SPF-Einträge verwalten

Der SPF-Eintrag autorisiert Server für die SMTP-Identität MAIL FROM oder in manchen Fällen HELO. Er authentifiziert nicht unbedingt die sichtbare Adresse in From. Ist der Server nicht autorisiert, hängt das Ergebnis von der veröffentlichten Richtlinie ab; der Empfänger entscheidet über die Behandlung nach seiner eigenen Richtlinie und der übrigen Authentifizierung. SPF hilft gegen Identitätsfälschung, garantiert aber nicht die Zustellung.

In den meisten Fällen müssen Sie den von Email Deliverability empfohlenen Wert nicht ändern. Prüfen Sie dort die SPF- und DKIM-Einträge sowie den PTR-Status. Der abschließende Qualifier wie -all oder ~all gehört zur jeweiligen Richtlinie und sollte nicht geändert werden, ohne alle Versandquellen zu prüfen.

Wenn E-Mails allerdings auch über einen externen Anbieter versendet werden, müssen Sie dem SPF genau die Autorisierung hinzufügen, die dieser Anbieter angibt.

Prüfen Sie vor der Bearbeitung, welche DNS-Server für die Domain autoritativ sind. Nutzt sie unsere DNS, können Sie den Eintrag in cPanel verwalten; nutzt sie Cloudflare oder einen anderen Anbieter, muss die Änderung dort erfolgen. Es darf nur einen TXT-Eintrag geben, der mit v=spf1 beginnt: Nehmen Sie neue Autorisierungen in diesen Eintrag auf und veröffentlichen Sie keinen zweiten SPF.

Öffnen Sie dazu in cPanel Email Deliverability und klicken Sie bei der zu ändernden Domain auf Manage.

Suchen Sie dann den Abschnitt SPF und öffnen Sie Customize. Fügen Sie nur die Mechanismen hinzu, die der externe Anbieter angibt, etwa seine IP-Adressen oder Include-Domains.

Werden die Nachrichten zum Beispiel über Google Workspace versendet, fügen Sie _spf.google.com zur Liste der Includes hinzu.

Fügen Sie Google nicht zum SPF hinzu, nur weil Sie Ihre E-Mails in Gmail abrufen. Wenn die Option Senden als die Nachricht über den SMTP-Server von Hostsuar zustellt, bleibt Hostsuar der sendende Server und nicht Google. Versendet Gmail sie über seine eigenen Server, verhindert das Hinzufügen von Google den Spam-Ordner ebenfalls nicht: Das erklären wir hier.

Speichern Sie die Anpassung und prüfen Sie anschließend den im autoritativen DNS veröffentlichten TXT-Eintrag. Zählen Sie auch die DNS-Abfragen, die include, a, mx, redirect und exists auslösen: Eine SPF-Auswertung darf zehn nicht überschreiten, verschachtelte Mechanismen eingeschlossen. Schlägt der Anbieter mehrere include vor, prüfen Sie die Summe, bevor Sie sie hinzufügen. Unser SPF-Checker liest den Eintrag live von den autoritativen Servern, verfolgt jedes include bis zum Ende und nennt Ihnen die Anzahl.

Die Änderung prüfen, ohne die Richtlinie aufzuweichen

Sichern Sie den vorherigen Wert und testen Sie eine Nachricht von jedem Absender: normale E-Mail, Website, Shop, CRM und Kampagnen. Prüfen Sie beim Empfänger das SPF-Ergebnis und die Domain, auf die es sich bezieht. Verwendet der Dienst eine eigene Return-Path-Domain, spielt eine Änderung am SPF Ihrer sichtbaren Domain für diese Prüfung möglicherweise keine Rolle.

Verwenden Sie nicht +all, um einen Fehler verschwinden zu lassen: Damit autorisieren Sie jeden Absender. Kopieren Sie auch nicht die IP-Adressen, die ein include heute auflöst, um es durch eine feste Liste zu ersetzen; der Anbieter kann sie ändern. Prüfen Sie das Abfragelimit und entfernen Sie nur Quellen, von denen Sie sicher wissen, dass sie nicht mehr senden.

SPF ersetzt DKIM nicht und kann nach einer Weiterleitung fehlschlagen. Um herauszufinden, warum eine Nachricht abgelehnt wurde, bewahren Sie die tatsächliche Fehlermeldung auf und prüfen Sie auch das DMARC-Alignment.