Mehrere SPF-Einträge auf einer Domain

Was das bedeutet

SPF ist ein TXT-Eintrag in deinem DNS, der mit v=spf1 beginnt. Laut den Regeln darf eine Domain nur einen solchen Eintrag haben. Findet ein empfangender Server zwei, weiß er nicht, welchem er vertrauen soll. Er gibt auf und meldet einen „permerror“ (permanenter Fehler).

Das passiert meist, wenn du einen neuen Dienst hinzufügst und seiner Anleitung wörtlich folgst: „Füge diesen TXT-Eintrag hinzu“. Am Ende hast du einen Eintrag für deinen Postfach-Anbieter und einen weiteren für dein Newsletter-Tool.

Warum das wichtig ist

Mit zwei SPF-Einträgen scheitert SPF für alle deine E-Mails, nicht nur für den neuen Dienst. Deine Nachrichten verlieren einen wichtigen Identitätsnachweis, DMARC kann scheitern, und die Zustellung bei Gmail und Outlook leidet.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. SPF zeigt „permerror“, wenn mehrere Einträge gefunden werden.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Der Domain-Scanner zeigt jeden gefundenen SPF-Eintrag, sodass du sie nebeneinander sehen kannst.

So behebst du es

1. Öffne deinen DNS-Anbieter und sieh dir alle TXT-Einträge auf der Domain selbst an (Host @ oder leer).
2. Finde jeden Eintrag, der mit v=spf1 beginnt. Andere TXT-Einträge (Google-Website-Bestätigung usw.) sind in Ordnung und müssen bleiben.
3. Fasse sie zu einer Zeile zusammen. Behalte ein einziges v=spf1 am Anfang, setze alle include:, ip4: und anderen Teile in die Mitte und ein einziges ~all oder -all ans Ende.
4. Speichere den zusammengefassten Eintrag und lösche die anderen.

Beispiel

Vorher, zwei Einträge:

v=spf1 include:_spf.google.com ~all
v=spf1 include:servers.mcsv.net ~all

Nachher, ein Eintrag:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Tipps

• Wenn die beiden Einträge unterschiedlich enden (~all und -all), behalte ~all, bis du sicher bist, dass alle deine Absender aufgeführt sind.
• Alte Einträge vom Typ „SPF“ (nicht TXT) sind veraltet. Wenn dein DNS-Anbieter noch einen anzeigt, lösch ihn und behalte nur den TXT-Eintrag.
• Wenn du viele Dienste zusammenfasst, kannst du über die Grenze von 10 DNS-Lookups kommen. Der Domain-Scanner zeigt die Anzahl: Bleib bei 10 oder darunter.
• Subdomains sind getrennt: yourdomain.com und news.yourdomain.com können jeweils ihren eigenen, einzigen SPF-Eintrag haben.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner erneut: Es sollte nur ein SPF-Eintrag erscheinen, als gültig markiert. Sende dann eine Test-E-Mail über die Startseite. SPF sollte jetzt bestanden sein.