FORMALITY SPF-Check

Wer darf in Ihrem Namen E-Mails versenden?

Unser SPF-Check zeigt Ihnen, ob der SPF-Eintrag Ihrer Domain gültig ist, wie viele DNS-Lookups er verbraucht und welche Server für Sie senden dürfen. Kostenlos und ohne Anmeldung.

SPF-Eintrag prüfen

Prüfen Sie kostenlos, ob der SPF-Eintrag Ihrer Domain gültig ist, wie viele DNS-Lookups er verbraucht und ob ein bestimmter Mailserver für die Domain senden darf.

Wir speichern die geprüfte Domain nicht. Zum Schutz vor Missbrauch verarbeiten wir einen pseudonymisierten Prüfwert Ihres IP-Bereichs. Er gilt eine Stunde und wird danach bei der nächsten Prüfung gelöscht. Für die Abfrage wird der Domainname an einen DNS-Resolver übermittelt.

Was prüft dieser SPF-Check?

SPF (Sender Policy Framework) ist ein TXT-Eintrag im DNS Ihrer Domain. Darin legen Sie fest, welche Server E-Mails für diese Domain versenden dürfen. Empfänger vergleichen beim Eingang einer E-Mail die IP-Adresse des einliefernden Servers mit diesem Eintrag.

Unser Tool liest den Eintrag aus und wertet ihn in zwei Schritten aus:

Eintragsanalyse: Syntax, Mehrfacheinträge, DNS-Lookups, Void Lookups, Abschluss mit all und alle eingebundenen include-Einträge.
Test einer Absender-IP (optional): das Ergebnis, das ein Empfänger für diese IP erhalten würde, zum Beispiel pass oder softfail.

Die Analyse bewertet den Eintrag selbst. Ob eine einzelne E-Mail SPF besteht, hängt zusätzlich vom sendenden Server ab und lässt sich nur mit dessen IP sagen.

Warum ist ein gültiger SPF-Eintrag wichtig?

Zustellbarkeit: Empfänger berücksichtigen SPF bei ihrer Spam-Bewertung.
Schutz vor Missbrauch: Fremde Server können die Domain schwerer als Absender nutzen.
Grundlage für DMARC: SPF liefert neben DKIM eines der beiden Prüfergebnisse für DMARC.

Google und Yahoo verlangen von allen Absendern SPF oder DKIM. Massenversender benötigen SPF, DKIM und DMARC. Bei Google gilt das ab 5.000 E-Mails pro Tag, bei Microsoft für Absender mit mehr als 5.000 E-Mails pro Tag an Outlook-Adressen.

So ist ein SPF-Eintrag aufgebaut

v=spf1 mx ip4:198.51.100.25 include:_spf.beispiel-dienst.de ~all

Bestandteil	Bedeutung
`v=spf1`	Version. Muss am Anfang stehen.
`ip4:`, `ip6:`	Erlaubt einzelne Adressen oder Netze. Kein DNS-Lookup.
`a`, `mx`	Erlaubt die Adressen der Domain oder ihrer Mailserver. Je 1 Lookup.
`include:`	Übernimmt die Freigaben einer anderen Domain, zum Beispiel eines Newsletter-Dienstes. Mindestens 1 Lookup.
`redirect=`	Verwendet den Eintrag einer anderen Domain. Mindestens 1 Lookup.
`~all`, `-all`	Regel für alle übrigen Server. Steht am Ende.

Mögliche Ergebnisse

Diese Ergebnisse entstehen, wenn ein Empfänger den Eintrag für einen konkreten Server auswertet:

Ergebnis	Bedeutung
`pass`	Der Server ist autorisiert.
`fail`	Der Server ist ausdrücklich nicht autorisiert (`-all`). Was mit der E-Mail geschieht, entscheidet der Empfänger.
`softfail`	Der Server ist wahrscheinlich nicht autorisiert (`~all`). Die E-Mail wird meist angenommen, aber kritischer bewertet.
`neutral`	Die Domain trifft keine Aussage (`?all` oder kein `all`).
`none`	Es gibt keinen SPF-Eintrag.
`permerror`	Der Eintrag ist dauerhaft nicht auswertbar, zum Beispiel wegen eines Syntaxfehlers, mehrerer SPF-Einträge oder zu vieler Lookups.
`temperror`	Vorübergehender DNS-Fehler. Der Empfänger stellt die E-Mail meist zurück, und der sendende Server versucht es später erneut.

Häufige Fehler beheben

Befund	Ursache	Lösung
Kein SPF-Eintrag	Kein TXT-Eintrag mit `v=spf1`	Eintrag anlegen. Versendet die Domain keine E-Mails: `v=spf1 -all`
Mehrere Einträge	Zwei oder mehr TXT-Einträge mit `v=spf1`, oft nach einem Anbieterwechsel	Alle Angaben in einem Eintrag zusammenführen
Mehr als 10 Lookups	Zu viele `include`, `a`, `mx`, `ptr`, `exists` oder `redirect`	Ungenutzte Dienste entfernen, feste IP-Angaben nutzen oder Dienste auf Subdomains auslagern
Syntaxfehler	Tippfehler wie `ipv4:` statt `ip4:` oder `include=` statt `include:`	Schreibweise korrigieren und erneut prüfen
Void Lookups	Verweise auf Namen ohne DNS-Daten, oft Reste alter Dienste	Veraltete Verweise entfernen
`+all` oder `?all`	Eintrag schützt nicht oder kaum	Auf `~all` oder `-all` umstellen

~all oder -all?

Beginnen Sie mit ~all, bis alle Absender erfasst sind. Das sind neben Ihrem Mailserver oft auch Newsletter-Tools, Shops, CRM-Systeme und Ticketsysteme. Ein Wechsel auf -all ist danach möglich, aber nicht zwingend besser: Manche Server lehnen eine E-Mail bei -all direkt ab, bevor eine gültige DKIM-Signatur für DMARC zählen kann. Wie mit Fälschungen umzugehen ist, steuern Sie deshalb am besten über DMARC.

Wo SPF an Grenzen stößt

Weiterleitungen: Leitet ein Server eine E-Mail weiter, sendet er sie mit seiner eigenen IP. SPF schlägt dann häufig fehl. DKIM übersteht die Weiterleitung in der Regel.
Subdomains: Subdomains erben den Eintrag der Hauptdomain nicht. Jede sendende Subdomain benötigt einen eigenen Eintrag.
Sichtbarer Absender: SPF prüft die Absenderadresse im SMTP-Dialog (Return-Path), nicht die Absenderzeile, die Empfänger sehen. Diese schützt erst DMARC.
SPF-Flattening: Das Auflösen von Einträgen in IP-Adressen spart Lookups. Ändert ein Anbieter seine Adressen, veraltet der Eintrag jedoch, wenn er nicht automatisch aktualisiert wird.

Häufige Fragen zum SPF-Check

Mein SPF-Eintrag ist gültig, aber meine E-Mails landen im Spam. Woran liegt das?

SPF ist nur ein Faktor. Häufige Gründe sind eine fehlende DKIM-Signatur, ein fehlgeschlagener DMARC-Abgleich, ein Eintrag der IP-Adresse auf einer Blockliste, eine schlechte Reputation der Domain oder der Inhalt der E-Mail.

Darf eine Domain mehrere SPF-Einträge haben?

Nein. Eine Domain darf nur einen TXT-Eintrag haben, der mit v=spf1 beginnt. Bei mehreren Einträgen entsteht unabhängig vom Inhalt ein PermError. Andere TXT-Einträge, etwa zur Domain-Verifizierung, sind davon nicht betroffen.

Was bedeutet die Grenze von 10 DNS-Lookups?

Bei der Auswertung dürfen höchstens 10 Mechanismen und Modifikatoren eine DNS-Abfrage auslösen. Dazu zählen include, a, mx, ptr, exists und redirect, auch innerhalb eingebundener Einträge. ip4, ip6 und all zählen nicht. Empfänger prüfen nur bis zum ersten Treffer, deshalb kann ein zu langer Eintrag bei einem Server funktionieren und bei einem anderen fehlschlagen.

Was sind Void Lookups?

Das sind Abfragen ohne Ergebnis, etwa auf nicht mehr vorhandene Namen. RFC 7208 empfiehlt, höchstens 2 davon zuzulassen. Darüber hinaus können Empfänger mit PermError antworten.

Was ist der Unterschied zwischen ~all und -all?

~all kennzeichnet nicht aufgeführte Server als wahrscheinlich nicht autorisiert, -all als nicht autorisiert. In beiden Fällen entscheidet der Empfänger, was mit der E-Mail geschieht.

Schützt SPF die Absenderadresse, die ich im Postfach sehe?

Nein. SPF prüft die Absenderadresse im SMTP-Dialog (Return-Path oder Envelope From). Die sichtbare Absenderzeile schützt DMARC, wenn SPF oder DKIM bestehen und zur sichtbaren Domain passen.

Braucht eine Domain ohne E-Mail-Versand einen SPF-Eintrag?

Ja, das ist sinnvoll. Mit v=spf1 -all erklären Sie, dass kein Server für diese Domain senden darf. Das erschwert den Missbrauch ungenutzter Domains.

Wie schnell wirkt eine Änderung am SPF-Eintrag?

Das hängt von der TTL des Eintrags ab. Bis sie abgelaufen ist, können Resolver noch die alte Fassung ausliefern. Unser Tool zeigt die restliche TTL laut Resolver an.