SPF-Check: SPF-Eintrag prüfen und Lookups zählen
Prüfe, ob der SPF-Eintrag deiner Domain gültig ist, welche Server in deinem Namen senden dürfen und ob du unter dem Limit von 10 DNS-Lookups bleibst.
SPF-Eintrag prüfen
Gib die Domain ein, mit der du E-Mails verschickst, zum Beispiel deine-domain.de.
Die Abfrage läuft über den DNS-Resolver Quad9 (Schweiz). Wir speichern die geprüfte Domain und eine anonymisierte IP-Adresse höchstens 30 Tage.
So funktioniert SPF
Was ist SPF?
Das Sender Policy Framework ist ein TXT-Eintrag, der mit v=spf1 beginnt. Darin legst du fest, welche Server E-Mails mit deiner Domain als Absender verschicken dürfen. Der empfangende Server vergleicht die IP-Adresse des einliefernden Servers mit dieser Liste und weiß dann, ob die Mail von einem erlaubten Absender kommt.
Mechanismen und das Ende des Eintrags
ip4: und ip6: erlauben feste Adressen, a und mx die Server hinter deinen A- und MX-Einträgen, und include: übernimmt den SPF-Eintrag eines Dienstleisters, etwa deines Newsletter-Tools. Am Ende steht all mit einem Qualifier: -all lehnt alle anderen ab, ~all markiert sie als verdächtig. +all erlaubt jeden Server der Welt und macht SPF wirkungslos.
Das Limit von 10 DNS-Lookups
Jedes include, a, mx, exists, ptr und redirect kostet den Empfänger eine DNS-Abfrage, auch die in eingebundenen Einträgen. Mehr als 10 sind nicht erlaubt: Der Empfänger bricht dann mit einem Fehler ab, und dein SPF schützt gar nichts mehr. Unser Check verfolgt die komplette Include-Kette und zählt mit.
Typische SPF-Fehler
Mehrere SPF-Einträge
Pro Domain darf es nur einen Eintrag geben, der mit v=spf1 beginnt. Bei zweien werten Empfänger SPF als Fehler. Führe alle Mechanismen in einem Eintrag zusammen.
Mehr als 10 Lookups
Jedes neue Tool bringt ein weiteres include mit. Entferne Dienste, die du nicht mehr nutzt, und ersetze Includes, wo es geht, durch feste ip4-Bereiche.
+all oder ?all am Ende
Mit +all darf jeder in deinem Namen senden, ?all sagt nichts aus. Nutze ~all während der Einrichtung und -all, sobald alle Absender erfasst sind.
Include auf eine Domain ohne SPF
Zeigt ein include auf eine Domain, die keinen SPF-Eintrag (mehr) hat, ist dein gesamter Eintrag ungültig. Das passiert oft, wenn ein Dienstleister seine SPF-Adresse ändert.
Häufige Fragen
Gib oben deine Domain ein. Der SPF-Check zeigt den Eintrag, löst alle Includes auf, zählt die DNS-Lookups und bewertet das Ende mit all. Fehler und Warnungen erklären wir direkt im Ergebnis.
-all ist strenger: Mails von nicht genannten Servern sollen abgelehnt werden. ~all markiert sie nur als verdächtig. Starte mit ~all, prüfe mit DMARC-Berichten, ob alle legitimen Absender erfasst sind, und wechsle dann zu -all.
Der empfangende Server bricht die Prüfung mit einem permanenten Fehler ab (permerror). Je nach Einstellung landen deine Mails dann im Spam oder DMARC schlägt fehl. Reduziere die Zahl der Includes, bis du wieder bei höchstens 10 bist.
Als TXT-Eintrag direkt auf deiner Domain, also ohne Subdomain davor, in der DNS-Verwaltung deines Hosters. Es darf nur einen SPF-Eintrag geben. Ergänze einen bestehenden, statt einen zweiten anzulegen.
Ja, gerade dann. Mit v=spf1 -all sagst du allen Empfängern, dass von deiner Domain nie Mails kommen. Das erschwert Betrügern, deine Domain für Phishing zu missbrauchen.
Nein. SPF prüft nur den technischen Absender, nicht die Adresse, die der Empfänger im From sieht. Erst DMARC verbindet beides und legt fest, was mit gefälschten Mails passiert. Prüfe deshalb auch deinen DMARC-Eintrag.
