Wie lassen sich SPF-Einträge zusammenführen?

Wenn Sie GetResponse zusammen mit anderen E-Mail-Diensten (z. B. einem geschäftlichen E-Mail-Anbieter) verwenden, müssen Sie möglicherweise mehr als einen autorisierten Absender zu dem SPF-Eintrag Ihrer Domain hinzufügen.

Ihre Domain kann jedoch nur einen SPF-Eintrag in ihrer DNS-Zone haben.
Wenn mehr als ein SPF-TXT-Eintrag vorhanden ist, schlägt die SPF-Validierung fehl und Nachrichten bestehen möglicherweise die Authentifizierungsprüfung nicht.

Wenn Sie mehrere Dienste autorisieren müssen (z. B. GetResponse und Ihren geschäftlichen E-Mail-Anbieter), müssen Sie alle SPF-Mechanismen in einem einzigen Eintrag zusammenführen.

SPF-Mechanismen verstehen

Sehen wir uns anhand eines Beispiels an, wie das funktioniert: Ihre Domain versendet bereits E-Mails über Google Workspace und hat folgenden SPF-Eintrag:

v=spf1 include:_spf.google.com ~all

Nun möchten Sie Ihre Domain für den Versand von Kampagnen über GetResponse authentifizieren, wofür ein weiterer Eintrag erforderlich ist:

v=spf1 mx a include:_spf.getresponse.com -all

Da Sie keinen zweiten SPF-Eintrag hinzufügen können, müssen Sie beide zusammenführen.

Um zu verstehen, wie das funktioniert, betrachten wir die Bestandteile eines SPF-Eintrags:

• Jeder SPF-Eintrag beginnt mit dem Präfix: v=spf1.
  Dies kennzeichnet den TXT-Eintrag als SPF-Eintrag (Version 1). Obwohl Sie mehrere TXT-Einträge im DNS haben können, darf nur einer v=spf1 enthalten.
• Der a-Mechanismus verwendet standardmäßig den A-Record (die IP-Adresse) der aktuellen Domain. Wenn Sie eine Domain oder einen Hostnamen dahinter angeben (z. B. a:domain.com), wird stattdessen der A-Record (die IP-Adresse) dieser bestimmten Domain verwendet. Dadurch können Sie die IP-Adresse im DNS ändern, ohne den SPF-Eintrag anzupassen. SPF verwendet automatisch die aktualisierte IP-Adresse.
• Der mx-Mechanismus autorisiert die Mailserver, die in den MX-Einträgen Ihrer Domain aufgeführt sind.
  Wenn Ihre Domain E-Mails über ihren eigenen Mailserver versendet, stellt dieser Mechanismus sicher, dass diese Nachrichten SPF bestehen.
• Der include-Mechanismus (z. B. include:_spf.getresponse.com) ermöglicht es, die SPF-Richtlinie einer anderen Domain in Ihre eigene zu übernehmen. In der Praxis bedeutet das: Wenn Sie include:_spf.getresponse.com hinzufügen, erlauben Sie alle sendenden IP-Adressen, die in _spf.getresponse.com aufgeführt sind. Ebenso erlaubt include:_spf.google.com die IP-Adressen, die Google in seinem SPF-Eintrag definiert hat.
• Der all-Mechanismus: Der SPF-Eintrag muss mit einem all-Qualifier enden. Er definiert, was passieren soll, wenn eine Nachricht nicht mit einer autorisierten Quelle übereinstimmt. Es gibt vier verfügbare Qualifier:
  • +all (nicht empfohlen, Standard, selten explizit verwendet)
  • ?all – neutral (nicht empfohlen)
  • -all – Hard Fail (nicht empfohlen, nicht autorisierte E-Mails werden abgelehnt)
  • ~all – Soft Fail (empfohlen, nicht autorisierte E-Mails werden akzeptiert, aber markiert)
    In einem SPF-Eintrag darf nur ein all-Eintrag vorkommen, und er muss am Ende stehen.

SPF-Einträge zusammenführen

Bestehender Eintrag (Google Workspace):

v=spf1 include:_spf.google.com ~all

Anforderung von GetResponse:

v=spf1 mx a include:_spf.getresponse.com -all

So führen Sie beide Einträge zusammen:

1. Behalten Sie das Versionspräfix bei.
   
   v=spf1
   
   
2. Fügen Sie alle erforderlichen Mechanismen hinzu (ohne Duplikate).
   Wenn einer Ihrer Einträge a oder mx enthält, behalten Sie diese bei. Wenn beide sie enthalten, fügen Sie sie nur einmal hinzu.
   
   v=spf1 mx a
   
   
3. Fügen Sie die neue include-Anweisung für GetResponse hinzu und behalten Sie die include-Anweisung des bestehenden Eintrags bei.
   
   v=spf1 mx a include:_spf.google.com include:_spf.getresponse.com
   
   
4. Fügen Sie einen einzelnen all-Mechanismus hinzu. Wir empfehlen dringend die Verwendung von ~all.
   
   v=spf1 mx a include:_spf.google.com include:_spf.getresponse.com ~all

   

Dies ist der finale Eintrag, mit dem Sie Ihren aktuellen Eintrag ersetzen sollten:

v=spf1 mx a include:_spf.google.com include:_spf.getresponse.com ~all

Wichtige Regeln

• Nur ein SPF-Eintrag pro Domain
• Nur ein v=spf1
• Nur ein all-Mechanismus
• Keine doppelten a– oder mx-Einträge
• Überprüfen Sie Ihren aktualisierten SPF-Eintrag stets nach der DNS-Propagation

Das korrekte Zusammenführen von SPF-Einträgen stellt sicher, dass Ihre über GetResponse und andere Dienste versendeten E-Mails die Authentifizierungsprüfung bestehen und hilft, Zustellbarkeit sowie Absenderreputation aufrechtzuerhalten.