Was ist ein SPF-Record und warum braucht ihn meine Domain?

Ein DNS-TXT-Record, der die Server auflistet, die Mail als deine Domain senden dürfen. Empfänger prüfen den verbindenden Server dagegen; ohne SPF kann jeder deine Adresse fälschen.

Soll mein Record mit ~all oder -all enden?

Starte mit ~all: Fehlschläge werden markiert, aber zugestellt — ein vergessener Versender verliert keine Mail. Wechsle zu -all, wenn Berichte zeigen, dass jede legitime Quelle besteht.

Was ist das 10-DNS-Lookup-Limit von SPF?

RFC 7208 begrenzt die DNS-abfragenden Mechanismen auf zehn pro Auswertung, rekursiv durch verschachtelte includes gezählt. Darüber gibt es permerror, den viele Empfänger wie einen Fehlschlag werten. Jeder Provider-include kostet typischerweise ein bis drei.

Stoppt SPF allein das E-Mail-Spoofing?

Nein. SPF prüft den Envelope-Absender, nicht den sichtbaren From-Header, und bricht bei Weiterleitungen. Kombiniere es mit DKIM-Signaturen und einer DMARC-Policy — erst die drei zusammen sind echte Authentifizierung.

SPF-Record-Generator

Baue den SPF-TXT-Record, der deine Mailversender autorisiert — oder prüfe einen bestehenden auf Syntax und DNS-Lookups gegen das 10er-Limit.

Der SPF-Record-Generator läuft vollständig in deinem Browser. Records werden auf deinem Gerät gebaut und geprüft — ohne DNS-Abfragen und ohne Upload.

DMARC-Record-Generator öffnen

Über SPF-Record-Generator

Der SPF-Record-Generator baut den einen TXT-Record, der empfangenden Mailservern sagt, wer im Namen deiner Domain senden darf. Hake die Provider ab, über die du versendest — Google Workspace, Microsoft 365, SendGrid —, sie werden zu ihren dokumentierten include-Mechanismen; ergänze eigene Server per IP und wähle, was mit dem Rest der Welt geschieht: ~all Softfail, solange du noch Versender entdeckst, -all Ablehnung, sobald die Liste vollständig ist. Der Prüfer analysiert jeden bestehenden Record wie ein Empfänger: Er verifiziert das v=spf1-Präfix, markiert das veraltete ptr und das katastrophale +all, warnt vor Termen nach all, die Empfänger ignorieren, und zählt DNS-abfragende Mechanismen gegen das harte Limit von 10, das so viele Records still zerbricht.

Funktionen

Ein-Klick-Includes für die großen Provider
ip4- und ip6-Mechanismen mit Adress- und CIDR-Prüfung
a- und mx-Schalter für Domains mit eigenen Hosts
Alle vier all-Policies ehrlich erklärt
DNS-Lookup-Zähler gegen das 10er-Limit aus RFC 7208
Alles im Browser geprüft — keine Fernabfragen

So verwendest du SPF-Record-Generator

Provider abhaken, die Mail für deine Domain senden
Eigene IPs ergänzen und die all-Policy festlegen
Record als TXT auf der Root-Domain eintragen
Oder in den Prüfmodus wechseln und einen Record einfügen

Beispiel

Eingabe

Google Workspace + SendGrid · ~all

Ausgabe

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Zwei DNS-Lookups von zehn erlaubten — reichlich Luft.

Häufige Fehler & Fehlerbehebung

Mail scheitert an SPF, obwohl der Record richtig aussieht. — Zähle die Lookups: include, a, mx, ptr, exists und redirect kosten je einen, verschachtelte includes zählen mit. Über zehn liefern Empfänger permerror. Selten genutzte includes zu ip4-Mechanismen abflachen.
Die Domain hat zwei SPF-Records. — Das ist ein automatischer permanenter Fehler. Alle Mechanismen in eine einzige v=spf1-Zeichenkette zusammenführen — pro Domain existiert nur ein SPF-Record.
Alles besteht — auch gefälschte Mail. — Suche nach +all: Es autorisiert das gesamte Internet und ist schlimmer als kein Record. Nutze -all, oder ~all während der Einführung, und kombiniere mit DMARC.

Häufig gestellte Fragen

Was ist ein SPF-Record und warum braucht ihn meine Domain?: Ein DNS-TXT-Record, der die Server auflistet, die Mail als deine Domain senden dürfen. Empfänger prüfen den verbindenden Server dagegen; ohne SPF kann jeder deine Adresse fälschen.
Soll mein Record mit ~all oder -all enden?: Starte mit ~all: Fehlschläge werden markiert, aber zugestellt — ein vergessener Versender verliert keine Mail. Wechsle zu -all, wenn Berichte zeigen, dass jede legitime Quelle besteht.
Was ist das 10-DNS-Lookup-Limit von SPF?: RFC 7208 begrenzt die DNS-abfragenden Mechanismen auf zehn pro Auswertung, rekursiv durch verschachtelte includes gezählt. Darüber gibt es permerror, den viele Empfänger wie einen Fehlschlag werten. Jeder Provider-include kostet typischerweise ein bis drei.
Stoppt SPF allein das E-Mail-Spoofing?: Nein. SPF prüft den Envelope-Absender, nicht den sichtbaren From-Header, und bricht bei Weiterleitungen. Kombiniere es mit DKIM-Signaturen und einer DMARC-Policy — erst die drei zusammen sind echte Authentifizierung.