Design

Beliebte Tools

SPF-Generator

Wählen Sie die Dienste, die Ihre Mails senden, und erstellen Sie einen SPF-Eintrag, bei dem die DNS-Lookups, die er Empfänger kostet, beim Bauen live gezählt werden.

RFC-7208-Lookup-Lauf wie in unserem SPF Checker · dokumentierte includes von 71 Absendern · in Ihrem Browser erstellt
DNS aus Ihrem Browser gelesen

Lädt den SPF-Eintrag Ihrer Domain samt Absendern ins Formular. Oder wählen Sie unten Absender aus: Er aktualisiert sich laufend.

Beispiel

Läuft in Ihrem Browser. Nur DNS-Abfragen verlassen ihn, per HTTPS an den Resolver von Cloudflare (den von Google als zweite Meinung).

Beispiel

Ein Beispieleintrag für example.com

Geben Sie oben Ihre Domain ein, um von dem auszugehen, was sie jetzt veröffentlicht, oder ändern Sie unten etwas. Der Eintrag rechts aktualisiert sich laufend.

Wer sendet Mails als example.com?
Ihre eigenen Server
IPv4-Adressen oder -Bereiche
IPv6-Adressen oder -Bereiche
Weitere includes
Eine Domain, die ein Anbieter Sie einzubinden gebeten hat.
allMails von jedem anderen Server

Nicht gelistete Server werden als verdächtig markiert, nicht abgewiesen. Bei DMARC auf quarantine oder reject entscheidet DMARC anhand von DKIM. M3AAWG empfiehlt ~all.

Diese Domain sendet keine Mails
v=spf1 -all: Kein Server darf als sie senden.

Was Empfänger für diesen Eintrag aufwenden

Das Budget von 10 Lookups · example.com0 von 2 Voids

/ 10 Lookups verbraucht

110

DNS-Lookup Void

Die includes werden gezählt…

Wohin die Lookups gehen

include:_spf.google.comGoogle Workspace1

Bevor Sie veröffentlichen

Bereit zur Veröffentlichung

Ein Eintrag, ohne etwas, das Empfänger überspringen oder falsch lesen würden.

Gut

Wohin füge ich das ein?

Wählen Sie Ihren DNS-Anbieter: Die Felder unten sind so geschrieben, wie sein Formular sie will.

Zeile für die Zonendatei
example.com. 3600 IN TXT "v=spf1 include:_spf.google.com ~all"

Nach dem Veröffentlichen

Vollständige Prüfung: example.comDer Link enthält diese Einstellungen, nie einen Schlüssel. Aus Ihrem Browser gefragt: Resolver von Cloudflare, der von Google als zweite Meinung.

Wie erstelle ich einen SPF-Eintrag?

Listen Sie jeden Dienst, der Mails als Ihre Domain sendet, setzen Sie deren include:-Terme und die Adressen Ihrer eigenen Server in einen TXT-Eintrag bei der Domain und beenden Sie ihn mit ~all.

Setzen Sie die günstigen Terme zuerst: IP-Adressen kosten keinen DNS-Lookup, a und mx kosten je einen, includes kosten einen plus alles, was sie enthalten.

Zählen Sie dann: Empfänger brechen bei 10 DNS-Lookups ab. Der Generator durchläuft jedes include live, daher ist die Zahl die, die Empfänger sehen.

Wer sendetGoogle WorkspaceMailjet192.0.2.25
Der Eintrag, in der Reihenfolge, in der Empfänger ihn lesen
v=spf1ip4:192.0.2.250 Lookupsinclude:_spf.google.com1 Lookupinclude:spf.mailjet.com1 Lookup~all0 Lookups
Von Absendern zu einem Eintrag
SPF-Generator zählt die DNS-Lookups eines SPF-Eintrags über dem Limit von 10, mit den Absendern, die am meisten kostenSPF-Generator zählt die DNS-Lookups eines SPF-Eintrags über dem Limit von 10, mit den Absendern, die am meisten kostenDie Zahl, die Empfänger erreichenJedes include live aus Ihrem Browser durchlaufen, auch verschachtelte, genau so, wie ein Empfänger zählt.Eine Zelle je LookupGefärbt nach dem Absender, der ihn verbraucht; ab 10 sind die Zellen schraffiert: ein permanenter Fehler.Wohin die Lookups gehenJeder Term mit seiner Markierung, seinen verschachtelten includes und dem, was er kostet.Wer am meisten verbrauchtÜber 10 die größten Verbraucher und die ehrlichen Wege zurück darunter, der Haken des Flattenings eingeschlossen.Absender, die woanders liegenDienste, deren SPF auf eine Subdomain oder nirgends gehört, sagen, wohin.
Microsoft 365, Freshdesk, Salesforce, Zendesk und Mimecast in einem Eintrag: jedes include live aus dem Browser durchlaufen, weit über dem Limit von 10, mit den Absendern, die am meisten kosten, und den Wegen zurück darunter.

Was gehört in einen SPF-Eintrag?

Mechanismen, die benennen, wer senden darf (ip4, ip6, a, mx, include, exists), und eine Endung, all oder redirect, jeweils mit einem Qualifier; jeder Term, der DNS fragt, kostet einen der 10 Lookups.

Ein Qualifier sagt, was ein Treffer bedeutet: + pass (der Standard), - fail, ~ softfail, ? neutral. Empfänger lesen von links nach rechts und halten beim ersten Treffer an.

ptr ist veraltet und langsam: Nutzen Sie es nicht.

TermBeispielDNS-LookupsVerwenden für
ip4ip4:192.0.2.0/240Ihre eigenen IPv4-Server
ip6ip6:2001:db8::/320Ihre eigenen IPv6-Server
aa1Die eigene Adresse der Domain
mxmx1 + bis zu 10 NamenEingehende Server, die auch senden
includeinclude:_spf.google.com1 + deren eigeneDer Eintrag eines Dienstes
existsexists:%{i}._spf.example.com1Prüfungen je Adresse (Makros)
redirectredirect=_spf.example.com1Den ganzen Eintrag einer anderen Domain nutzen
all~all0Alles andere (die Endung)
+pass-fail~softfail?neutral
Jeder Mechanismus und was er kostet

SPF-Einträge für Google Workspace, Microsoft 365 und andere

Google Workspace ist include:_spf.google.com und Microsoft 365 ist include:spf.protection.outlook.com; die meisten Dienste veröffentlichen einen include:-Term, und manche brauchen in Ihrem Eintrag gar nichts.

Jede Zahl unten wurde am Live-Eintrag des Dienstes gemessen und enthält alles, was darin verschachtelt ist, also das, was ein Empfänger verbraucht.

Dienste mit der Markierung „woanders“ senden mit ihrem eigenen Return-Path oder einer Subdomain von Ihnen, daher liegt ihr SPF dort.

DienstIn Ihren Eintrag aufnehmenLookupsWo
Google Workspaceinclude:_spf.google.com1Ihr Eintrag
Microsoft 365include:spf.protection.outlook.com1Ihr Eintrag
Zoho Mailinclude:zohomail.com2Ihr Eintrag
Amazon SESinclude:amazonses.com1eine Subdomain
SendGridinclude:sendgrid.net2eine Subdomain
Mailguninclude:mailgun.org5eine Subdomain
Mailchimp——nichts zu ergänzen
Brevo—1nichts zu ergänzen
HubSpotinclude:<HubID>.spf0N.hubspotemail.net—Ihr Eintrag
Salesforceinclude:_spf.salesforce.com2Ihr Eintrag
Zendeskinclude:mail.zendesk.com1Ihr Eintrag
Freshdeskinclude:email.freshdesk.com7Ihr Eintrag
Postmark—1nichts zu ergänzen
Mimecast (global)include:_netblocks.mimecast.com9Ihr Eintrag
Proton Mailinclude:_spf.protonmail.ch2Ihr Eintrag
Fastmailinclude:spf.messagingengine.com1Ihr Eintrag
Absender, ihr include und was es kostet

Was ist das SPF-Limit von 10 Lookups?

Empfänger brechen nach 10 Termen ab, die DNS fragen, verschachtelte includes mitgezählt, und SPF schlägt dann mit einem permanenten Fehler für jede Nachricht fehl; ein dritter Lookup, der leer zurückkommt, lässt es ebenfalls fehlschlagen (RFC 7208).

Kommen Sie wieder darunter, indem Sie einen Absender auf eine Subdomain mit eigenem Eintrag verlegen, a oder mx entfernen, wenn diese Server nicht senden, oder den Anbieter um ein schmaleres include bitten.

Flattening, also ein include durch seine IP-Adressen zu ersetzen, spart Lookups, veraltet aber an dem Tag, an dem der Anbieter Adressen ändert: Prüfen Sie es jeden Monat neu.

12 / 10 · permanenter Fehler

mx1include:spf.protection.outlook.com1include:email.freshdesk.com7include:_spf.salesforce.com2include:mail.zendesk.com1
Subdomaina/mx entfernenSchmaleres includeFlattening (veraltet)
Fünf Absender, 12 Lookups

Sollte SPF mit ~all oder -all enden?

Nutzen Sie ~all bei einer Domain, die Mails sendet, und -all bei einer, die keine sendet: Bei durchgesetztem DMARC entscheidet DMARC anhand von DKIM, während -all weitergeleitete Mails abweisen lassen kann, bevor DMARC läuft.

M3AAWG empfiehlt ~all für sendende Domains und -all für Domains ohne Mailversand. Google dokumentiert ~all für Workspace; Microsoft dokumentiert -all für Microsoft 365.

~allsoftfailAngenommen, als verdächtig markiert; DMARC entscheidet mit DKIM
-allfailKann sofort abgewiesen werden, auch wenn DKIM besteht
?allneutralAls hätten Sie kein SPF
Eine Nachricht von einem Server, den Sie nicht gelistet haben

Welche Absender müssen nicht in Ihrem SPF-Eintrag stehen?

Dienste, die mit ihrem eigenen Return-Path senden, wie Mailchimp, Postmark, SparkPost, Klaviyo und Shopify, bestehen SPF über ihre eigene Domain; Amazon SES, SendGrid und Mailgun gehören auf eine Versand-Subdomain von Ihnen.

SPF prüft den Envelope-Absender (Return-Path), nicht die From-Adresse, die Menschen sehen. Für DMARC sind diese Dienste über DKIM aligned, veröffentlichen Sie daher stattdessen ihre DKIM-Einträge.

From (was Menschen sehen)From: news@example.com
Return-Path (was SPF prüft)Return-Path: bounce@esp.example.net

Hier nichts zu ergänzen

MailchimpMandrillPostmarkSparkPostBrevoKlaviyoShopifyDynamics 365

Auf einer Subdomain von Ihnen

Amazon SESSendGridMailgun
SPF prüft den Return-Path, nicht die From-Zeile

Kann eine Domain zwei SPF-Einträge haben?

Nein: Bei zwei v=spf1-Einträgen an einem Namen brechen Empfänger mit einem permanenten Fehler ab, und SPF schlägt fehl; führen Sie sie daher zu einem Eintrag zusammen.

Behalten Sie jeden Absender aus beiden, eine Endung, und zählen Sie die Lookups des zusammengeführten Eintrags: Zwei Einträge, die einzeln passen, können zusammen über 10 liegen.

Bei example.org veröffentlichtv=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -all
Ein Eintragv=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Zwei Einträge, zu einem zusammengeführt

Wie funktionieren lange SPF-Einträge bei DNS-Anbietern?

Ein TXT-String fasst 255 Bytes; längere Einträge werden in mehrere Strings geteilt, die Empfänger ohne Zwischenraum zusammenfügen, und die meisten DNS-Anbieter teilen sie für Sie.

Cloudflare und Azure nehmen den ganzen Wert in einem Feld; Route 53 und Google Cloud DNS wollen Strings zu 255 Bytes in Anführungszeichen. RFC 7208 verlangt, die ganze Antwort unter 450 Bytes zu halten.

v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203.0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all
1255 B272 B
example.com. 3600 IN TXT ( "v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203"
	".0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all" )
Ein langer Eintrag, wie DNS ihn speichert

FAQ zum SPF-Generator

Was ist ein SPF-Eintrag?

Ein SPF-Eintrag ist ein TXT-Eintrag bei Ihrer Domain, der mit v=spf1 beginnt und die Server auflistet, die Mails mit Ihrer Domain im Envelope-Absender senden dürfen. Empfänger vergleichen den sendenden Server mit dieser Liste und bewerten die Nachricht mit pass, softfail oder fail. Er ist in RFC 7208 definiert, und DMARC nutzt sein Ergebnis, wenn die Domains aligned sind.

Wie lautet der SPF-Eintrag für Google Workspace?

v=spf1 include:_spf.google.com ~all. Dieses eine include deckt die Sendeserver von Google ab und kostet einen DNS-Lookup Ihrer zehn. Wenn weitere Dienste als Ihre Domain senden, ergänzen Sie deren include-Terme vor der Endung und behalten Sie einen Eintrag: Ein zweiter v=spf1-Eintrag lässt SPF für alle fehlschlagen.

Wie lautet der SPF-Eintrag für Microsoft 365?

v=spf1 include:spf.protection.outlook.com -all, wie Microsoft es dokumentiert; ~all funktioniert auch und geht milder mit weitergeleiteten Mails um. Das include kostet einen DNS-Lookup. Behördenclouds haben eigene includes, etwa spf.protection.office365.us für GCC High, die der Generator als eigene Absender listet.

Kann ich zwei SPF-Einträge haben?

Nein. Bei zwei v=spf1-Einträgen am selben Namen brechen Empfänger mit einem permanenten Fehler ab, und SPF schlägt für jede Nachricht fehl. Führen Sie sie zusammen: Behalten Sie jeden Absender aus beiden in einem Eintrag mit einer Endung. Laden Sie Ihre Domain im Generator, dann führt er Duplikate für Sie zusammen und zählt die Lookups des Ergebnisses.

Was passiert, wenn mein SPF-Eintrag mehr als 10 Lookups hat?

Empfänger brechen beim elften Term ab, der DNS fragt, und geben einen permanenten Fehler zurück, sodass SPF für jede Nachricht fehlschlägt, auch für legitime. DMARC kann über aligned DKIM noch bestehen, aber SPF hilft nicht mehr. Verlegen Sie einen Absender auf eine Subdomain, entfernen Sie a oder mx, wo diese Server nicht senden, oder bitten Sie einen Anbieter um ein schmaleres include.

Sollte ich ~all oder -all verwenden?

Nutzen Sie ~all für eine Domain, die Mails sendet, und -all für eine, die keine sendet. Bei ~all werden durchfallende Mails als verdächtig markiert, und DMARC entscheidet anhand von DKIM; bei -all weisen manche Empfänger sie sofort ab, was weitergeleitete Mails abfangen kann, bevor DMARC läuft. M3AAWG empfiehlt ~all für sendende Domains.

Brauchen Subdomains einen eigenen SPF-Eintrag?

Ja, wenn sie Mails senden. SPF wird nicht vererbt: news.example.com wird gegen seinen eigenen TXT-Eintrag geprüft, nicht gegen den von example.com. Eine Subdomain, die nichts sendet, sollte v=spf1 -all veröffentlichen, und Dienste wie Amazon SES oder Mailgun erwarten ihren Eintrag auf der Versand-Subdomain, die Sie mit ihnen einrichten.

Wo füge ich den SPF-Eintrag hinzu?

Bei Ihrem DNS-Anbieter, als TXT-Eintrag an der Domain selbst: Tippen Sie @ ins Feld Name (Route 53 will es leer) und fügen Sie den Wert ein. Ist dort schon ein SPF-Eintrag, bearbeiten Sie ihn, statt einen weiteren hinzuzufügen. Wählen Sie im Generator Ihren Anbieter, um seine genauen Feldnamen zu sehen und wie er lange Werte annimmt.

Was ist SPF-Flattening, und sollte ich es nutzen?

Flattening ersetzt include-Terme durch die IP-Adressen, die sie enthalten, sodass der Eintrag weniger DNS-Lookups braucht. Es funktioniert, aber die Kopie veraltet, sobald ein Anbieter Adressen ändert, und Mails von den neuen Adressen fallen bei SPF durch. Bevorzugen Sie eine Subdomain oder ein schmaleres include; wenn Sie flatten, prüfen Sie den Eintrag jeden Monat neu.

Ist der SPF-Generator kostenlos, und wird etwas an Ihren Server gesendet?

Er ist kostenlos, ohne Anmeldung. Der Eintrag wird in Ihrem Browser erstellt, und jedes include wird durch DNS-Abfragen gezählt, die Ihr Browser per HTTPS an den Resolver von Cloudflare sendet (und an den von Google, wenn Cloudflare langsam ist), Ihre Domain und Ihr Eintrag laufen also nicht über unseren Server. Nichts, was Sie eingeben, wird gespeichert.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Verwandte Tools