Der SPF-Record-Generator baut den einen TXT-Record, der empfangenden Mailservern sagt, wer im Namen deiner Domain senden darf. Hake die Provider ab, über die du versendest — Google Workspace, Microsoft 365, SendGrid —, sie werden zu ihren dokumentierten include-Mechanismen; ergänze eigene Server per IP und wähle, was mit dem Rest der Welt geschieht: ~all Softfail, solange du noch Versender entdeckst, -all Ablehnung, sobald die Liste vollständig ist. Der Prüfer analysiert jeden bestehenden Record wie ein Empfänger: Er verifiziert das v=spf1-Präfix, markiert das veraltete ptr und das katastrophale +all, warnt vor Termen nach all, die Empfänger ignorieren, und zählt DNS-abfragende Mechanismen gegen das harte Limit von 10, das so viele Records still zerbricht.
Funktionen
Ein-Klick-Includes für die großen Provider
ip4- und ip6-Mechanismen mit Adress- und CIDR-Prüfung
a- und mx-Schalter für Domains mit eigenen Hosts
Alle vier all-Policies ehrlich erklärt
DNS-Lookup-Zähler gegen das 10er-Limit aus RFC 7208
Alles im Browser geprüft — keine Fernabfragen
So verwendest du SPF-Record-Generator
Provider abhaken, die Mail für deine Domain senden
Eigene IPs ergänzen und die all-Policy festlegen
Record als TXT auf der Root-Domain eintragen
Oder in den Prüfmodus wechseln und einen Record einfügen
Zwei DNS-Lookups von zehn erlaubten — reichlich Luft.
Häufige Fehler & Fehlerbehebung
Mail scheitert an SPF, obwohl der Record richtig aussieht. — Zähle die Lookups: include, a, mx, ptr, exists und redirect kosten je einen, verschachtelte includes zählen mit. Über zehn liefern Empfänger permerror. Selten genutzte includes zu ip4-Mechanismen abflachen.
Die Domain hat zwei SPF-Records. — Das ist ein automatischer permanenter Fehler. Alle Mechanismen in eine einzige v=spf1-Zeichenkette zusammenführen — pro Domain existiert nur ein SPF-Record.
Alles besteht — auch gefälschte Mail. — Suche nach +all: Es autorisiert das gesamte Internet und ist schlimmer als kein Record. Nutze -all, oder ~all während der Einführung, und kombiniere mit DMARC.
Häufig gestellte Fragen
Was ist ein SPF-Record und warum braucht ihn meine Domain?
Ein DNS-TXT-Record, der die Server auflistet, die Mail als deine Domain senden dürfen. Empfänger prüfen den verbindenden Server dagegen; ohne SPF kann jeder deine Adresse fälschen.
Soll mein Record mit ~all oder -all enden?
Starte mit ~all: Fehlschläge werden markiert, aber zugestellt — ein vergessener Versender verliert keine Mail. Wechsle zu -all, wenn Berichte zeigen, dass jede legitime Quelle besteht.
Was ist das 10-DNS-Lookup-Limit von SPF?
RFC 7208 begrenzt die DNS-abfragenden Mechanismen auf zehn pro Auswertung, rekursiv durch verschachtelte includes gezählt. Darüber gibt es permerror, den viele Empfänger wie einen Fehlschlag werten. Jeder Provider-include kostet typischerweise ein bis drei.
Stoppt SPF allein das E-Mail-Spoofing?
Nein. SPF prüft den Envelope-Absender, nicht den sichtbaren From-Header, und bricht bei Weiterleitungen. Kombiniere es mit DKIM-Signaturen und einer DMARC-Policy — erst die drei zusammen sind echte Authentifizierung.
Verwandte Tools
DMARC-Record-Generator — Erstellt und prüft DMARC-TXT-Records mit Richtlinie und Berichten.
CIDR-/Subnetz-Rechner — Berechne Netzwerk, Broadcast, Host-Bereich und Maske eines CIDR-Blocks.