Hilfe & Fehlerbehebung
SPF
Worum es geht
SPF (Sender Policy Framework) ist ein TXT-Eintrag, der die Server auflistet, die E-Mails für deine Domain senden dürfen. Empfänger prüfen den sich verbindenden Server gegen die Liste; kombiniert mit DMARC verhindert es, dass andere deine Adresse fälschen.
So liest du dein Ergebnis
Ein Eintrag, der mit v=spf1 beginnt, Mechanismen für jeden legitimen sendenden Dienst und ein abschließendes all-Qualifizierer — idealerweise ~all oder -all. Achte auf die Anzahl der DNS-Abfragen: Die Mechanismen include/a/mx/exists dürfen zusammen höchstens 10 ergeben.
Häufige Probleme und wie du sie behebst
Mehr als 10 DNS-Abfragen (permerror)
Wie es sich zeigt: SPF wird bei Empfängern als permanenter Fehler ausgewertet; die Authentifizierung schlägt fehl, obwohl der Eintrag "richtig aussieht". Häufig, nachdem mehrere SaaS-Includes gestapelt wurden.
So behebst du es: Entferne Includes für Dienste, die du nicht mehr nutzt, ersetze a/mx wo praktikabel durch explizite ip4/ip6, oder nutze das SPF-Flattening-Tool, um Includes in reine IPs aufzulösen (dann regelmäßig neu flatten, da sich Anbieter-Bereiche ändern).
Legitime Mail scheitert, weil ein sendender Dienst fehlt
Wie es sich zeigt: Mail von einem Tool (Helpdesk, Newsletter, CRM) landet im Spam oder wird zurückgewiesen, während andere Mail in Ordnung ist.
So behebst du es: Füge den dokumentierten Include (oder die IP-Bereiche) dieses Anbieters zum bestehenden Eintrag hinzu. Erstelle nie einen zweiten v=spf1-Eintrag — erweitere den einen Eintrag.
Eintrag endet mit +all oder ?all
Wie es sich zeigt: Jeder überall besteht SPF für deine Domain — Spammer eingeschlossen; die Reputation deiner Domain erodiert.
So behebst du es: Verschärfe die Richtlinie: ~all (Softfail), während du deine Absenderliste validierst, dann -all, sobald du sicher bist, dass jede legitime Quelle enthalten ist.
SPF korrekt, aber weitergeleitete Mail scheitert trotzdem
Wie es sich zeigt: Über Weiterleiter (Mailinglisten, Universitätsweiterleitungen) geroutete Mail scheitert an SPF beim endgültigen Empfänger.
So behebst du es: Das ist systembedingt: Weiterleitung bricht SPF, weil die IP des Weiterleiters nicht in deinem Eintrag steht. Setze DKIM ein (das die Weiterleitung übersteht) plus DMARC, damit Nachrichten sich über DKIM authentifizieren, selbst wenn SPF scheitert.