SPF, DKIM & DMARC für Gladly.
Gladly ist eine Kundenservice-Plattform, kein Massen-ESP — es betreibt den E-Mail-Kanal Ihres Support-Teams, versendet Agentenantworten über Ihre eigene Support-Adresse und zieht eingehende Kundennachrichten per Weiterleitung herein. Unter der Haube versendet Gladly jede ausgehende Antwort über Mailgun, weshalb das Authentifizieren Ihrer Domain bedeutet, zwei DNS-Einträge zu veröffentlichen, die Gladly in seinen E-Mail-Einstellungen generiert: eine SPF-Zeile mit include:mailgun.org und ein DKIM-Public-Key-TXT. Sie fügen beide zum DNS Ihrer Versanddomain hinzu, warten bis zu 72 Stunden, bis Gladly die Domain von Unverified auf Verified umstellt, und kontaktieren dann den Gladly Support, um Ihre Reply-to-Adresse einzurichten und die eingehende Weiterleitung zu konfigurieren. Sobald verifiziert, verlassen Antworten Gladly vollständig authentifiziert und an Ihrer eigenen Domain ausgerichtet, statt auf einen nicht authentifizierten Envelope zurückzufallen.
Warum Gladly authentifizieren?
Für eine Support-Plattform steht bei der Authentifizierung mehr auf dem Spiel als bei einem Marketing-Tool — jede Nachricht ist eine 1:1-Antwort, auf die ein Kunde aktiv wartet. Eine Nachricht, die im Spam landet oder zurückkommt, ist also ein Support-Versagen und nicht nur eine verpasste Öffnung. Seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern (grob ab 5.000+ Nachrichten pro Tag), dass sie SPF, DKIM und DMARC mit Alignment bestehen, und Microsoft begann 2025, ähnliche Regeln für aufkommensstarke Versender bei Outlook/Hotmail durchzusetzen — und selbst unterhalb dieser Schwellen sind dieselben Prüfungen inzwischen das Mindestmaß für den Posteingang. Bis Sie Ihre Gladly-Domain hinzufügen und verifizieren, gehen Antworten über einen nicht authentifizierten Envelope hinaus: Die Server der Empfänger können nicht überprüfen, ob die Mail wirklich von Ihnen stammt, SPF und DKIM sind nicht an Ihrer Domain ausgerichtet, DMARC kann nicht bestehen, und Ihre Support-Mail teilt sich die Reputation mit allen anderen. Das Verifizieren der Domain behebt all das auf einmal — weil Gladly (über Mailgun) Ihre eigene Domain im SMTP-Envelope verwendet und DKIM als d=yourdomain signiert, richten sich sowohl SPF als auch DKIM an Ihrer Organisationsdomain aus, DMARC besteht, und die Versandreputation, die Sie aufbauen, kommt Ihnen selbst zugute.
Die SPF-Realität bei Gladly
Gladly ist ein echter SPF-Include-Anbieter, weil es über Mailgun versendet: Sie veröffentlichen v=spf1 include:mailgun.org ~all (oder führen include:mailgun.org in Ihre bestehende v=spf1-Zeile zusammen) im einzigen SPF-Eintrag Ihrer Versanddomain. Gladly generiert genau diesen Wert für Sie auf dem Bildschirm View SPF and DKIM Values — anders als bei CNAME-Delegations-ESPs (SendGrid, Klaviyo, Mailchimp) gibt es kein CNAME, das SPF stellvertretend für Sie erfüllt; Sie fügen den TXT selbst ein. Der wichtige Haken ist, dass include:mailgun.org ungewöhnlich schwer ist. Gegen das Live-DNS verifiziert löst es sich in fünf verschachtelte Lookups auf — mailgun.org veröffentlicht include:_spf.mailgun.org (das selbst _spf1 und _spf2 verschachtelt) plus include:_spf.eu.mailgun.org, sodass eine Zeile sowohl die US- als auch die EU-Versandregion abdeckt — was die Hälfte des Zehn-Lookup-Budgets nach RFC 7208 in einem einzigen Include ist. Und weil Gladly von Ihrer echten Support-Adresse aus versendet (support@yourdomain.com), landet dieser schwere Include normalerweise im SPF Ihrer Organisationsdomain, direkt neben Google Workspace oder Microsoft 365. Wenn Ihr Root-SPF bereits überfüllt ist, können Sie das 10-Lookup-Limit sprengen und einen PermError auslösen, der SPF für jeden Versender im Eintrag zerstört. Die saubere Abhilfe ist, Gladly eine eigene dedizierte Versand-Subdomain zu geben (zum Beispiel help.yourdomain.com), damit der schwere Mailgun-Include im eigenen SPF der Subdomain lebt und niemals Ihren Root berührt. Welche Domain Sie auch verwenden, behalten Sie darauf genau einen SPF-Eintrag — führen Sie include:mailgun.org in die bestehende v=spf1-Zeile zusammen, statt einen zweiten SPF-TXT zu veröffentlichen (zwei SPF-Einträge sind selbst ein PermError). Eine wichtige Feinheit: Standardmäßig verwendet Mailgun seine eigene Domain (mailgun.org) als Envelope/Return-Path, sodass include:mailgun.org zwar SPF autorisiert, SPF sich aber nicht an Ihrer From-Domain ausrichtet. Das Alignment für DMARC wird stattdessen von DKIM getragen, das als d=yourdomain signiert — dasselbe Modell wie bei den meisten ESPs, stellen Sie also sicher, dass DKIM verifiziert; es ist das Standbein, auf das sich Ihr DMARC-Pass stützt.
Schritt für Schritt
- 1
E-Mail-Einstellungen in Gladly öffnen
Klicken Sie oben links auf das Hamburger-Menü, wählen Sie Settings und dann unter der Kategorie Channels die Option Email. Sie benötigen die Rolle Administrator (ein Team Manager kann eine Support-Anfrage öffnen, aber keine Domains bearbeiten). Dies öffnet die Konfiguration des Email Channel, wo die Versanddomains liegen.
- 2
Ihre Versanddomain hinzufügen
Klicken Sie auf dem Tab Domains auf Add Domain (oder, falls Sie noch keine haben, tippen Sie sie in das Eingabefeld) und geben Sie Ihre Domain in Kleinbuchstaben ein — z. B. yourdomain.com oder eine dedizierte Subdomain wie help.yourdomain.com — und klicken Sie dann auf Save and Continue. Geben Sie sie sorgfältig ein: Eine gespeicherte Domain kann nicht bearbeitet oder gelöscht werden (ein Tippfehler erfordert ein Gladly-Support-Ticket zur Korrektur), und nur Kleinbuchstaben werden akzeptiert. Entscheiden Sie bewusst zwischen Root und Subdomain: Wenn Ihr Root-SPF bereits Google Workspace/Microsoft 365 plus Marketing-Tools stapelt, verwenden Sie eine Subdomain, damit der schwere Mailgun-Include von Ihrem Root-Eintrag fernbleibt.
- 3
Die SPF- und DKIM-Werte anzeigen
Fahren Sie mit der Maus über die Domain und klicken Sie auf View SPF and DKIM Values (auch als Find SPF and DKIM TXT Values bezeichnet). Kopieren Sie die SPF-Zeile — sie enthält include:mailgun.org — und den DKIM-TXT, der ein Host <selector>._domainkey plus ein k=rsa; p=…-Public-Key ist. Diese Werte werden pro Domain generiert, verwenden Sie also genau das, was Gladly anzeigt.
- 4
Den SPF-Eintrag veröffentlichen oder zusammenführen
Fügen Sie bei Ihrem DNS-Host auf der Versanddomain einen TXT-Eintrag hinzu: Host @ (oder das Subdomain-Label), Wert v=spf1 include:mailgun.org ~all. Wenn bereits ein v=spf1-Eintrag existiert, erstellen Sie keinen zweiten — führen Sie include:mailgun.org in diese einzelne Zeile zusammen (z. B. v=spf1 include:_spf.google.com include:mailgun.org ~all). Behalten Sie genau einen SPF-Eintrag pro Host.
- 5
Den DKIM-TXT-Eintrag veröffentlichen
Fügen Sie einen TXT-Eintrag am Selektor-Host hinzu, den Gladly anzeigt (ein Name <selector>._domainkey.yourdomain.com, z. B. smtp._domainkey), mit dem Wert k=rsa; p=<langer Base64-Schlüssel>. Da es ein 2048-Bit-Schlüssel ist, überschreitet er oft das 255-Zeichen-Limit für einen einzelnen TXT-String — teilen Sie ihn in zwei in Anführungszeichen gesetzte Strings auf (die meisten DNS-Oberflächen tun dies automatisch, wenn Sie eine Zeile einfügen). Geben Sie nur den Selektor-Teil ein, wo Ihr Host die Domain bereits anhängt, und achten Sie darauf, dass Ihr Registrar die Domain nicht zweimal anhängt.
- 6
Einen DMARC-Eintrag hinzufügen (Gladly tut es nicht)
Gladly veröffentlicht niemals DMARC, fügen Sie also Ihren eigenen hinzu: einen TXT unter _dmarc.yourdomain.com mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Beginnen Sie mit p=none, um Berichte zu sammeln und zu bestätigen, dass Gladly plus jeder andere Versender ausgerichtet besteht, und verschärfen Sie dann auf p=quarantine und schließlich p=reject.
- 7
MX-Einträge nur hinzufügen, wenn es eine reine Subdomain ist
Gladly weist darauf hin, dass eine E-Mail-Domain ohne Website (kein A/CNAME) — typischerweise eine Subdomain — MX-Einträge benötigen kann, um mit einigen Empfängern zu funktionieren. Wenn Ihre Versanddomain eine Subdomain ohne angehängte Website ist, fügen Sie die MX-Einträge für Ihren eingehenden Mail-Host hinzu. Überspringen Sie dies, wenn die Domain bereits auf eine Website auflöst. Es leitet die Mail nicht auf Gladly um.
- 8
In Gladly verifizieren, dann Reply-to und Weiterleitung einrichten
Kehren Sie zu Gladly zurück und prüfen Sie innerhalb von 72 Stunden erneut — der SPF- und DKIM-Status wechselt von Unverified auf Verified, sobald das DNS propagiert ist (verwenden Sie Check Verification Status im Kebab-Menü für eine erneute Abfrage). Fügen Sie die Einträge etwa eine Woche vor dem Start hinzu, damit Gladly Zeit zum Testen hat. Kontaktieren Sie dann den Gladly Support, um Ihre Reply-to-Adresse zu konfigurieren, und richten Sie die Weiterleitung von Ihrem bestehenden Mailserver an die von Gladly generierte Adresse ein (in der Form localpart@yoursubdomain.inbound.gladly.email), damit eingehende Kundenantworten Gladly erreichen — Gladly empfängt Mail per Weiterleitung, nicht per MX, das auf Gladly zeigt.
- 9
Ausgehendes Alignment testen
Senden Sie eine echte Antwort aus Gladly an ein Postfach, das Sie kontrollieren (Gmail funktioniert gut), und öffnen Sie Original anzeigen / vollständige Header. Bestätigen Sie dkim=pass mit d=yourdomain und dmarc=pass. SPF authentifiziert gegen Mailguns Return-Path-Domain (mailgun.org), sodass es besteht, sich aber nicht ausrichtet — DKIM ist der ausgerichtete Mechanismus, der DMARC trägt. Der Verified-Status in Gladly beweist nur, dass die Einträge geparst werden — die Header-Prüfung ist es, die das Alignment beweist.
Einzutragende Einträge
Gladly erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 include:mailgun.org ~allSPF für Ihre Gladly-Versanddomain (Host @ für eine Root-Domain oder das Subdomain-Label). Gladly generiert dies unter View SPF and DKIM Values. Führen Sie include:mailgun.org in Ihre bestehende v=spf1-Zeile zusammen, falls eine existiert — behalten Sie einen SPF-Eintrag. include:mailgun.org kostet ~5 DNS-Lookups vom RFC-7208-Limit von 10. |
| TXT | <selector>._domainkey.yourdomain.com | k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC... (per-account, truncated)DKIM — beispielhaft. Das genaue Selektor-Label (oft smtp) und der 2048-Bit-Public-Key sind für Ihre Domain einzigartig und werden auf dem Bildschirm View SPF and DKIM Values von Gladly angezeigt. Teilen Sie einen 2048-Bit-Schlüssel in zwei in Anführungszeichen gesetzte Strings auf, falls Ihr DNS-Host es verlangt, und geben Sie nur den Selektor-Teil ein, wo Ihr Host die Domain automatisch anhängt. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARC-Begleiter — Gladly erstellt dies nicht. Beginnen Sie mit p=none und verschärfen Sie nach dem Überwachen der Berichte auf quarantine/reject. Erforderlich, um die Massenversender-Regeln von Gmail/Yahoo/Microsoft zu erfüllen. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Gladly von diesem Budget verbraucht.
Gladly verbraucht 5 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
Gladly gibt Ihnen einen statischen DKIM-TXT-Eintrag, kein automatisch rotierendes CNAME: einen Host <selector>._domainkey.yourdomain.com (der Selektor ist oft smtp) mit k=rsa; p=<2048-Bit-Base64-Public-Key>. Gladly (über Mailgun) generiert das Schlüsselpaar, behält den privaten Schlüssel und zeigt Ihnen den öffentlichen Schlüssel zum Einfügen. Ausgehende Mail wird mit d= Ihrer Versanddomain signiert, sodass sich DKIM relaxed an Ihrer Organisationsdomain ausrichtet und einen DMARC-Pass trägt. Zwei betriebliche Hinweise sind wichtig. Erstens überschreitet ein 2048-Bit-Public-Key normalerweise das 255-Zeichen-Limit für einen einzelnen TXT-String, muss also in zwei in Anführungszeichen gesetzte Strings aufgeteilt werden — die meisten DNS-Panels teilen ihn automatisch auf, wenn Sie eine Zeile einfügen, aber einige verlangen, dass Sie die Anführungszeichen selbst hinzufügen, und eine fehlerhafte Aufteilung bedeutet dkim=fail, obwohl der Eintrag technisch existiert. Zweitens erfolgt die Rotation manuell: Anders als Mailguns moderne Automatic-Sender-Security-CNAMEs rotiert dieser statische Schlüssel nicht von selbst — ihn in Gladly neu zu generieren bedeutet, den DNS-TXT erneut zu bearbeiten. Behandeln Sie die Schlüsselrotation also als geplante Wartungsaufgabe. Kopieren Sie den Selektor genau so, wie er angezeigt wird; ein falscher Selektor oder ein abgeschnittener Schlüssel ist der häufigste Grund, warum ein \"grünes\" Setup dennoch bei DKIM fehlschlägt.
DMARC
Gladly veröffentlicht niemals einen DMARC-Eintrag — Sie fügen ihn selbst hinzu, und Sie brauchen ihn, um die Versenderregeln von Gmail, Yahoo und Microsoft zu erfüllen, selbst nachdem SPF und DKIM verifiziert sind. Der entscheidende Punkt: DKIM ist es, das hier DMARC trägt. Es signiert als d=yourdomain und richtet sich aus, sodass ein DMARC-Eintrag über das DKIM-Standbein besteht, sobald er live ist. SPF authentifiziert über include:mailgun.org, richtet sich aber nicht aus (Mailguns Standard-Return-Path ist mailgun.org, nicht Ihre Domain) — was in Ordnung ist, weil DMARC nur einen ausgerichteten Mechanismus benötigt, und DKIM liefert ihn. Veröffentlichen Sie einen TXT unter _dmarc.yourdomain.com, der mit v=DMARC1; p=none; rua=mailto:you@yourdomain.com beginnt. Führen Sie zuerst p=none aus, um Aggregatberichte zu sammeln und zu bestätigen, dass Gladly und jeder andere legitime Versender ausgerichtet bestehen, und steigern Sie dann auf p=quarantine und schließlich p=reject. Wenn Sie Gladly auf einer dedizierten Subdomain betreiben, denken Sie daran, dass die Subdomain die Richtlinie der Organisationsdomain erbt, sofern Sie nicht entweder einen _dmarc-Eintrag auf der Subdomain veröffentlichen oder eine sp=-Subdomain-Richtlinie auf der übergeordneten Domain setzen.
Prüfen, ob es wirklich funktioniert hat
Nachdem Sie die Einträge hinzugefügt haben, überprüft Gladly das DNS innerhalb von 72 Stunden erneut und stellt SPF und DKIM auf dem Domains-Bildschirm von Unverified auf Verified um (Sie können über Check Verification Status im Kebab-Menü eine erneute Abfrage erzwingen). Hören Sie hier nicht auf — ein Verified-Status bestätigt nur, dass die Einträge geparst werden, nicht, dass die Mail sich ausrichtet. Senden Sie eine echte Antwort aus Gladly an ein Postfach, das Sie kontrollieren (Gmail ist am einfachsten), und öffnen Sie Original anzeigen / vollständige Header: Sie wollen dkim=pass mit d=yourdomain und dmarc=pass — SPF wird spf=pass anzeigen, authentifiziert gegen Mailguns Return-Path (mailgun.org), was besteht, sich aber nicht ausrichtet, sodass DKIM das Standbein ist, das Ihren DMARC-Pass trägt. Lassen Sie dann Ihre Versanddomain durch einen externen SPF/DKIM/DMARC-Prüfer laufen, um zu bestätigen, dass include:mailgun.org sauber auflöst und Ihre gesamten SPF-Lookups unter 10 bleiben — dies ist die Prüfung, die einen PermError durch das Stapeln des schweren Mailgun-Includes auf einem bereits überfüllten Eintrag abfängt. Erst wenn der Header alle drei ausgerichtet zeigt, ist die Domain wirklich produktionsreif.
Häufige Stolperfallen
- Bricht die Authentifizierung
include:mailgun.org ist schwer — live verifiziert löst es sich in fünf DNS-Lookups auf (mailgun.org verschachtelt _spf.mailgun.org, das _spf1/_spf2 verschachtelt, plus _spf.eu.mailgun.org, was beide Regionen abdeckt). Das ist die Hälfte des Zehn-Lookup-Budgets nach RFC 7208 in einem Include, und weil Gladly von Ihrer echten Support-Adresse aus versendet, landet es normalerweise im SPF Ihrer Organisationsdomain. Wenn Google Workspace/Microsoft 365 und Marketing-Tools bereits dort sind, können Sie einen PermError auslösen. Beheben Sie dies, indem Sie Gladly auf einer dedizierten Versand-Subdomain betreiben.
- Bricht die Authentifizierung
Behalten Sie genau einen SPF-Eintrag pro Domain. Führen Sie include:mailgun.org in Ihre bestehende v=spf1-Zeile zusammen — veröffentlichen Sie keinen zweiten SPF-TXT, was selbst ein PermError ist. Gladlys eigenes Beispiel zeigt die Zusammenführung, z. B. v=spf1 include:spf.protection.outlook.com include:mailgun.org -all.
- DNS-Einrichtung
Der DKIM-Schlüssel ist ein statischer TXT, kein automatisch rotierendes CNAME. Ein 2048-Bit-Schlüssel überschreitet das 255-Zeichen-Limit für einen TXT-String und muss in zwei in Anführungszeichen gesetzte Strings aufgeteilt werden (die meisten Hosts tun dies automatisch — überprüfen Sie es). Den Schlüssel zu rotieren bedeutet, ihn in Gladly neu zu generieren und das DNS von Hand erneut zu bearbeiten.
- Abdeckung
Fügen Sie die Einträge etwa eine Woche vor dem Start hinzu. Die DNS-Verifizierung kann bis zu 72 Stunden dauern, und Gladly braucht Vorlaufzeit, um die Versanddomain zu testen, bevor sie live geht — der Status bleibt Unverified, bis beide Einträge bestätigt sind.
- Abdeckung
Eine gespeicherte Domain ist dauerhaft — sie kann nicht bearbeitet oder gelöscht werden, und nur Kleinbuchstaben werden akzeptiert. Ein Tippfehler bedeutet, ein Gladly-Support-Ticket zur Korrektur zu öffnen, überprüfen Sie die Domain also doppelt, bevor Sie auf Save and Continue klicken.
- Abdeckung
Ausgehend und eingehend sind zwei getrennte Aufgaben. SPF + DKIM authentifizieren ausgehende Antworten; eingehende Kundenmail erreicht Gladly erst, nachdem Sie die Weiterleitung von Ihrem Mailserver an eine von Gladly generierte Adresse (localpart@yoursubdomain.inbound.gladly.email) eingerichtet haben, die den ursprünglichen From beibehält. Die Weiterleitung funktioniert erst, wenn die Domain Verified ist, und Gladly empfängt keine Mail über MX, das auf Gladly zeigt.
- Abdeckung
Die Reply-to-Adresse ist nicht selbstbedienbar — Sie müssen den Gladly Support kontaktieren, um sie zu konfigurieren, und dann auch für diese Reply-to-Adresse eine Weiterleitung einrichten, damit Antworten zurück nach Gladly geleitet werden.
- DNS-Einrichtung
Gladly erstellt niemals einen DMARC-Eintrag. Ohne einen _dmarc-TXT können Sie die Massenversender-Anforderungen von Gmail/Yahoo/Microsoft nicht erfüllen, obwohl SPF und DKIM bestehen — veröffentlichen Sie Ihren eigenen und beginnen Sie mit p=none.
- DNS-Einrichtung
Eine reine Versand-Subdomain ohne Website (kein A/CNAME) benötigt möglicherweise MX-Einträge, um mit einigen Empfängern zu funktionieren, worauf Gladly ausdrücklich hinweist. Achten Sie auch auf Registrare, die Ihre Domain automatisch an den DKIM-Host anhängen und ihn verdoppeln (…_domainkey.yourdomain.com.yourdomain.com).
Erstellen Sie Ihren SPF-Eintrag
Gladly ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listGladly SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.