SPF, DKIM & DMARC für Customer.io.

Warum Customer.io authentifizieren?

Customer.io ist eine Plattform für verhaltensbasierte Nachrichten mit hohem Volumen — Newsletter, Lifecycle-Kampagnen, transaktionale Journeys — sodass nahezu jedes Konto die Schwellenwerte für Massenversender überschreitet, die heute über die Platzierung im Posteingang entscheiden. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass er SPF, DKIM und DMARC mit Ausrichtung (Alignment) besteht, und Microsoft begann 2025, dasselbe für hochvolumige Post an Outlook.com/Hotmail/Live durchzusetzen. Customer.io ist hier strenger als die meisten ESPs: Es versendet nicht von einer Domain, bis sowohl SPF als auch DKIM verifiziert sind — eine nicht authentifizierte Domain kann schlicht nicht senden, und wenn einer der Einträge später fehlerhaft wird, schlagen Zustellungen fehl. Es gibt außerdem einen echten Alignment-Vorteil, für den sich die Einrichtung lohnt. Da Customer.io einen benutzerdefinierten Return-Path auf Ihrer eigenen Versand-Subdomain bereitstellt (genau dafür ist der MX-Eintrag da), läuft die SPF-Prüfung gegen Ihre Domain und nicht nur gegen customeriomail.com — anders als bei der Standardeinrichtung von Mailchimp oder Klaviyo, wo nur DKIM DMARC tragen kann, kann eine korrekt konfigurierte Customer.io-Domain DMARC über beide Mechanismen bestehen. Das ist die belastbare Konfiguration, die Weiterleitungen übersteht, und sie bedeutet, dass die Versandreputation, die Sie aufbauen, Ihrer eigenen Domain zugutekommt.

Die SPF-Realität bei Customer.io

Customer.io ist ein echter „include“-Anbieter — Sie veröffentlichen einen einzelnen SPF-TXT-Eintrag, der den gemeinsam genutzten Mechanismus include:customeriomail.com enthält (der vollständige Eintrag lautet v=spf1 include:customeriomail.com ~all und endet auf ~all, genau so, wie es das Dashboard von Customer.io zeigt). Aber zwei Customer.io-spezifische Besonderheiten ändern, wo und wie Sie ihn hinzufügen. Erstens gehört dieser Eintrag nicht auf Ihre Root-Domain — Customer.io empfiehlt (und erwartet faktisch) eine dedizierte Versand-Subdomain wie mail.yourbrand.com oder email.yourbrand.com, und die Einträge für SPF, DKIM und MX liegen alle dort. Das ist Absicht: Weil der MX-Eintrag den Return-Path von Customer.io auf Ihre Subdomain legt, liegt der Envelope-Sender auf Ihrer Domain, sodass SPF tatsächlich AUSGERICHTET ist (ALIGNS) und zu einem DMARC-Bestehen beitragen kann — etwas, das ESPs, die den Return-Path selbst besitzen, nicht leisten können. Zweitens ist der Include nicht flach. Eine Live-Abfrage von customeriomail.com liefert v=spf1 ip4:50.31.36.179 include:sendgrid.net ~all, und sendgrid.net verschachtelt seinerseits include:ab.sendgrid.net — sodass sich include:customeriomail.com zu etwa 3 DNS-Lookups im Hinblick auf das RFC-7208-Limit von 10 auflöst, nicht zu dem einen, den die meisten Anleitungen behaupten. Wenn Sie ihn auf seiner eigenen Versand-Subdomain belassen, wird diese Kostenlast vollständig vom SPF-Budget Ihrer Root-Domain isoliert, was der ganze Sinn des Subdomain-Ansatzes ist. Behalten Sie genau einen SPF-Eintrag auf der Versand-Subdomain und führen Sie keine anderen Versender darin zusammen — diese Subdomain gehört Customer.io.

Zwei Wege zur Einrichtung

Schritt für Schritt

Einzutragende Einträge

Customer.io erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.

Das Budget von 10 Lookups

SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Customer.io von diesem Budget verbraucht.

Prüfen, ob es wirklich funktioniert hat

Verlassen Sie sich nicht allein auf die Häkchen im Dashboard — bestätigen Sie es an einer echten Nachricht. Im Reiter „Authentication“ von Customer.io möchten Sie grüne Häkchen bei SPF und DKIM (die beiden Einträge, an die Customer.io den Versand koppelt); der MX unterstützt den Return-Path und der CNAME unterstützt gebrandete Links. Senden Sie dann einen Broadcast oder eine Kampagne von einer From-Adresse auf der authentifizierten Subdomain, öffnen Sie sie in Gmail und wählen Sie ⋮ → „Show original“: Sie suchen nach SPF: PASS mit dem Envelope/Return-Path auf Ihrer Subdomain, DKIM: PASS signiert von d=yourbrand.com (das verräterische Fehlersignal ist d=customeriomail.com, was bedeutet, dass das benutzerdefinierte DKIM nicht gegriffen hat) und DMARC: PASS. Prüfen Sie die Roheinträge stichprobenartig mit dig TXT mail.yourbrand.com, dig TXT selector._domainkey.mail.yourbrand.com und dig TXT _dmarc.yourbrand.com. Lassen Sie schließlich die Versand-Subdomain durch den {healthCheck} von Qualisend laufen, um zu bestätigen, dass der SPF (und seine verschachtelten Lookups), der DKIM-TXT, der MX und Ihr Root-DMARC alle sauber auflösen, und sobald aggregierte Berichte eintreffen, geben Sie einen davon in den {dmarcAnalyzer} — Customer.io sollte als ausgerichtete, bestehende Quelle erscheinen.

Häufige Stolperfallen

• Bricht die Authentifizierung

  Customer.io setzt zwingend voraus, dass SOWOHL SPF ALS AUCH DKIM verifiziert sind, bevor es von einer Domain sendet — die meisten ESPs senden bei teilweiser Authentifizierung, Customer.io nicht. Fehlt einer der Einträge oder ist verstümmelt, zeigt die Domain „nicht verifiziert“ und Zustellungen schlagen fehl, sie sehen nicht nur ungebrandet aus.

• DNS-Einrichtung

  Veröffentlichen Sie alles auf einer dedizierten VERSAND-SUBDOMAIN (mail.yourbrand.com), niemals Ihrer Root. Insbesondere der MX-Eintrag mit zwei Hosts muss auf der Subdomain bleiben — legen Sie ihn auf Ihre Root, würden Sie die Bounce-Verarbeitung für Ihre gesamte Domain umleiten und Ihre echte eingehende Post riskieren.

• Abdeckung

  Der MX-Eintrag ist nicht dafür da, Ihre normale E-Mail zu empfangen — er existiert nur, um Customer.io einen benutzerdefinierten Return-Path auf Ihrer Domain für Bounce- und Spam-Feedback zu geben. Geraten Sie nicht in Panik, dass Sie „Ihren MX ändern“; er liegt auf einer Subdomain, die kein menschliches Postfach nutzt.

• DNS-Einrichtung

  include:customeriomail.com ist NICHT ein DNS-Lookup — eine Live-Abfrage zeigt, dass er include:sendgrid.net verschachtelt, was wiederum include:ab.sendgrid.net verschachtelt, sodass er sich zu etwa 3 Lookups auflöst. Auf einer dedizierten Subdomain ist das isoliert; falls Sie ihn je in ein gemeinsames Root-SPF einbinden, konkurriert er mit jedem anderen Versender gegen das 10-Lookup-Limit.

• DNS-Einrichtung

  DKIM ist hier ein statischer TXT-Eintrag, kein automatisch rotierender CNAME. Customer.io rotiert ihn nicht für Sie — wenn Sie den Schlüssel im Dashboard neu generieren, müssen Sie den neuen TXT-Wert neu veröffentlichen, sonst bricht die Signierung.

• DNS-Einrichtung

  Verdopplung des Host-Felds bei Subdomains: Viele Registrare hängen Ihre Zone automatisch an, sodass die Eingabe von mail.yourbrand.com zu mail.yourbrand.com.yourbrand.com führt. Geben Sie nur das Label ein, das das Panel erwartet (mail, selector._domainkey.mail), falls es die Domain für Sie ergänzt.

• Abdeckung

  Setzen Sie DMARC auf die ROOT (_dmarc.yourbrand.com), nicht auf die Versand-Subdomain. Die Subdomain erbt die Root-Richtlinie über relaxed Alignment; einen zweiten _dmarc auf der Subdomain hinzuzufügen ist ein häufiger Fehler, der die Vererbung brechen kann.

• DNS-Einrichtung

  Den CNAME für das Link-Tracking wegzulassen ist für die Authentifizierung in Ordnung, aber Ihre klickverfolgten Links bleiben auf customeriomail.com statt auf Ihrer Domain — was das Markenalignment schwächt und für Empfänger und Filter weniger vertrauenswürdig wirken kann.

Erstellen Sie Ihren SPF-Eintrag

Customer.io benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.

Customer.io SPF — FAQ

Weiterführende Lektüre

Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.