SPF, DKIM & DMARC für Elastic Email.
Die Verifizierung einer Domain in Elastic Email läuft auf vier DNS-Einträge plus einen Klick im Dashboard hinaus: einen SPF-TXT-Eintrag, der Elastic Emails gemeinsam genutzten Include ergänzt, einen DKIM-TXT-Eintrag auf dem Selektor api, ein Tracking-CNAME, das Ihre Klick-/Öffnungs-Links mit Ihrer Marke versieht, und einen DMARC-Richtlinieneintrag. Ungewöhnlich ist hier der DKIM-Schlüssel: Elastic Email gibt jedem Kunden denselben gemeinsam genutzten öffentlichen Schlüssel, statt einen pro Domain zu erzeugen, und der SPF-Include ist ein dynamisches Makro-Lookup statt einer statischen IP-Liste. Tragen Sie die Einträge ein und klicken Sie auf „Verify“, dann versendet Elastic Email vollständig authentifiziert als Ihre Domain — und hebt das Limit von 500 E-Mails pro Tag auf, das für unverifizierte Domains gilt.
Warum Elastic Email authentifizieren?
Die Authentifizierung Ihrer Elastic-Email-Domain ist das, was Sie aus der Strafzone von 500 Nachrichten pro Tag und aus dem gemeinsam genutzten Pool herausholt. Solange eine Domain nicht verifiziert ist, begrenzt Elastic Email sie auf 500 E-Mails pro Tag und versendet Ihre Post nur schwach Ihnen zugeschrieben. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass er SPF, DKIM und DMARC mit Alignment besteht, und Microsoft hat 2025 begonnen, dasselbe für Outlook-/Hotmail-/Live-Verkehr durchzusetzen — und weil Elastic Email intensiv für Marketing- und Transaktionsversand mit hohem Volumen genutzt wird, gilt diese Messlatte genau für die Post, die Sie darüber versenden. SPF und DKIM (plus das Tracking-CNAME und eine DMARC-Richtlinie) zu veröffentlichen richtet Ihre Post an Ihrer eigenen Domain aus, entfernt generisches Elastic-Email-Branding aus getrackten Links, hebt das Tageslimit auf und sorgt dafür, dass die Versandreputation, die Sie aufbauen, Ihrer Domain zugutekommt statt der Infrastruktur, die sich jedes Konto auf der Plattform teilt.
Die SPF-Realität bei Elastic Email
Elastic Email ist ein echter „Include“-Anbieter: Sie fügen einen einzigen gemeinsam genutzten Mechanismus, include:_spf.elasticemail.com, dem einzigen SPF-TXT-Eintrag auf Ihrer Domain hinzu. Elastic Emails eigene empfohlene Zeile lautet v=spf1 a mx include:_spf.elasticemail.com ~all, aber der einzige Teil, der Elastic Emails Server autorisiert, ist der Include — das a und mx sind generischer Standardtext, der Ihren eigenen Web-/Mail-Host autorisiert und optional ist. Was diesen Include ungewöhnlich macht, ist das, worauf er sich auflöst: statt einer statischen Liste von ip4:-Bereichen veröffentlicht _spf.elasticemail.com v=spf1 exists:%{i}._spf.elasticemail.info ~all — eine makrobasierte exists:-Prüfung, die zur Verifizierungszeit die exakte sendende IP (%{i}) nachschlägt. Daraus folgen zwei praktische Konsequenzen. Erstens kostet der Include ZWEI Ihrer 10 SPF-DNS-Lookups, nicht einen: einen für den Include selbst und einen für den verschachtelten exists-Mechanismus (behalten Sie auch das a und mx, liegt Elastic Emails empfohlene Zeile bereits bei vier Lookups, bevor Sie irgendeinen weiteren Versender hinzufügen). Zweitens kann Elastic Email, weil die Autorisierung dynamisch pro IP berechnet wird, sendende IPs hinzufügen oder ausmustern, ohne dass Sie je wieder DNS bearbeiten müssen. Behalten Sie genau einen SPF-Eintrag auf der Domain — wenn Sie bereits über Google Workspace, Microsoft 365, ein CRM usw. versenden, führen Sie include:_spf.elasticemail.com in diese eine v=spf1-Zeile zusammen, statt einen zweiten SPF-Eintrag zu veröffentlichen (zwei SPF-Einträge sind ein PermError). Elastic Email liefert die Zeile mit ~all (Softfail) aus, weil die meisten Versender auch von anderen Diensten aus mailen; verschärfen Sie erst dann auf -all, wenn jede legitime Quelle aufgeführt ist.
Schritt für Schritt
- 1
„Manage Domains“ öffnen
Melden Sie sich unter app.elasticemail.com an und gehen Sie zu Settings → Domains → Manage Domains. Klicken Sie auf „Start Verification“, geben Sie die Domain ein, von der Sie versenden, und klicken Sie auf „Continue“. Elastic Email generiert dann die exakten DNS-Einträge für diese Domain.
- 2
Die generierten Einträge lesen
Auf dem Verifizierungsbildschirm listet Elastic Email die zu veröffentlichenden Einträge auf: eine SPF-TXT-Zeile, einen DKIM-TXT-Eintrag auf Host api._domainkey, ein Tracking-CNAME (Host tracking → api.elasticemail.com) und einen vorgeschlagenen DMARC-Eintrag. Lassen Sie diesen Tab offen — hier klicken Sie auf „Verify“, sobald DNS aktiv ist.
- 3
Den SPF-Eintrag hinzufügen oder zusammenführen
Fügen Sie bei Ihrem DNS-Host einen TXT-Eintrag auf der Root-Domain (Host @ oder leer) mit v=spf1 a mx include:_spf.elasticemail.com ~all hinzu. Existiert bereits ein SPF-Eintrag, erstellen Sie KEINEN zweiten — führen Sie include:_spf.elasticemail.com in die bestehende v=spf1-Zeile zusammen. Sie können das a und mx weglassen, wenn Sie nicht vom eigenen Web-/Mailserver Ihrer Domain versenden.
- 4
Den DKIM-TXT-Eintrag veröffentlichen
Fügen Sie einen TXT-Eintrag mit Host api._domainkey und dem in Ihrem Dashboard angezeigten Wert hinzu (er beginnt mit k=rsa; t=s; p=MIGf…). Das ist Elastic Emails gemeinsam genutzter DKIM-Schlüssel — kopieren Sie den Wert wortgetreu aus „Manage Domains“ und benennen Sie den Host nicht um.
- 5
Das Tracking-CNAME hinzufügen
Fügen Sie einen CNAME-Eintrag mit Host tracking hinzu, der auf api.elasticemail.com zeigt. Das versieht Ihre öffnungs-/klickgetrackten Links mit Ihrer eigenen Subdomain und ist Teil der vollständigen Domain-Verifizierung. Setzen Sie es bei Cloudflare auf „DNS only“ (graue Wolke), damit es auflöst.
- 6
Den DMARC-Eintrag veröffentlichen
Fügen Sie einen TXT-Eintrag auf Host _dmarc mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. Beginnen Sie mit p=none (reiner Beobachtungsmodus), sodass nichts beeinträchtigt wird, während Sie das Alignment bestätigen, und verschärfen Sie später.
- 7
Auf „Verify record“ klicken
Klicken Sie zurück auf dem Verifizierungsbildschirm auf „Verify record“. Grüne Häkchen erscheinen neben jedem Eintrag, sobald Elastic Email ihn im DNS bestätigt. Die Propagierung kann bis zu 24–48 Stunden dauern, prüfen Sie also erneut, falls ein Eintrag nicht sofort erkannt wird.
- 8
Als Standard-Versender festlegen
Nach der Verifizierung können Sie die Domain optional als Ihren Standard-Versender festlegen, sodass neue Kampagnen und API-Sendungen sie automatisch verwenden. Die Verifizierung hebt außerdem das Limit von 500 E-Mails pro Tag auf, das für unverifizierte Domains gilt.
- 9
Einen Test senden und die Header prüfen
Senden Sie eine Nachricht von einer Adresse auf der verifizierten Domain, öffnen Sie sie in Gmail und wählen Sie ⋮ → Original anzeigen. Bestätigen Sie DKIM: PASS signed-by yourdomain.com (Selektor api), SPF: PASS und DMARC: PASS.
Einzutragende Einträge
Elastic Email erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 a mx include:_spf.elasticemail.com ~allRoot-SPF — behalten Sie nur einen SPF-Eintrag und führen Sie den Include darin zusammen. Nur include:_spf.elasticemail.com autorisiert Elastic Email; das a und mx sind optional. Der Include kostet 2 DNS-Lookups (Include + ein verschachteltes exists-Makro). |
| TXT | api._domainkey | k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCbmGbQMzYeMvxw…Elastic Emails GEMEINSAM GENUTZTER DKIM-Schlüssel (Selektor api) — jedes Konto veröffentlicht denselben Wert. Kopieren Sie den vollständigen Wert wortgetreu aus „Manage Domains“; er richtet sich an Ihrer Domain aus, auch wenn der Schlüssel geteilt ist. |
| CNAME | tracking | api.elasticemail.comÖffnungs-/Klick-Tracking mit Ihrer Marke. Teil der vollständigen Verifizierung. Bei Cloudflare auf „DNS only“ (graue Wolke) setzen. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comEin DMARC-Eintrag pro Domain. Beginnen Sie mit p=none, verschärfen Sie dann auf quarantine/reject. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Elastic Email von diesem Budget verbraucht.
Elastic Email verbraucht 2 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM bei Elastic Email ist ein einziger, gemeinsam genutzter öffentlicher Schlüssel mit dem Selektor api — kein Schlüssel pro Domain, den Sie erzeugen. Jeder Kunde veröffentlicht exakt denselben TXT-Eintrag: Host api._domainkey.yourdomain.com, Wert k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ… (ein 1024-Bit-Schlüssel). Das können Sie selbst bestätigen: api._domainkey.elasticemail.com löst sich auf denselben Wert auf. Elastic Email hält den einen passenden privaten Schlüssel und signiert Ihre ausgehende Post mit d=yourdomain.com, sodass die Signatur trotz des gemeinsam genutzten Schlüssels weiterhin an Ihrer Domain AUSGERICHTET ist — was genau das ist, was DKIM braucht, um zu einem DMARC-Pass beizutragen. Weil er geteilt ist, folgen ein paar Dinge daraus: Sie können den Schlüssel nicht selbst rotieren, es ist ein 1024-Bit-Schlüssel statt des modernen 2048-Bit-Standards, und Sie sollten den exakten Wert von Ihrem eigenen „Manage Domains“-Bildschirm kopieren, statt einen aus einem Drittartikel einzufügen — falls Elastic Email den gemeinsam genutzten Schlüssel je rotiert, ist das Dashboard die maßgebliche Quelle. Veröffentlichen Sie ihn genau wie angezeigt: Benennen Sie den Host api._domainkey nicht um, wandeln Sie ihn nicht in ein CNAME um, und fügen Sie keine Zeichen hinzu oder entfernen sie (das Flag t=s im Wert stammt von Elastic Email, es ist kein Tippfehler). In der Praxis ist DKIM hier der tragende Mechanismus für DMARC — es richtet sich bei jeder Nachricht an Ihrer Domain aus, unabhängig von Weiterleitungen, während SPF nur dann hilft, wenn Ihre Domain der Envelope-Sender ist.
DMARC
DMARC ist ein separater TXT-Eintrag, den Sie selbst veröffentlichen — Elastic Email erstellt ihn nicht, auch wenn sein Verifizierungsablauf Sie danach fragt. Fügen Sie unter _dmarc.yourdomain.com einen Eintrag hinzu, der mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com beginnt. p=none ist reiner Beobachtungsmodus: Es ändert nichts an der Zustellung, bittet aber Empfänger, Ihnen aggregierte Berichte zu mailen, damit Sie bestätigen können, dass Elastic Emails Post DKIM (und, wo Ihre Domain der Envelope-Sender ist, SPF) an Ihrer Domain ausgerichtet besteht, bevor Sie irgendetwas durchsetzen. Elastic Emails eigener Verifizierungsbildschirm drängt Sie direkt zu p=quarantine oder p=reject, und er hat recht, dass eine Richtlinie von none Ihnen wenig Schutz einbringt — aber wechseln Sie dorthin bewusst: Beobachten Sie die rua-Berichte ein bis zwei Wochen, bestätigen Sie, dass jeder legitime Versender (Elastic Email plus alle anderen Werkzeuge auf der Domain) ausgerichtet ist, und verschärfen Sie dann auf quarantine und schließlich reject. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Domain, egal wie viele Versender Sie nutzen; veröffentlichen Sie niemals einen zweiten DMARC-Eintrag nur für Elastic Email.
Prüfen, ob es wirklich funktioniert hat
Vertrauen Sie den grünen Häkchen in „Manage Domains“ nicht allein — bestätigen Sie es an einer echten Nachricht. Senden Sie einen Test von einer Adresse auf der verifizierten Domain, öffnen Sie ihn in Gmail und wählen Sie ⋮ → Original anzeigen: Sie wollen DKIM: PASS signed-by yourdomain.com mit dem Selektor api, SPF: PASS und DMARC: PASS. Zeigt SPF eine Elastic-Email-Envelope-Domain statt Ihrer, geraten Sie nicht in Panik — DKIM ist das, was den DMARC-Pass trägt, und das ist in Ordnung. Sie können die Roheinträge auch stichprobenartig prüfen mit dig TXT api._domainkey.yourdomain.com, dig TXT yourdomain.com (für die SPF-Zeile), dig TXT _dmarc.yourdomain.com und dig CNAME tracking.yourdomain.com. Lassen Sie die Domain anschließend durch Qualisends Domain-Health-Check laufen, um zu bestätigen, dass jeder Eintrag auflöst und Ihr SPF unter dem 10-Lookup-Limit bleibt (denken Sie daran, dass Elastic Emails Include zwei davon ausmacht), und sobald DMARC-Aggregatberichte eintreffen, werfen Sie einen davon in den DMARC-Berichtsanalysator, um zu verifizieren, dass Elastic Email als ausgerichtete, bestehende Quelle auftaucht.
Häufige Stolperfallen
- DNS-Einrichtung
Elastic Emails DKIM-Schlüssel ist geteilt, nicht pro Domain — jedes Konto veröffentlicht denselben api._domainkey-Wert. Das ist zu erwarten und richtet sich trotzdem an Ihrer Domain aus, bedeutet aber, dass Sie den Schlüssel nicht selbst rotieren können, dass es ein 1024-Bit-Schlüssel ist und dass Sie den exakten Wert aus „Manage Domains“ statt aus einem Drittartikel kopieren sollten, falls Elastic Email ihn rotiert.
- Bricht die Authentifizierung
Der Include kostet ZWEI SPF-Lookups, nicht einen: include:_spf.elasticemail.com plus das darin verschachtelte Makro exists:%{i}._spf.elasticemail.info. Behalten Sie Elastic Emails vorgeschlagenes a und mx, liegt die empfohlene Zeile bereits bei ~4 Lookups, bevor Sie irgendeinen weiteren Versender hinzufügen — achten Sie auf das 10-Lookup-Limit.
- Bricht die Authentifizierung
Behalten Sie genau einen SPF-Eintrag auf der Domain. Wenn Sie bereits über Google, Microsoft 365, ein CRM usw. versenden, führen Sie include:_spf.elasticemail.com in die bestehende v=spf1-Zeile zusammen — zwei separate SPF-Einträge sind ein PermError, der SPF vollständig zerstört.
- DNS-Einrichtung
Das a und mx in Elastic Emails empfohlenem SPF sind generischer Standardtext für Ihren eigenen Web-/Mail-Host, nicht für Elastic Email. Wenn Sie nicht tatsächlich Post vom A-Eintrag oder von den MX-Servern Ihrer Domain versenden, lassen Sie sie weg und verwenden Sie v=spf1 include:_spf.elasticemail.com ~all, um zwei Lookups zurückzugewinnen.
- DNS-Einrichtung
Setzen Sie das Tracking-CNAME bei Cloudflare auf „DNS only“ (graue Wolke). Ein per orangefarbener Wolke geproxytes CNAME löst nicht auf api.elasticemail.com auf, sodass Tracking und vollständige Verifizierung fehlschlagen.
- DNS-Einrichtung
Unverifizierte Domains sind auf 500 E-Mails pro Tag begrenzt. Wenn Ihre Sendungen still gedrosselt werden, hat die Domain die Verifizierung mit ziemlicher Sicherheit nicht abgeschlossen — SPF + DKIM + das Tracking-CNAME zu vervollständigen und auf „Verify“ zu klicken ist das, was das Limit aufhebt.
- DNS-Einrichtung
Veröffentlichen Sie den DKIM-Eintrag genau auf Host api._domainkey, als TXT-Eintrag, mit dem Wert wortgetreu. Den Host umzubenennen, ein CNAME zu verwenden oder die lange p=-Zeichenkette zu verstümmeln bringt DKIM allesamt zum stillen Fehlschlagen, während das Dashboard möglicherweise noch teilweise grün aussieht.
- Abdeckung
Versenden Sie von einer Subdomain (z. B. mail.yourdomain.com)? Setzen Sie jeden Eintrag auf die Subdomain — SPF auf der Subdomain, api._domainkey.mail, tracking.mail und _dmarc.mail. Die Einträge der Root-Domain decken eine sendende Subdomain nicht ab.
Erstellen Sie Ihren SPF-Eintrag
Elastic Email ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listElastic Email SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.