den Eintrag der Domain des Umschlagabsenders (SMTP MAIL FROM, auch Return-Path genannt) und vergleicht ihn mit der verbindenden IP-Adresse.
SPF prüft nicht die From-Adresse, die Ihre Empfänger sehen. Deshalb verhindert SPF allein nicht, dass jemand Ihre Domain im From anzeigt. DMARC schließt diese Lücke, indem es verlangt, dass die geprüfte Domain zur From-Domain passt.
Ein Eintrag für alle Absender
Eine Domain darf nur einen SPF-Eintrag veröffentlichen. Zwei Einträge, die beide mit v=spf1 beginnen, lassen die Prüfung mit einem dauerhaften Fehler scheitern. Fügen Sie das include eines neuen Dienstes daher dem vorhandenen Eintrag hinzu, statt einen zweiten anzulegen.
Ein Eintrag beginnt mit v=spf1, nennt Mechanismen und endet meist mit einem all-Mechanismus, der festlegt, was mit allen übrigen Absendern geschieht. Das Beispiel unten dient nur der Veranschaulichung: Es behält einen bestehenden Anbieter (ersetzen Sie _spf.example.com durch das include Ihres Anbieters) und ergänzt Mail.Land.
- include:domain übernimmt die Server, die eine andere Domain freigibt; so fügt man üblicherweise einen E-Mail-Dienst hinzu.
- ip4: und ip6: nennen Ihre eigenen Adressen oder Bereiche direkt.
- a und mx erlauben die Hosts aus den A- oder MX-Einträgen Ihrer Domain.
- ~all (Soft Fail) markiert andere Absender als verdächtig, -all (Fail) erklärt sie für nicht erlaubt. Beenden Sie den Eintrag nie mit +all, das jedem das Senden erlaubt.
v=spf1 include:_spf.example.com include:spf.mlnd.net ~allUnter der Abfragegrenze bleiben
Die Mechanismen include, a, mx, ptr und exists sowie der Modifikator redirect zählen jeweils zu einer Grenze von 10 DNS-abfragenden Termen pro Auswertung, und auch die Terme in einem eingebundenen Eintrag zählen mit. Darüber hinaus ist das Ergebnis ein dauerhafter Fehler, und Empfänger behandeln den Eintrag als defekt.
Entfernen Sie Dienste, die Sie nicht mehr nutzen, verwenden Sie für eigene Server ip4- oder ip6-Bereiche und verzichten Sie auf den Mechanismus ptr, von dem der Standard abrät.
Das Ergebnis prüfen
Senden Sie nach der Veröffentlichung eine Nachricht an ein eigenes Postfach und lesen Sie den Header Authentication-Results: Er zeigt spf=pass, fail, softfail, neutral, none, permerror oder temperror und die geprüfte Domain.
Weiterleitungen brechen SPF oft, weil der weiterleitende Server nicht in Ihrem Eintrag steht. Das ist zu erwarten; DKIM übersteht meist Weiterleitungen, die den signierten Inhalt nicht verändern, ein Grund, beides zu veröffentlichen.
Was Postfachanbieter verlangen
Google verlangt von jedem Absender SPF oder DKIM und von Absendern mit annähernd 5.000 oder mehr Nachrichten pro Tag an private Gmail-Konten SPF, DKIM und DMARC. Yahoo verlangt von Massenversendern SPF und DKIM. Beides zu veröffentlichen ist für jede sendende Domain die sichere Wahl.
So setzt Mail.Land SPF um
Fügen Sie include:spf.mlnd.net vor dem all-Mechanismus in den einzigen SPF-Eintrag Ihrer Versanddomain ein. SPF, DKIM und DMARC müssen alle verifiziert sein, bevor die Domain senden kann.
Neue Domains erhalten außerdem einen eigenen Return-Path: einen CNAME von bounce.yourdomain auf bounce.mlnd.net. Sobald dieser Eintrag verifiziert ist, ist die Umschlagdomain Ihre eigene Subdomain, und SPF passt mit Relaxed-Alignment, der DMARC-Voreinstellung, zu Ihrer From-Domain; bis dahin verwendet Mail.Land seinen Standard-Return-Path. Lassen Sie den Eintrag nur im DNS (ohne Proxy), sonst sehen Mailserver ihn nicht.
Quellen
- RFC 7208, Sender Policy Framework (SPF) (abgerufen am 4. November 2026)
- Google, Richtlinien für E-Mail-Absender (abgerufen am 4. November 2026)
- Yahoo, Best Practices für Absender (abgerufen am 4. November 2026)
Setzen Sie es in die Praxis um
Fügen Sie Ihre Domain in Mail.Land hinzu, und das Dashboard zeigt genau die SPF-, DKIM- und DMARC-Einträge, die Sie veröffentlichen müssen.