SPF, DKIM & DMARC für Drip.
Drip authentifiziert Ihre Domain über eine Custom Sending Domain und nicht dadurch, dass Sie eine gemeinsam genutzte SPF-Zeile einfügen. Unter Settings > Email Setup > Sending Domain geben Sie die Domain ein, von der aus Sie versenden, und Drip generiert drei CNAME-Einträge: eine Return-Path-Subdomain (Bounce), die SPF trägt, sowie zwei rotierende DKIM-Schlüssel auf den Selektoren s1 und s2. Der Versand von Drip läuft im Hintergrund über SendGrid, weshalb diese CNAMEs in sendgrid.net auflösen — und genau deshalb ist SPF auf der Subdomain automatisch erfüllt und Sie kommen nie mit einem rohen SPF- oder DKIM-Schlüsselwert in Berührung. Sobald die Einträge mit grünen Häkchen verifiziert sind, versendet Drip unter Ihrer eigenen Domain, die Kennzeichnung „via Drip.com“ in der From-Zeile verschwindet, und die aufgebaute Versandreputation kommt Ihnen zugute.
Warum Drip authentifizieren?
Die Authentifizierung in Drip ist keine optionale Formsache — Drip selbst setzt sie inzwischen voraus. Seit dem 1. Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass SPF, DKIM und DMARC mit Ausrichtung bestehen, und Microsoft hat 2025 begonnen, dieselben Regeln bei Outlook.com durchzusetzen. Als Reaktion darauf hat Drip eine validierte Custom Sending Domain samt konformem DMARC-Eintrag für alle Konten verpflichtend gemacht — ohne sie werden Ihre Kampagnen entweder gedrosselt oder unter der gemeinsamen Identität von Drip versendet, wo Empfänger „via Drip.com“ sehen, Ihre From-Adresse nicht ausgerichtet ist, DMARC nicht bestehen kann und Ihre Reputation mit der aller anderen nicht authentifizierten Konten der Plattform zusammengelegt wird. Die Einrichtung der Custom Sending Domain behebt all das in einem Schritt: SPF und DKIM richten sich beide auf Ihre organisatorische Domain aus, die Kennzeichnung „via“ verschwindet, DMARC besteht, und die Zustellung im Posteingang ist an Ihre eigene Versandhistorie gebunden statt an einen gemeinsamen Pool.
Die SPF-Realität bei Drip
Drip ist ein CNAME-basierter Anbieter zur Domain-Authentifizierung, es gibt also KEINEN „include:...“-Mechanismus, den Sie zu Ihrem Root-SPF-Eintrag hinzufügen müssten. Wenn Sie eine Custom Sending Domain hinzufügen, generiert Drip eine Return-Path-/Bounce-Subdomain (zum Beispiel em.yourdomain.com) als CNAME, der in die Infrastruktur von SendGrid zeigt — SendGrid veröffentlicht dann den SPF-Eintrag für diese Subdomain auf seiner Seite. Da Ihr Envelope/MAIL FROM (Return-Path) diese Subdomain nutzt und sie in den SPF-autorisierten Bereich von SendGrid auflöst, ist SPF dort automatisch erfüllt, und DMARC besteht weiterhin über die relaxed SPF-Ausrichtung (die Subdomain teilt Ihre organisatorische Domain). Die praktische Konsequenz: Fügen Sie NICHT include:sendgrid.net (oder irgendein Drip-include) zum SPF-Eintrag Ihrer Root-Domain hinzu. Drip verlangt es nicht, es würde der Ausrichtung nicht helfen und es verbraucht unnötig einen Ihrer 10 SPF-DNS-Lookups. Ihr Root-SPF bleibt genau so, wie es ist; die gesamte SPF-Autorisierung von Drip liegt auf der delegierten Subdomain.
Schritt für Schritt
- 1
Fügen Sie Ihre Custom Sending Domain in Drip hinzu
Gehen Sie in Drip zu Settings > Email Setup > Sending Domain und fügen Sie die Domain hinzu, von der aus Sie versenden (die Domain in Ihrer From-Adresse). Sie können Ihre organisatorische Root-Domain oder eine dedizierte Subdomain authentifizieren — eine Subdomain (z. B. news.yourdomain.com) trennt Ihre Marketing-Reputation von der Domain Ihres Unternehmenspostfachs, was die übliche Wahl für Versender mit höherem Volumen ist.
- 2
Generieren Sie die CNAME-Einträge
Nachdem Sie die Domain übermittelt haben, zeigt Drip drei zu veröffentlichende CNAME-Einträge an: eine Return-Path-Subdomain (Bounce), die SPF trägt, und zwei DKIM-Schlüssel auf den Selektoren s1._domainkey und s2._domainkey. Lassen Sie diesen Tab geöffnet — Sie kopieren Host und Ziel für jeden Eintrag exakt wie angezeigt, da die Ziele für Ihr Konto einzigartig sind.
- 3
Fügen Sie den Return-Path-CNAME (SPF) zu Ihrem DNS hinzu
Erstellen Sie bei Ihrem DNS-Anbieter den ersten CNAME — die Mail-/Return-Path-Subdomain —, der auf das SendGrid-Ziel zeigt, das Drip Ihnen gegeben hat. Diese Subdomain wird Ihr Envelope MAIL FROM (Return-Path), und weil sie in den SPF-autorisierten Bereich von SendGrid auflöst, sorgt sie dafür, dass SPF besteht und ausgerichtet ist. Fügen Sie keine include:sendgrid.net-Zeile zu Ihrem Root-SPF hinzu; dieser CNAME ersetzt diesen Bedarf.
- 4
Fügen Sie die beiden DKIM-CNAMEs hinzu
Erstellen Sie die CNAME-Einträge s1._domainkey und s2._domainkey, die auf ihre SendGrid-Ziele zeigen. Diese delegieren zwei rotierende DKIM-Schlüssel an Drip/SendGrid, sodass die Schlüssel in Ihrem Namen rotiert werden können, ohne dass Sie jemals wieder DNS bearbeiten müssen. Geben Sie den Host exakt ein (z. B. nur s1._domainkey) — viele DNS-Panels hängen Ihre Domain automatisch an, fügen Sie den vollständigen FQDN also nicht doppelt ein.
- 5
Wenn Sie Cloudflare nutzen, setzen Sie die Einträge auf DNS-only
Wenn Sie die CNAMEs in Cloudflare hinzufügen, klicken Sie bei jedem Eintrag auf die orange Wolke, bis sie grau wird (DNS-only / Proxy aus). Ein proxied (orange-Wolke) CNAME sorgt dafür, dass der Eintrag zum Edge von Cloudflare statt zu SendGrid auflöst, sodass die Authentifizierung niemals verifiziert wird. Dies ist der mit Abstand häufigste Grund, warum die Häkchen von Drip rot bleiben.
- 6
Veröffentlichen Sie einen DMARC-Eintrag
Drip verlangt eine konforme DMARC-Richtlinie, fügen Sie also einen TXT-Eintrag unter _dmarc.yourdomain.com hinzu. Beginnen Sie mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, damit Sie Aggregatberichte sammeln, ohne die Zustellung zu beeinträchtigen, und verschärfen Sie dann auf p=quarantine und p=reject, sobald die Berichte bestätigen, dass Drip (und Ihre anderen Versender) ausgerichtet sind. Falls bereits ein DMARC-Eintrag existiert, bearbeiten Sie ihn, statt einen zweiten hinzuzufügen — nur ein _dmarc TXT ist erlaubt.
- 7
Verifizieren Sie in Drip mit Check Again
Kehren Sie zu Settings > Email Setup > Sending Domain zurück und klicken Sie auf Check Again. Wenn alle drei CNAMEs auflösen, sehen Sie grüne Häkchen. Die CNAME-Propagierung kann 24-48 Stunden dauern, rote Markierungen unmittelbar nach dem Veröffentlichen bedeuten also keine Fehlkonfiguration — warten Sie und prüfen Sie erneut, bevor Sie mit der Fehlersuche beginnen.
- 8
Senden Sie eine Testnachricht und prüfen Sie die Header
Senden Sie eine Kampagne oder Test-E-Mail an eine Gmail-Adresse, öffnen Sie „Original anzeigen“ und bestätigen Sie SPF=PASS und DKIM=PASS, dass beide auf Ihre Domain ausgerichtet sind und dass DMARC PASS anzeigt. Die Kennzeichnung „via Drip.com“ sollte aus der From-Zeile verschwunden sein. Führen Sie dieselbe Domain durch einen SPF/DKIM/DMARC-Checker, um alle drei von außen zu bestätigen.
Einzutragende Einträge
Drip erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| CNAME | em.yourdomain.com | u1234567.wl123.sendgrid.netBeispielhaft — Drip generiert die exakte Subdomain (oft nummeriert, z. B. em1234) und das Ziel pro Konto. Dies ist die Return-Path-/Bounce-Subdomain; SendGrid veröffentlicht den SPF-Eintrag dafür, wodurch SPF besteht und ausgerichtet ist. Zu Ihrem Root-SPF wird kein include: hinzugefügt. |
| CNAME | s1._domainkey.yourdomain.com | s1.domainkey.u1234567.wl123.sendgrid.netBeispielhaft — erster rotierender DKIM-Schlüssel auf dem Selektor s1. Kopieren Sie das exakte Ziel von Drip. |
| CNAME | s2._domainkey.yourdomain.com | s2.domainkey.u1234567.wl123.sendgrid.netBeispielhaft — zweiter rotierender DKIM-Schlüssel auf dem Selektor s2. Falls s1/s2 bereits von einem anderen SendGrid-basierten Versender genutzt werden, fordern Sie benutzerdefinierte Selektoren beim Drip-Support an. |
| TXT | _dmarc.yourdomain.com | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDiesen fügen Sie selbst hinzu — Drip verlangt eine konforme DMARC-Richtlinie. Beginnen Sie bei p=none mit einer rua-Adresse und verschärfen Sie dann. Nur ein _dmarc TXT pro Domain. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Drip von diesem Budget verbraucht.
Die empfohlene Einrichtung von Drip fügt 0 Lookups hinzu — alle 10 bleiben frei für die Absender, die tatsächlich ein include benötigen.
DKIM
Drip verwendet CNAME-delegiertes DKIM auf zwei Selektoren, s1 und s2 — Sie veröffentlichen s1._domainkey und s2._domainkey als CNAMEs, die in SendGrid zeigen, und Drip/SendGrid halten und rotieren die eigentlichen öffentlichen Schlüssel, sodass Sie nach der Einrichtung nie wieder DNS bearbeiten. Zwei Schlüssel erlauben es Drip, einen zu rotieren, während der andere aktiv bleibt, sodass die Signierung ununterbrochen läuft. Falls s1._domainkey und s2._domainkey in Ihrem DNS bereits existieren, weil Sie über SendGrid (oder ein anderes SendGrid-basiertes Tool) auf derselben Domain versenden, kollidieren die Selektoren — wenden Sie sich an den Drip-Support und bitten Sie darum, die Einträge auf benutzerdefinierten Selektornamen (zum Beispiel drp und drp2) zu generieren, damit beide Versender koexistieren können.
DMARC
DMARC ist der Begleiter, der aus ausgerichtetem SPF und DKIM eine durchsetzbare Richtlinie macht, und Drip verlangt inzwischen für jedes Konto einen konformen DMARC-Eintrag. Fügen Sie einen einzelnen TXT-Eintrag unter _dmarc.yourdomain.com hinzu. Beginnen Sie mit einer Überwachungsrichtlinie — v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com —, die Empfänger bittet, Ihnen Aggregatberichte zu senden, ohne die Zustellung zu verändern. Da das DKIM von Drip unter Ihrer Domain signiert und SPF die Return-Path-Subdomain unter Ihrer organisatorischen Domain autorisiert, sind beide unter der standardmäßigen relaxed-Ausrichtung von DMARC ausgerichtet. Sobald Ihre Aggregatberichte bestätigen, dass Drip und alle Ihre anderen legitimen Versender bestehen und ausgerichtet sind, wechseln Sie zu p=quarantine und anschließend zu p=reject, um den vollen Nutzen aus Anti-Spoofing und den Gmail/Yahoo-Massenversenderregeln zu ziehen. Veröffentlichen Sie p=reject nicht am ersten Tag — Sie riskieren, einen vergessenen legitimen Versender zu blockieren, bevor Sie die Berichte gesehen haben.
Prüfen, ob es wirklich funktioniert hat
Prüfen Sie an zwei Stellen. Zuerst innerhalb von Drip: Settings > Email Setup > Sending Domain zeigt ein grünes Häkchen bei jedem der drei CNAMEs, sobald diese auflösen — klicken Sie nach dem Veröffentlichen auf Check Again und geben Sie der DNS-Propagierung 24-48 Stunden Zeit, bevor Sie annehmen, dass etwas nicht stimmt. Zweitens von der Empfängerseite aus: Senden Sie eine Testnachricht an ein Gmail-Konto, öffnen Sie „Original anzeigen“ und bestätigen Sie SPF=PASS, DKIM=PASS und DMARC=PASS mit beiden Mechanismen auf Ihre Domain ausgerichtet, und dass die Notiz „via Drip.com“ aus der From-Zeile verschwunden ist. Für eine Prüfung von außen führen Sie Ihre Domain und die Drip-Selektoren durch einen SPF/DKIM/DMARC-Checker oder einen vollständigen Domain-Gesundheitscheck, um zu bestätigen, dass die Einträge global sichtbar und gültig sind.
Häufige Stolperfallen
- DNS-Einrichtung
Die orange Cloudflare-Wolke bricht die Authentifizierung: proxied CNAMEs lösen zum Edge von Cloudflare statt zu SendGrid auf, sodass die Prüfungen von Drip nie bestehen. Setzen Sie jeden Drip-CNAME auf DNS-only (graue Wolke).
- Abdeckung
s1/s2-Selektorkollision: Wenn Sie dieselbe Domain bereits über SendGrid oder ein anderes SendGrid-betriebenes Tool authentifizieren, geraten die Einträge s1._domainkey und s2._domainkey in Konflikt. Bitten Sie den Drip-Support um benutzerdefinierte Selektoren (z. B. drp/drp2), statt die bestehenden zu überschreiben.
- DNS-Einrichtung
Fügen Sie kein SPF-include zu Ihrer Root-Domain hinzu: Das SPF von Drip läuft über die delegierte Return-Path-Subdomain, include:sendgrid.net auf Ihrer Root ist also unnötig, verbessert die Ausrichtung nicht und verschwendet einen Ihrer 10 SPF-Lookups.
- DNS-Einrichtung
Underscore-CNAMEs: Manche Registrare akzeptieren keine Unterstriche (den _domainkey-Host) oder lassen es nicht zu, integrierte Subdomains auf ein externes Ziel zeigen zu lassen. Wenden Sie sich in diesen Fällen an den Drip-Support und fordern Sie äquivalente TXT-/MX-Einträge als Ausweichlösung an.
- DNS-Einrichtung
Doppelte DMARC-Einträge: Nur ein _dmarc TXT ist erlaubt. Falls Sie bereits DMARC für einen anderen Versender haben, bearbeiten Sie den bestehenden Eintrag — ein zweiter macht beide ungültig.
- DNS-Einrichtung
Ungeduld bei der Propagierung: CNAMEs können 24-48 Stunden brauchen, um registriert zu werden. Rote Häkchen unmittelbar nach dem Veröffentlichen bedeuten meist, dass das DNS noch nicht propagiert ist, nicht dass die Einträge falsch sind.
- DNS-Einrichtung
Doppelt angehängte Hostnamen: Viele DNS-Panels hängen Ihre Domain automatisch an das Host-Feld an. Geben Sie nur s1._domainkey ein (nicht s1._domainkey.yourdomain.com.yourdomain.com), sonst löst der Eintrag nicht auf.
- DNS-Einrichtung
Auslassen des Return-Path-CNAME: Es ist leicht, die beiden DKIM-Einträge hinzuzufügen und den ersten (Bounce-)CNAME zu vergessen. Ohne ihn kann DKIM zwar bestehen, aber SPF wird nicht ausgerichtet, und Drip verifiziert die Domain nicht vollständig.
Erstellen Sie Ihren SPF-Eintrag
Drip benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listDrip SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.