SPF Record Generator, DKIM und DMARC Generator für deine Domain

Drei DNS-Einträge, mit denen empfangende Mail-Server prüfen, ob eine Mail wirklich von deiner Domain stammt. SPF listet die Server, die senden dürfen, DKIM signiert jede Mail mit einem Schlüssel, und DMARC legt fest, was mit Mails passiert, die beide Prüfungen nicht bestehen. Gmail und Yahoo verlangen alle drei für Absender mit vielen Mails.

Wähle im Reiter SPF deine Postfach-Anbieter und Versanddienste aus, schalte mx oder a für deinen eigenen Server an und trag weitere IPs oder Hostnamen ein. Der Generator baut daraus einen Record, der mit v=spf1 beginnt und mit ~all, -all oder ?all endet. Pro Domain darf es nur einen SPF-Record geben: Hast du schon einen, lade ihn mit „Vorhandene Einträge laden“ und ergänze ihn, statt einen zweiten anzulegen.

Die Vorlagen decken 13 Anbieter ab. Für jeden anderen trägst du dessen SPF-Hostnamen aus der Anleitung des Anbieters in das Feld „Weitere IPs und Dienste“ ein, der Generator macht daraus ein include. IP-Adressen werden zu ip4 oder ip6. Im Reiter DKIM wählst du „Anderer Anbieter“ und fügst Selektor und Wert ein.

Das legt der SPF-Standard (RFC 7208) fest: include, a, mx, ptr, exists und redirect lösen jeweils eine Abfrage aus, ein Include kann weitere enthalten. Ab der elften werten Mail-Server den Record als permerror und SPF schlägt fehl. Der Generator zählt die Abfragen auf oberster Ebene. Wird es knapp, ersetze Includes durch feste ip4- und ip6-Einträge.

Wähle im Reiter DKIM „Schlüssel erzeugen“, gib einen Selektor wie mail ein, wähle 2048 oder 1024 Bit und klicke auf „Schlüsselpaar erzeugen“. Den öffentlichen Teil trägst du als TXT-Record unter selektor._domainkey ein. Den privaten Schlüssel lädst du herunter und legst ihn auf deinen Server, die passenden Zeilen für KeyTable und SigningTable von OpenDKIM zeigt das Tool gleich mit. Das Schlüsselpaar entsteht nur in deinem Browser.

Den Schlüssel erzeugt dein Anbieter: bei Google Workspace in der Admin-Konsole unter Gmail > E-Mails authentifizieren, bei Microsoft 365 im Defender-Portal unter E-Mail-Authentifizierung. Google liefert einen TXT-Wert, Microsoft zwei CNAME-Ziele für selector1 und selector2. Wähle den Anbieter im DKIM-Reiter und füge die Werte ein.

Starte mit p=none und einer Berichtsadresse (rua), um ein paar Wochen zu sehen, wer in deinem Namen sendet. Kommen alle echten Absender durch SPF oder DKIM, stellst du auf p=quarantine (Spam-Ordner) und danach auf p=reject (abgelehnt) um. Erst diese beiden Policies schützen vor gefälschten Absendern. Gehen die Berichte an eine andere Domain, nennt der Generator den TXT-Record, mit dem diese Domain den Empfang erlauben muss.

Ja. Records erzeugen, DKIM-Schlüssel erstellen und kopieren geht ohne Anmeldung. Nur zum direkten Eintragen in eine Domain, deren DNS ZAP-Hosting verwaltet, meldest du dich an. Vorher zeigt das Tool, welche Einträge neu sind und welche einen vorhandenen SPF-, DKIM- oder DMARC-Record ersetzen. Ob alles richtig veröffentlicht ist, prüfst du danach kostenlos im Email DNS Health Checker. Zum Email DNS Health Checker