Vorhaben besprechen

TOOLBOX · GENERATOR

SPF-EINTRAGERSTELLEN.

Dienste und eigene Server anklicken und den fertigen SPF-Eintrag kopieren, mit Zählung der DNS-Abfragen gegen die Grenze von 10. Läuft nur in Ihrem Browser.

Beispiele

Ein Beispiel übernimmt passende Werte ins Formular. Ihre Domain bleibt erhalten; ohne Domain steht example.at.

Domain

Die Domain in der Absenderadresse. Der Eintrag ist ein TXT-Eintrag direkt an der Domain (Name @ oder leer).

Versendet die Domain E-Mails?
Dienste

Wählen Sie jeden Dienst, der E-Mails mit Ihrer Domain im Absender verschickt. Die Werte stammen aus der Anleitung des Anbieters.

Die Domain aus der SPF-Anleitung des Dienstes (Newsletter, CRM, Buchhaltung), eine je Zeile. include: ergänzt der Generator.

Wählen Sie mindestens einen Dienst oder Server, der E-Mails für die Domain sendet. Versendet die Domain keine E-Mails, wählen Sie das oben aus.

Eigene Server

Server mit fester Adresse am besten als ip4 oder ip6 angeben: Das kostet keine DNS-Abfrage.

Abschluss

Was gilt für alle Server, die nicht im Eintrag stehen?

Abschluss

Ihr SPF-Eintrag

Geben Sie oben Ihre Domain ein oder wählen Sie ein Beispiel. Der Eintrag entsteht hier, während Sie tippen.

Rein im Browser: Dieses Werkzeug sendet Ihre Eingaben nicht an TOMORIS oder Dritte und speichert sie nicht.

SCHRITT FÜR SCHRITT

Ein Eintrag.
Alle Absender.

SPF ist ein TXT-Eintrag im DNS Ihrer Domain. Er nennt die Server, die E-Mails mit Ihrer Domain als technischem Absender senden dürfen. Erst zusammen mit DMARC schützt er auch die Adresse, die Empfänger sehen.

  1. 01

    Absender sammeln

    Postfach-Dienst, Newsletter, CRM, Buchhaltung, Webshop, Scanner und Drucker: Jeder Dienst, der mit Ihrer Domain sendet, gehört in den Eintrag oder sendet von einer eigenen Subdomain.

  2. 02

    Eintrag erzeugen

    Dienste anklicken, eigene Server mit fester Adresse als ip4 oder ip6 eintragen und die Zahl der DNS-Abfragen im Blick behalten.

  3. 03

    Bestehenden Eintrag ersetzen

    Je Domain gibt es genau einen SPF-Eintrag. Zwei Einträge ergeben einen Fehler (RFC 7208, Abschnitt 4.5).

  4. 04

    Prüfen

    Nach dem Veröffentlichen löst der E-Mail-Sicherheits-Check die ganze include-Kette auf und zählt alle Abfragen.

  5. 05

    DMARC ergänzen

    Erst DMARC sagt Empfängern, was mit Fälschungen passiert. Den Eintrag baut der DMARC-Generator.

TYPISCHE FEHLER

Daran scheitert
SPF oft.

  • Zwei SPF-Einträge

    Ein zweiter Eintrag für einen neuen Dienst macht beide unwirksam (permerror). Den neuen Dienst in den bestehenden Eintrag aufnehmen.

  • Mehr als 10 Abfragen

    Jeder include kostet mindestens eine Abfrage, oft mehrere. Über 10 werten Empfänger SPF als Fehler (RFC 7208, Abschnitt 4.6.4).

  • +all oder ?all

    +all erlaubt jedem Server im Internet zu senden, ?all sagt nichts aus. Die BSI TR-03182 verlangt, dass nicht berechtigte Server mindestens softfail ergeben.

  • Tippfehler und Leerzeichen

    „include: spf.protection.outlook.com“ mit Leerzeichen nach dem Doppelpunkt ist ungültig. Der Generator schreibt jede Angabe in der richtigen Form.

  • ptr

    Der Mechanismus ptr soll nicht mehr veröffentlicht werden: Er ist langsam und unzuverlässig (RFC 7208, Abschnitt 5.5). Der Generator bietet ihn nicht an.

  • SPF ohne DMARC

    SPF prüft nur die technische Absenderadresse (Return-Path), nicht die Adresse im Postfach. Gegen gefälschte Absender braucht es DMARC.

QUELLEN UND WEITER

Werte aus der
Anleitung des Anbieters.

Die include-Werte stammen aus der Dokumentation des jeweiligen Anbieters, Stand 25.10.2026. Ändert ein Anbieter seinen Wert, gilt dessen Anleitung.

Weitere Quellen: Brevo, Mailchimp, SendGrid, Amazon SES.

FRAGEN

Gut zu wissen.

Wird meine Eingabe an TOMORIS übertragen?

Nein. Der Generator läuft vollständig in Ihrem Browser und fragt auch kein DNS ab. Domain, Adressen und Dienste werden weder gesendet noch gespeichert.

Warum höchstens 10 DNS-Abfragen?

RFC 7208 begrenzt die Angaben, die beim Empfänger DNS-Abfragen auslösen (include, a, mx, ptr, exists und redirect), auf zusammen 10, eingebundene Einträge mitgezählt (Abschnitt 4.6.4). Werden es mehr, ist das Ergebnis ein Fehler (permerror) und SPF schützt nicht. ip4 und ip6 zählen nicht.

-all oder ~all?

-all erklärt alle nicht genannten Server für nicht berechtigt (fail), ~all nur für wahrscheinlich nicht berechtigt (softfail, RFC 7208, Abschnitt 2.6). Die BSI TR-03182 lässt beides zu, nicht aber ?all oder +all. Beginnen Sie mit ~all, solange Sie noch nicht alle Absender kennen, und stellen Sie dann auf -all um.

Löst der Generator meine include-Einträge auf?

Nein. Er zählt die Abfragen Ihres eigenen Eintrags. Jeder eingebundene Eintrag bringt eigene Abfragen mit, die ebenfalls zählen. Die vollständige Zahl zeigt der E-Mail-Sicherheits-Check, sobald der Eintrag veröffentlicht ist.

Braucht jeder Newsletter-Dienst einen include?

Nein. Mailchimp und Brevo verlangen laut eigener Anleitung für den normalen Versand keinen SPF-Eintrag, sondern DKIM-Einträge (und DMARC). SendGrid und Amazon SES setzen SPF auf eine eigene Subdomain für die Rücklaufadresse. Folgen Sie der Anleitung Ihres Dienstes und tragen Sie nur ein, was dort steht.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen