SPF-Record erstellen

Der Generator liest den SPF-Eintrag deiner Domain aus, lässt dich Server und Dienste ergänzen und liefert den fertigen Wert zum Kopieren. Dabei zählt er die DNS-Abfragen, auch die in eingebundenen Einträgen. Kostenlos und ohne Anmeldung.

Ein SPF-Eintrag ist ein TXT-Eintrag im DNS, der aufzählt, welche Server für eine Domain Mail versenden dürfen. Empfänger vergleichen die IP-Adresse, von der eine Mail kommt, mit dieser Liste. Die meisten Fehler entstehen nicht beim ersten Anlegen, sondern später: ein neuer Dienst kommt dazu, sein Eintrag wird neben den alten gestellt statt hinein, oder die Zahl der DNS-Abfragen wächst still über zehn. Deshalb beginnt der Generator mit dem, was schon veröffentlicht ist.

SPF-Eintrag zusammenstellen

Beim Auslesen fragt der Generator den TXT-Eintrag der Domain ab. Beim Erzeugen folgt er zusätzlich jedem include: und redirect=, um die DNS-Abfragen zu zählen. Gelesen werden ausschließlich öffentlich abrufbare Einträge, und am DNS deiner Domain ändert der Generator nichts: veröffentlichen musst du den Eintrag selbst.

Die Bausteine eines SPF-Eintrags

Ein SPF-Eintrag beginnt immer mit v=spf1, danach folgen die Angaben, wer senden darf, und am Ende die Richtlinie für alle anderen. Empfänger lesen von links nach rechts und hören beim ersten Treffer auf.

Die Richtlinie am Ende: -all, ~all oder ?all

• -all (Fail) heißt: Wer nicht aufgeführt ist, darf nicht senden, der Empfänger soll die Mail abweisen. Richtig, wenn du sicher jedes sendende System kennst.
• ~all (SoftFail) heißt: Wer nicht aufgeführt ist, ist verdächtig, die Mail wird aber angenommen und markiert. Das ist die übliche Einstellung, denn was mit durchgefallenen Mails geschieht, regelt ohnehin DMARC.
• ?all (Neutral) heißt: keine Aussage. Der Eintrag ist damit praktisch wirkungslos.
• +all erlaubt jedem Server der Welt, in deinem Namen zu senden. Der Generator bietet es nicht an. Findet er es in einem bestehenden Eintrag, ersetzt er es durch ~all und sagt dir das.

Die Grenze von zehn DNS-Abfragen

Jedes include:, a, mx, ptr, exists: und redirect= kostet beim Empfänger eine DNS-Abfrage, und die Abfragen in eingebundenen Einträgen zählen mit. ip4:, ip6: und all kosten nichts. RFC 7208 erlaubt in Abschnitt 4.6.4 höchstens zehn. Bei elf bricht der Empfänger mit PermError ab, und der ganze Eintrag wirkt, als gäbe es ihn nicht.

Microsoft 365, Google Workspace und viele Newsletter-Dienste bringen selbst mehrere Abfragen mit. Wer drei oder vier solcher Dienste einbindet, liegt schnell darüber, ohne dass es im Eintrag selbst zu sehen wäre. Der Generator folgt deshalb jedem include: und zeigt dir die Zahl, die ein Empfänger tatsächlich erreicht, aufgeschlüsselt nach Dienst. Wird es zu viel, hilft dreierlei: Dienste entfernen, die nicht mehr senden, a und mx durch feste Adressen ersetzen und den Versand von Geräten und Anwendungen über ein Relay bündeln.

Lange Einträge: 255 Zeichen je Zeichenkette

Ein TXT-Eintrag besteht aus einer oder mehreren Zeichenketten mit höchstens 255 Zeichen. Ist der SPF-Eintrag länger, muss er auf mehrere verteilt werden. Empfänger setzen die Teile ohne Trennzeichen wieder zusammen, so steht es in RFC 7208, Abschnitt 3.3. Der Generator teilt deshalb an einem Leerzeichen und lässt das Leerzeichen am Anfang des nächsten Teils stehen.

Viele DNS-Oberflächen teilen lange Werte selbst, dort kopierst du den Eintrag am Stück. Andere erwarten die Teile in Anführungszeichen hintereinander, etwa "v=spf1 … ip4:198.51.100.7" " include:_spf.google.com ~all". Für diesen Fall zeigt der Generator die aufgeteilte Fassung. Unabhängig davon empfiehlt RFC 7208 in Abschnitt 3.4, den ganzen Eintrag unter etwa 450 Byte zu halten, damit die DNS-Antwort klein bleibt.

Beispiele für häufige Fälle

Microsoft 365

v=spf1 include:spf.protection.outlook.com ~all

Der Eintrag für eine Domain, deren Postfächer bei Microsoft 365 liegen und die über nichts anderes sendet. Scanner, Fachanwendungen oder ein Shop, die selbst Mail verschicken, brauchen eine eigene Angabe.

Google Workspace

v=spf1 include:_spf.google.com ~all

Dasselbe für Google Workspace. Wer von Microsoft 365 zu Google wechselt oder umgekehrt, ersetzt das include:, statt ein zweites danebenzustellen, sobald die Umstellung abgeschlossen ist.

Eigener Mailserver

v=spf1 ip4:203.0.113.25 a:mail.deinefirma.de ~all

Ein eigener Server mit fester öffentlicher IPv4-Adresse, hier stellvertretend 203.0.113.25, dazu der Host mail.deinefirma.de. Die feste Adresse kostet keine DNS-Abfrage, der Host eine. Hat der Server auch IPv6, gehört seine Adresse als ip6: dazu.

Postfächer bei Microsoft 365, Geräte über ein Relay

v=spf1 include:spf.protection.outlook.com include:spf.spamgo.de ~all

Ein häufiger Fall in kleinen Firmen: Die Postfächer liegen bei Microsoft 365, Scanner, ERP und Webshop senden über ein SMTP-Relay. Hier ist es MailBridge, bei einem anderen Anbieter steht dessen include: an der Stelle.

Domain, die nie Mail versendet

v=spf1 -all

Für Domains, die nur eine Website tragen oder nur reserviert sind. Der Eintrag sagt Empfängern, dass jede Mail mit dieser Absenderdomain gefälscht ist.

SPF-Eintrag im DNS veröffentlichen

1. Stell den Eintrag mit dem Generator zusammen. Hat die Domain schon einen SPF-Eintrag, lies ihn zuerst aus und ändere ihn, statt einen zweiten anzulegen.
2. Melde dich bei dem Anbieter an, der die DNS-Zone deiner Domain verwaltet, und öffne die Verwaltung der DNS-Einträge.
3. Gibt es dort schon einen TXT-Eintrag, der mit v=spf1 beginnt, ersetze seinen Wert. Sonst leg einen neuen TXT-Eintrag an, als Host trägst du @ ein, also die Domain selbst.
4. Kopiere den Wert ohne zusätzliche Anführungszeichen hinein. Verlangt die Oberfläche einzelne Zeichenketten, nimm die aufgeteilte Fassung, die der Generator bei langen Einträgen zeigt.
5. Speichere und prüfe die Domain nach einigen Minuten mit dem Prüfwerkzeug. Es liest den veröffentlichten Eintrag und zählt die Abfragen erneut.

Wie SPF mit DKIM und DMARC zusammenspielt und in welcher Reihenfolge du umstellst, ohne dass Mail liegen bleibt, steht im Ratgeber SPF, DKIM und DMARC einrichten.

Darf eine Domain zwei SPF-Einträge haben?

Nein. Je Domain ist genau ein TXT-Eintrag erlaubt, der mit v=spf1 beginnt. Stehen dort zwei, brechen Empfänger die Prüfung mit PermError ab, und die Domain steht schlechter da als ganz ohne SPF. Kommt ein neuer Dienst dazu, gehört sein include in den vorhandenen Eintrag. Genau deshalb liest dieser Generator den bestehenden Eintrag zuerst aus.

Soll ich -all oder ~all verwenden?

Für die meisten Domains ~all. Fremde Absender gelten damit als verdächtig, ihre Mails werden aber nicht allein deshalb abgewiesen; was mit ihnen geschieht, regelt deine DMARC-Richtlinie. -all lohnt sich, wenn du sicher bist, dass jedes sendende System im Eintrag steht, auch Scanner, Shop und Newsletter-Werkzeug. ?all schützt nicht, und +all erlaubt jedem das Senden.

Was tun, wenn der SPF-Eintrag mehr als zehn DNS-Abfragen braucht?

Zuerst nachsehen, welche include-Angaben noch gebraucht werden: Dienste, die längst nicht mehr senden, stehen oft noch jahrelang im Eintrag. Danach a und mx durch ip4 ersetzen, wo sich die Adressen selten ändern, denn ip4 und ip6 kosten keine Abfrage. Reicht das nicht, bündle den Versand über ein Relay, dann ersetzt ein einziges include mehrere.

Braucht eine Subdomain einen eigenen SPF-Eintrag?

Ja, wenn unter ihr Mail versendet wird. SPF wird nicht vererbt: Für newsletter.deinefirma.de gilt nur der Eintrag, der genau dort steht, nicht der von deinefirma.de. Trag in diesem Fall die Subdomain oben als Domain ein und veröffentliche den Eintrag unter ihrem Namen.

Was ist der Unterschied zwischen include und redirect?

include fragt den Eintrag eines Dienstleisters mit ab und macht im eigenen Eintrag weiter, wenn der Absender dort nicht passt. redirect übergibt die ganze Entscheidung an eine andere Domain, ein all am Ende entfällt dann. redirect passt, wenn mehrere Domains denselben Eintrag haben sollen: einer wird gepflegt, die anderen verweisen darauf.

Speichert der SPF-Generator meine Eingaben?

Nein. Domain, Hosts und IP-Adressen gehen erst mit deinem Klick an unseren Server und werden dort nur verwendet, um den Eintrag zu bauen und zu prüfen. Wir legen keine Liste der Domains an, es gibt keine Anmeldung und keine Cookies. Was genau übertragen wird, steht in der Datenschutzerklärung.

Wie MailBridge in den SPF-Eintrag kommt

MailBridge ist ein SMTP-Relay: Geräte und Anwendungen geben ihre Mail an unsere Server ab, und die versenden sie über deine Absenderdomain. Im SPF-Eintrag steht dafür ein einziges include:spf.spamgo.de, egal wie viele Server wir betreiben und ob wir einen austauschen. Der Generator setzt es nur, wenn du das Kästchen dafür ankreuzst; für alle anderen Absender funktioniert er genauso.

Im Portal steht für jede Domain der gefundene und der erwartete SPF-Eintrag nebeneinander. Ist schon einer vorhanden, ergänzt das Portal unser include: und lässt die Angaben anderer Absender stehen. Alle Domains werden täglich nachgeprüft.

Standards und Stand dieser Seite

Herausgeber dieser Seite ist MailBridge, ein Dienst der LOGIN SystemHaus GmbH in Wiesbaden. Alle Server stehen in Deutschland.

SPF ist in RFC 7208 (2014) festgelegt. Die Grenze von zehn DNS-Abfragen und die von zwei leeren Abfragen stehen in Abschnitt 4.6.4, das Verbot mehrerer SPF-Einträge in Abschnitt 3.2, das Zusammensetzen langer Einträge aus mehreren Zeichenketten in Abschnitt 3.3 und die Empfehlung zur Größe in Abschnitt 3.4. Die Empfehlung, auf ptr zu verzichten, steht in Abschnitt 5.5, die Regel, dass redirect= neben einem all nicht greift, in Abschnitt 6.1. Die Länge von 255 Zeichen je Zeichenkette geht auf RFC 1035, Abschnitt 3.3, zurück.

Zuletzt geprüft am 11. Oktober 2026.