SPF scheitert: Der sendende Server ist nicht berechtigt

Was das bedeutet

Deine Domain hat einen SPF-Eintrag, also die Liste der Server, die E-Mails für dich senden dürfen. Die getestete E-Mail kam aber von einem Server, der nicht auf dieser Liste steht. Der Empfänger hält sie für eine mögliche Fälschung.

Das Ergebnis wird als „fail“ (dein Eintrag endet mit -all) oder „softfail“ (dein Eintrag endet mit ~all) angezeigt.

Warum das wichtig ist

Ein gescheitertes SPF ist ein starkes Spam-Signal. Wenn DKIM die Lage nicht rettet, scheitert auch DMARC, und deine E-Mail kann im Spam landen oder abgelehnt werden. Meist heißt das, dass eines deiner Versand-Tools beim Einrichten von SPF vergessen wurde.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die SPF-Zeile zeigt die IP-Adresse des Servers, der die E-Mail gesendet hat, und welche Domain geprüft wurde.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Der Abschnitt „Versand-Infrastruktur“ im Bericht zeigt dir außerdem, von welchem Anbieter die E-Mail kam. Das ist dein Hinweis.

So behebst du es

1. Finde den Absender. Kam der Test von deinem normalen Postfach, deiner Website, deinem Shop, einem Newsletter-Tool oder einem Drucker/Scanner? Sieh dir den Anbieternamen und die IP-Adresse im Bericht an.
2. Finde den SPF-Wert dieses Dienstes auf seinen Hilfeseiten. Suche nach „SPF“ plus dem Namen des Dienstes.
3. Füge ihn deinem bestehenden SPF-Eintrag hinzu. Leg keinen zweiten Eintrag an: Bearbeite den, den du schon hast.

Beispiele

Du nutzt Google Workspace und hast dein Newsletter-Tool vergessen:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Deine Website sendet Kontaktformular-E-Mails von ihrem eigenen Server mit der IP 203.0.113.10:

v=spf1 include:spf.protection.outlook.com ip4:203.0.113.10 -all

Häufige Situationen

• Wechsel zu einem neuen Anbieter: Im SPF steht noch der alte. Ersetze ihn durch das neue Include.
• Microsoft 365: Der Wert ist include:spf.protection.outlook.com.
• Google Workspace: Der Wert ist include:_spf.google.com.
• Website (WordPress, Shop): Diese senden oft direkt vom Webhoster. Besser ist es, die Website mit einem SMTP-Plugin über deinen Postfach-Anbieter oder einen E-Mail-Dienst senden zu lassen, dann ist sie schon abgedeckt.
• Weiterleitung: Wenn eine E-Mail von einem anderen Server weitergeleitet wird, kann SPF scheitern, obwohl alles richtig ist. DKIM übersteht Weiterleitungen, also sorge dafür, dass auch DKIM eingerichtet ist.

Welche Domain wird geprüft?

SPF prüft den versteckten „Envelope“-Absender (auch Return-Path genannt), nicht immer die Adresse, die die Leute sehen. Viele Newsletter-Tools tragen dort ihre eigene Domain ein. Dann besteht SPF für deren Domain, und du brauchst DKIM auf deiner eigenen Domain, damit DMARC besteht. Siehe die Anleitung zur DMARC-Ausrichtung.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Sende eine neue Test-E-Mail über denselben Dienst, der gescheitert ist. Der Bericht sollte jetzt zeigen, dass SPF für die sendende IP bestanden ist. Wenn du mehrere Tools nutzt, teste jedes einzeln.