SPF Record Generator und Checker
Prüf deinen SPF-Eintrag über jedes include mit der 10-Abfragen-Zählung, die Empfänger nutzen. Dann bau einen Eintrag aus den offiziellen includes deiner Absender oder fass mehrere zusammen. Kostenlos, ohne Anmeldung, nichts wird gespeichert.
Deine Domain
Probier es aus: salesforce.com, paypal.com
SPF-Eintrag erstellen oder zusammenfassen
Wähl, wer für dich Mails sendet. Jedes include stammt aus der Doku des Absenders; Absender, die keins brauchen, sagen es. Die Abfragen werden live gezählt.
Durch Kommas oder Leerzeichen trennen; IPv6 geht auch.
Jedes weitere include, exists oder redirect. Eine reine Domain wird zum include.
Beides funktioniert mit DMARC. Microsoft empfiehlt -all; Googles Beispiel nutzt ~all.
Mehrere SPF-Einträge zu einem zusammenfassen
Jeder Mechanismus bleibt einmal erhalten; die Abschlüsse werden zu einem.
Was ist SPF?
SPF (Sender Policy Framework) ist ein TXT-Eintrag auf deiner Domain, der die Server nennt, die Mails für sie senden dürfen. Empfänger prüfen den sendenden Server gegen die Domain im Return-Path (dem Umschlag-Absender); um die sichtbare Absenderadresse kümmert sich DMARC.
Deshalb braucht DMARC SPF oder DKIM für eine Domain, die zur Absenderadresse passt. Bei Account Engagement (Pardot) und den meisten Mailtools ist das DKIM, weil sie mit eigenem Return-Path senden.
- Liegt unter
- der Domain selbst (@)
- Beginnt mit
v=spf1- Einträge pro Name
- genau einer
- Abfrage-Limit
- 10, davon 2 ohne Antwort
- Standard
- RFC 7208 (2014)
Das Limit von 10 Abfragen
Empfänger hören bei 10 auf. Darüber ist SPF ein dauerhafter Fehler, und die Mail fällt durch, als hättest du keinen Eintrag.
- 10DNS-Abfragen pro Prüfung, jedes include mit allem, was darin steckt
- 2Abfragen ohne Antwort (void lookups)
| Teil | Kostet eine Abfrage | Hinweis |
|---|---|---|
include: | Ja, plus alles darin | Der übliche Grund für zu viele Abfragen |
a, mx | Ja | mx darf höchstens 10 Mailserver ergeben |
ptr | Ja | Soll nicht genutzt werden (RFC 7208, 5.5) |
exists: | Ja | Oft mit Makros, wie im include von Salesforce |
redirect= | Ja | Wird ignoriert, wenn der Eintrag ein all hat |
ip4, ip6, all | Nein | Adressen kosten nichts |
Abfragen ohne Antwort (void lookups) sind auf zwei begrenzt.
Zu viele Abfragen beheben
In dieser Reihenfolge. Die meisten Einträge kommen mit den ersten drei unter 10.
- 1
Finde, was am meisten kostet
Prüf oben deine Domain: Der Baum zeigt jedes include mit seinen eigenen und allen Abfragen.
- 2
Entfern Absender, die du nicht mehr nutzt
Alte Newsletter-Tools und CRMs bleiben oft jahrelang im Eintrag. Google rät, includes von Diensten zu entfernen, die nicht mehr senden.
- 3
Streich includes, die niemand braucht
Pardot, Marketing Cloud Next, Mailchimp, Postmark und Klaviyo bestehen SPF mit eigenem Return-Path. Ihr include kostet nur Abfragen.
- 4
Gib einem Absender eine eigene Subdomain
news.beispiel.de bekommt einen eigenen SPF-Eintrag mit eigenen 10 Abfragen. Microsoft schlägt das für Massenmails vor.
- 5
Flatten nur als letzter Ausweg
Includes durch IP-Adressen zu ersetzen spart Abfragen, bricht aber, sobald ein Anbieter Server ändert. Der Checker zeigt, was es für deinen Eintrag hieße.
Das richtige include pro Absender
Aus der Doku jedes Anbieters, geprüft am 16. und 17. Oktober 2026. Mehrere brauchen gar kein include.
| Absender | Was in SPF gehört | Quelle |
|---|---|---|
| Google Workspace | include:_spf.google.com | Google, Okt. 2026 (öffnet in neuem Tab) |
| Microsoft 365 | include:spf.protection.outlook.com | Microsoft, Juli 2026 (öffnet in neuem Tab) |
| Salesforce (Sales und Service Cloud) | include:_spf.salesforce.com | Salesforce, Okt. 2026 (öffnet in neuem Tab) |
| Account Engagement (Pardot) | Nichts: besteht SPF von selbst | Salesforce, Apr. 2026 (öffnet in neuem Tab) |
| Marketing Cloud Next | Nichts: Der Bounce-CNAME deckt SPF ab | Salesforce, Sep. 2026 (öffnet in neuem Tab) |
| HubSpot | include:<konto>.spf0X.hubspotemail.net, pro Konto | HubSpot, Sep. 2026 (öffnet in neuem Tab) |
| SendGrid | include:sendgrid.net, nur mit automatischer Sicherheit aus | Twilio, Aug. 2026 (öffnet in neuem Tab) |
| Mailgun, Mailjet | include:mailgun.org, include:spf.mailjet.com | Mailgun (öffnet in neuem Tab), Mailjet, Juli 2026 (öffnet in neuem Tab) |
| Zoho Mail | include:zohomail.com | Zoho, Okt. 2026 (öffnet in neuem Tab) |
| Zendesk, Freshdesk | include:mail.zendesk.com (smtp. und support.zendesk.com sind veraltet), include:email.freshdesk.com | Zendesk, Okt. 2026 (öffnet in neuem Tab), Freshdesk (öffnet in neuem Tab) |
| Mailchimp, Postmark, Klaviyo, Brevo | Nichts: eigener Return-Path oder DKIM deckt es ab | Mailchimp (öffnet in neuem Tab), Postmark (öffnet in neuem Tab), Klaviyo (öffnet in neuem Tab), Brevo (öffnet in neuem Tab) |
| Amazon SES | Nichts auf der Domain; mit eigenem MAIL FROM include:amazonses.com auf dieser Subdomain | AWS (öffnet in neuem Tab) |
SPF-Flattening, ehrlich erklärt
Es löst die Zählung und schafft ein neues Risiko.
- Was es tut
Adressen statt includes
Flattening ersetzt includes durch die IP-Adressen dahinter, damit sie keine Abfragen kosten.
- Das Risiko
Anbieter ändern Server
Ein flacher Eintrag ist eine Momentaufnahme. Fügt ein Absender einen Server hinzu, scheitert dessen Mail an SPF, bis du aktualisierst. Microsoft rät, Microsoft 365 nicht zu flachen und flache Einträge mindestens vierteljährlich zu prüfen.
- Unser Rat
Erst entfernen, weglassen, aufteilen
Die meisten Einträge kommen ohne unter 10. dmarcian hat seine eigene Flattening-Funktion eingestellt und nennt sie eine Notlösung. Einträge mit Makros, etwa der von Salesforce, lassen sich gar nicht flachen.
~all, -all oder etwas anderes?
Der Abschluss sagt, was mit Servern passiert, die der Eintrag nicht nennt. Mit DMARC entscheidet DMARC, was mit der Mail passiert.
-all. Fail: Andere Server sind nicht erlaubt. Microsoft empfiehlt es.~all. Soft Fail: wahrscheinlich nicht erlaubt. Googles Beispiel endet so.?all. Neutral: keine Aussage über andere Server. Vermeide es.+all. Pass: Jeder Server im Internet darf in deinem Namen senden. Nie verwenden.
Für Pardot und Marketing Cloud Next
Was die Salesforce-Hilfe zu SPF sagt, geprüft am 17. Oktober 2026.
Account Engagement (Pardot)
Pardot-Mails bestehen SPF von selbst: Laut Salesforce ist kein SPF-Eintrag nötig, und aspmx.pardot.com steht in keiner aktuellen Hilfe. Der Return-Path ist eine Salesforce-Domain, SPF passt also nicht zur Absenderadresse; DMARC besteht über DKIM (Selektor 200608).
Marketing Cloud Next
SPF kommt mit dem Bounce-CNAME der authentifizierten Domain; Salesforce verwaltet es, ein zusätzlicher SPF-Eintrag ist nicht nötig. Mails aus Sales oder Service Cloud sind anders: Sie brauchen include:_spf.salesforce.com.
Häufige Fragen zu SPF-Einträgen
Kurze Antworten auf das, was Leute zu SPF fragen.
Darf ich zwei SPF-Einträge haben?
Nein. Hat ein Name mehr als einen Eintrag mit v=spf1, liefert SPF für jede Mail einen dauerhaften Fehler. Fass sie zu einem zusammen.
Wie fasse ich zwei SPF-Einträge zusammen?
Füge beide unter „Mehrere SPF-Einträge zusammenfassen“ im Generator ein. Jeder Mechanismus bleibt einmal, der Eintrag bekommt einen Abschluss. Prüf dann die Zählung: Zwei Einträge mit je 6 Abfragen ergeben 12.
Wie behebe ich „SPF permerror: too many DNS lookups“?
Entfern includes von Diensten, die du nicht mehr nutzt, streich includes für Absender, die keins brauchen (Pardot, Marketing Cloud Next, Mailchimp), und zieh einen Absender auf eine eigene Subdomain um. Flatten nur als letzter Ausweg.
Soll mein SPF-Eintrag mit ~all oder -all enden?
Beides funktioniert mit DMARC. Microsoft empfiehlt -all; Googles Beispiel nutzt ~all. Nie +all verwenden.
Muss Pardot in meinen SPF-Eintrag?
Nein. Laut Salesforce bestehen Account-Engagement-Mails SPF von selbst. Für DMARC zählt der DKIM-Schlüssel (Selektor 200608).
Gilt der SPF-Eintrag der Domain auch für Subdomains?
Nein. SPF wird für die genaue Domain im Return-Path geprüft; eine Subdomain, die sendet, braucht ihren eigenen Eintrag.
Was ist ein Void Lookup?
Eine Abfrage, die nichts findet, etwa ein include auf einen Namen, den es nicht mehr gibt. Nach mehr als zweien sollen Empfänger SPF scheitern lassen.
Wird die geprüfte Domain gespeichert?
Nein. Dein Browser schickt die Namen an unseren Server, der einen öffentlichen DNS-Resolver fragt. Nichts wird gespeichert, keine Domain protokolliert, und der Resolver sieht deine IP-Adresse nie.
Mehr kostenlose Tools
Wir sorgen dafür, dass dein Salesforce-Marketing für dich arbeitet
Du sprichst mit einem zertifizierten Berater, nicht mit dem Vertrieb, und weißt nach dem ersten Gespräch, was als Nächstes kommt.