SPF, DKIM & DMARC für GoDaddy.
GoDaddy Professional Email — inzwischen als "Professional Email, powered by Titan" vertrieben — authentifiziert Ihre Domain nicht über einen Assistenten, sondern über drei gewöhnliche DNS-Einträge: einen SPF-TXT-Eintrag mit GoDaddys gemeinsam genutztem include:secureserver.net, zwei DKIM-CNAMEs (secureserver1._domainkey und secureserver2._domainkey), die zurück an GoDaddy delegiert werden, sowie eine DMARC-Richtlinie unter _dmarc. Bei GoDaddy gibt es eine Besonderheit: Seit April 2025 werden auf Domains, die bei GoDaddy gekauft oder zu GoDaddy transferiert wurden, DKIM und ein Standard-DMARC-Eintrag automatisch eingefügt — ein Teil der Einrichtung ist also möglicherweise bereits erledigt, bevor Sie überhaupt etwas anfassen. Wenn GoDaddy sowohl Ihr DNS als auch Ihre Postfächer hostet, kann die Anwendung der Einträge für Sie erfolgen; liegt Ihr DNS anderswo, kopieren Sie die Werte aus dem Email & Office Dashboard und fügen sie von Hand hinzu.
Warum GoDaddy authentifizieren?
Ob GoDaddy-gehostete Mail im Posteingang landet, entscheidet sich an ihrer Authentifizierung. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Absender, dass er SPF oder DKIM besteht, und von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), zusätzlich eine DMARC-Richtlinie mit Ausrichtung (Alignment) zu veröffentlichen; Microsoft begann im Mai 2025, dasselbe für hochvolumige Mail an Outlook.com und Hotmail durchzusetzen. Solange nicht sowohl SPF als auch DKIM zu Ihrer Domain ausgerichtet sind, ist GoDaddy-Mail Ihnen nur schwach zuzuordnen, DMARC kann nicht bestehen, und weitergeleitete Nachrichten fallen auseinander. GoDaddy fügt einen zweiten, hausgemachten Grund hinzu, dies richtig zu machen: Auf neuen und transferierten Domains veröffentlicht GoDaddy jetzt einen Standard-DMARC-Eintrag mit p=quarantine — an dem Tag also, an dem Sie ein CRM, ein Kontaktformular-Plugin oder ein Newsletter-Tool auf Ihre Domain richten, ohne sie zu authentifizieren, wird diese Mail durch Ihre eigene Richtlinie aktiv in den Spam-Ordner geleitet. SPF, DKIM und DMARC sauber umzusetzen richtet Ihre echten Absender aus, sorgt dafür, dass die Quarantäne-Richtlinie für Sie und nicht gegen Sie arbeitet, und baut Versandreputation unter Ihrer eigenen Domain auf.
Die SPF-Realität bei GoDaddy
GoDaddy Professional Email ist ein echter "Include"-Anbieter: Sie fügen dem einzelnen SPF-TXT-Eintrag auf Ihrer Root-Domain einen gemeinsam genutzten Mechanismus hinzu, include:secureserver.net — GoDaddy veröffentlicht ihn als v=spf1 include:secureserver.net -all. Da Ihr GoDaddy-Postfach mit einem Envelope (Return-Path) auf Ihrer eigenen Domain versendet, richtet SPF sich tatsächlich aus und trägt zu einem DMARC-Pass bei, nicht nur DKIM. Zwei Umstände machen GoDaddys SPF ungewöhnlich. Erstens ist es teuer: secureserver.net wird NICHT direkt zu IP-Bereichen aufgelöst — es verschachtelt sich, secureserver.net → include:spf-0.secureserver.net → include:spf.protection.outlook.com — und verbraucht damit DREI Ihrer 10 erlaubten SPF-DNS-Lookups, während Google Workspace und Microsoft 365 jeweils nur einen kosten. Fügen Sie noch einen weiteren Absender hinzu, und Sie steuern schnell auf das PermError-Limit von 10 Lookups aus RFC 7208 zu. Zweitens autorisiert include:secureserver.net GoDaddy-gehostete Mail (Professional Email / Titan sowie GoDaddy Linux/cPanel-Hosting) und sonst nichts. Ein großer Teil der "GoDaddy"-Domains versendet in Wirklichkeit über Microsoft 365 (selbst wenn das Abonnement über GoDaddy gekauft wurde) oder Google Workspace — diese brauchen stattdessen include:spf.protection.outlook.com oder include:_spf.google.com, und secureserver.net stehen zu lassen verschwendet zugleich drei Lookups und autorisiert Server, von denen Sie nie versenden. Und noch etwas: GoDaddys eigenes E-Mail-Marketing-Produkt (GoDaddy Digital Marketing / Kampagnen) nutzt einen anderen, flachen Include, include:spf.em.secureserver.net — er ist nicht dasselbe wie Postfach-Mail. Wie auch immer Ihre Mischung aussieht: Behalten Sie genau einen SPF-Eintrag und führen Sie jeden Mechanismus in dieser einen v=spf1-Zeile zusammen.
Schritt für Schritt
- 1
Bestätigen Sie, dass GoDaddy Ihre Mail tatsächlich versendet
include:secureserver.net gehört nur auf Ihre Domain, wenn Ihre Postfächer GoDaddy Professional Email / Titan sind oder Sie von GoDaddy Linux/cPanel-Hosting versenden. Wenn Sie zu Microsoft 365 oder Google Workspace gewechselt sind (auch über GoDaddy gekauft), überspringen Sie secureserver.net vollständig und verwenden stattdessen include:spf.protection.outlook.com oder include:_spf.google.com. Den falschen Include hier zu verwenden ist der mit Abstand häufigste GoDaddy-Authentifizierungsfehler.
- 2
Prüfen Sie, was GoDaddy bereits veröffentlicht hat
Auf Domains, die nach April 2025 bei GoDaddy gekauft oder zu GoDaddy transferiert wurden, fügt GoDaddy die beiden DKIM-CNAMEs und einen Standard-DMARC-Eintrag (p=quarantine) automatisch hinzu. Öffnen Sie Manage DNS und suchen Sie nach vorhandenen secureserver1._domainkey / secureserver2._domainkey CNAMEs und einem _dmarc-TXT, bevor Sie etwas hinzufügen — damit Sie diese Einträge bearbeiten, statt widersprüchliche Duplikate anzulegen.
- 3
Holen Sie sich Ihre exakten Eintragswerte
Melden Sie sich mit Ihrem GoDaddy-Benutzernamen und -Passwort im Email & Office Dashboard (email.godaddy.com) an. Wenn GoDaddy Ihr DNS hostet, kann es die SPF- und DKIM-Einträge automatisch anwenden. Liegt Ihr DNS anderswo, liefert Ihnen das Dashboard (und GoDaddys Hilfeartikel zu Professional Email) den SPF-Wert und die beiden secureserver._domainkey CNAME-Ziele — die für Ihr Konto einzigartig sind — zum manuellen Kopieren und Hinzufügen.
- 4
Öffnen Sie den DNS-Editor
Für GoDaddy-gehostetes DNS melden Sie sich an, öffnen Ihr Domain Portfolio (in älteren Konten My Products genannt), wählen die versendende Domain und öffnen Domain → DNS (Manage DNS). Sie sehen eine Tabelle vorhandener Einträge; verwenden Sie Add New Record, um jeden einzelnen anzulegen. Beachten Sie GoDaddys Name-Konvention: Ihre Domain wird automatisch angehängt, Sie geben also nur den davorstehenden Teil ein (@ für die Root), niemals den vollständigen Hostnamen.
- 5
SPF-Eintrag hinzufügen oder zusammenführen
Typ TXT, Name @ (GoDaddys Kurzform für die Root-Domain), Wert v=spf1 include:secureserver.net -all. Falls bereits ein SPF-Eintrag existiert, fügen Sie KEINEN zweiten hinzu — bearbeiten Sie den vorhandenen Eintrag und führen Sie include:secureserver.net in diese eine v=spf1-Zeile ein. Zwei SPF-Einträge sind ein PermError und lassen SPF stillschweigend fehlschlagen.
- 6
Die beiden DKIM-CNAMEs hinzufügen
Typ CNAME für beide. Erster Eintrag: Name secureserver1._domainkey, Wert = das erste Ziel aus Ihrem Dashboard. Zweiter Eintrag: Name secureserver2._domainkey, Wert = dessen Ziel. Setzen Sie TTL auf 1 Hour. Wenn GoDaddy diese auf einer Domain von nach April 2025 vorab angelegt hat, bestätigen Sie nur, dass die Werte übereinstimmen, statt sie zu duplizieren. Weil es sich um an GoDaddy delegierte CNAMEs handelt, hält GoDaddy die privaten Schlüssel und kann sie rotieren, ohne dass Sie DNS erneut bearbeiten.
- 7
Den DMARC-Eintrag setzen (oder zurückholen)
Typ TXT, Name _dmarc, Wert v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, um im Monitor-Modus zu starten. Kritische GoDaddy-Besonderheit: Das von GoDaddy eingefügte Standard-DMARC sendet seine Aggregatberichte an rua=mailto:dmarc_rua@onsecureserver.net — die Berichte gehen also an GoDaddy, nicht an Sie. Bearbeiten Sie den Eintrag so, dass rua auf Ihr eigenes Postfach oder einen DMARC-Analyzer zeigt. Behalten Sie p=quarantine nur, wenn jeder Absender bereits authentifiziert ist; gehen Sie auf p=none zurück, solange Sie Ihre Absender noch in die Ausrichtung bringen, damit Sie keine legitime Mail in Quarantäne stellen.
- 8
Auf Propagierung warten, dann an einer echten Nachricht testen
DNS-Änderungen bei GoDaddy werden meist innerhalb einer Stunde wirksam, können aber bis zu 48 Stunden dauern. Senden Sie eine Nachricht von Ihrem GoDaddy-Postfach an ein Gmail-Konto, öffnen Sie sie und wählen Sie ⋮ → Original anzeigen. Sie möchten SPF: PASS, DKIM: PASS signiert von yourdomain.com (Selektor secureserver1 oder secureserver2) und DMARC: PASS sehen — alle ausgerichtet auf Ihre Domain, nicht auf secureserver.net.
- 9
Die Einträge bestätigen und das Lookup-Budget im Auge behalten
Führen Sie die Domain durch {healthCheck} von Qualisend und den SPF/DKIM/DMARC-Checker, um zu bestätigen, dass jeder Eintrag auflöst. Achten Sie auf die SPF-Lookup-Zahl: secureserver.net allein verschlingt drei Ihrer zehn Lookups, wenn Sie also zusätzlich über andere Tools versenden, können Sie das Limit erreichen — flatten Sie oder entfernen Sie ungenutzte Includes. Sobald DMARC-Berichte an Ihre eigene rua-Adresse eintreffen, führen Sie sie in den {dmarcAnalyzer} ein, um zu bestätigen, dass GoDaddy als ausgerichtete, bestehende Quelle erscheint.
Einzutragende Einträge
GoDaddy erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 include:secureserver.net -allRoot-SPF für GoDaddy Professional Email / Titan. Behalten Sie genau einen SPF-Eintrag — führen Sie andere Absender in diese Zeile zusammen. Dieser Include kostet 3 DNS-Lookups (er verschachtelt secureserver.net → spf-0.secureserver.net → spf.protection.outlook.com). |
| CNAME | secureserver1._domainkey | <unique-target-1>.dkim.secureserver.netBeispielhaft — GoDaddy generiert das exakte CNAME-Ziel pro Konto. Kopieren Sie den echten Wert aus Ihrem Email & Office Dashboard. TTL 1 Hour. |
| CNAME | secureserver2._domainkey | <unique-target-2>.dkim.secureserver.netBeispielhaft — zweiter DKIM-Selektor, ebenfalls kontospezifisch. Kopieren Sie das exakte Ziel aus Ihrem Dashboard. TTL 1 Hour. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comEin DMARC-Eintrag pro Domain. GoDaddy hat möglicherweise einen mit p=quarantine und rua=mailto:dmarc_rua@onsecureserver.net vorab hinzugefügt (Berichte gehen an GoDaddy) — bearbeiten Sie ihn so, dass rua auf Ihre eigene Adresse zeigt. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von GoDaddy von diesem Budget verbraucht.
GoDaddy verbraucht 3 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM für GoDaddy Professional Email wird delegiert, nicht eingefügt. Sie veröffentlichen zwei CNAME-Einträge — secureserver1._domainkey und secureserver2._domainkey — die jeweils auf ein kontospezifisches Ziel verweisen, das auf secureserver.net endet, und GoDaddy hält die passenden privaten Schlüssel und signiert Ihre ausgehende Mail damit. Weil es sich um CNAMEs handelt, die zurück an GoDaddy delegiert sind, und nicht um TXT-Einträge, die Ihnen gehören, kann GoDaddy die veröffentlichten Schlüssel hinter diesen beiden Selektoren rotieren, ohne dass Sie jemals wieder DNS bearbeiten müssen. Sowohl das klassische Professional Email als auch das neuere Professional Email powered by Titan verwenden dieselben Selektoren secureserver1 / secureserver2. Auf Domains, die nach April 2025 bei GoDaddy gekauft oder zu GoDaddy transferiert wurden, fügt GoDaddy diese beiden CNAMEs für Professional Email automatisch hinzu — bevor Sie sie anlegen, öffnen Sie also Manage DNS und prüfen, ob sie bereits existieren (die Werte bestätigen, nicht duplizieren). Wenn GoDaddy Ihr DNS und Ihre Postfächer hostet, wird häufig das Ganze für Sie angewendet; nur wenn Ihr DNS anderswo gehostet ist, kopieren Sie die beiden exakten Ziele aus dem Email & Office Dashboard und fügen sie von Hand hinzu. Tippen Sie den vollständigen Hostnamen nicht in das Feld Name — GoDaddy hängt Ihre Domain an, Sie geben also secureserver1._domainkey ein, nicht secureserver1._domainkey.yourdomain.com.
DMARC
DMARC ist ein separater Richtlinien-Eintrag unter _dmarc.yourdomain.com, und GoDaddy gehört zu den wenigen Registraren, die einen für Sie veröffentlichen. Seit April 2025 erhält jede Domain, die bei GoDaddy gekauft oder zu GoDaddy transferiert wurde, einen automatisch in die Zone eingefügten Standard-DMARC-Eintrag mit p=quarantine — fehlschlagende Mail wird also bereits in den Spam geleitet — wobei die Aggregatberichte (rua) an GoDaddys eigene Adresse dmarc_rua@onsecureserver.net gerichtet sind, nicht an Ihre. (GoDaddy startete den Rollout mit p=reject und milderte ihn zwischenzeitlich auf p=quarantine ab, sodass eine ältere Domain womöglich noch die härtere Richtlinie trägt — prüfen Sie Ihre.) Daraus folgen zwei Dinge. Erstens: Holen Sie sich Ihr Reporting zurück — bearbeiten Sie den Eintrag so, dass rua auf Ihr eigenes Postfach oder einen DMARC-Analyzer zeigt, sonst erfahren Sie nie, wer als Ihre Domain versendet. Zweitens: Wählen Sie die Richtlinie bewusst. Wenn jeder legitime Absender authentifiziert und ausgerichtet ist, ist es genau richtig, p=quarantine beizubehalten (und später auf p=reject zu verschärfen). Wenn Sie Ihre Absender aber noch in die Ausrichtung bringen, setzen Sie vorübergehend p=none, damit die Standard-Quarantäne Ihre echte Mail nicht stillschweigend als Spam einordnet, während Sie fertig werden. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Domain, egal wie viele Absender Sie verwenden, und denken Sie daran, dass Sie die volle Kontrolle behalten — GoDaddys eingefügter Eintrag ist ein normaler, bearbeitbarer TXT-Eintrag, nichts Gesperrtes.
Prüfen, ob es wirklich funktioniert hat
Verlassen Sie sich nicht allein auf GoDaddys Dashboard oder die eingefügten Einträge — bestätigen Sie es an einer echten Nachricht. Senden Sie von Ihrem GoDaddy-Postfach an ein Gmail-Konto, öffnen Sie die Nachricht und wählen Sie ⋮ → Original anzeigen: Sie möchten SPF: PASS, DKIM: PASS mit signed-by: yourdomain.com (Selektor secureserver1 oder secureserver2) und DMARC: PASS sehen, alle ausgerichtet auf Ihre Domain und nicht auf secureserver.net. Lieber einen vollständigen Bericht? Senden Sie einen Test an check-auth@verifier.port25.com, und Sie erhalten eine Aufschlüsselung per E-Mail zurück. Die Rohdaten der Einträge können Sie stichprobenartig mit dig TXT yourdomain.com, dig CNAME secureserver1._domainkey.yourdomain.com und dig TXT _dmarc.yourdomain.com prüfen. Die Propagierung bei GoDaddy dauert meist unter einer Stunde, kann aber bis zu 48 Stunden in Anspruch nehmen. Führen Sie die Domain schließlich durch {healthCheck} von Qualisend, um zu bestätigen, dass jeder Eintrag auflöst und — für GoDaddy besonders wichtig — dass die Drei-Lookup-Kette von secureserver.net Ihr SPF nicht über das 10-Lookup-Limit gedrückt hat; sobald Berichte an Ihre eigene rua-Adresse gelangen, geben Sie einen in den {dmarcAnalyzer}, um zu bestätigen, dass GoDaddy eine ausgerichtete, bestehende Quelle ist.
Häufige Stolperfallen
- Bricht die Authentifizierung
include:secureserver.net kostet 3 SPF-Lookups, nicht 1 — es verschachtelt secureserver.net → spf-0.secureserver.net → spf.protection.outlook.com. Zusammen mit jedem weiteren Absender (Google, Mailchimp, einem ESP) kann diese Kette allein Sie in Richtung des 10-Lookup-PermError-Limits drücken, ab dem SPF stillschweigend aufhört zu funktionieren.
- Abdeckung
secureserver.net ist der FALSCHE Include, wenn Sie in Wirklichkeit über Microsoft 365 (auch ein über GoDaddy gekauftes Abonnement) oder Google Workspace versenden. Verwenden Sie stattdessen include:spf.protection.outlook.com oder include:_spf.google.com — secureserver.net stehen zu lassen autorisiert Server, von denen Sie nicht versenden, und richtet Ihre echte Mail nicht aus.
- Abdeckung
Seit April 2025 fügt GoDaddy auf neuen und transferierten Domains stillschweigend einen Standard-DMARC-Eintrag mit p=quarantine ein, wobei rua auf dmarc_rua@onsecureserver.net zeigt — fehlschlagende Mail wird also bereits in Quarantäne gestellt, und die Berichte gehen an GoDaddy, nicht an Sie. Bearbeiten Sie den Eintrag, um Ihre eigene rua hinzuzufügen.
- Abdeckung
Der p=quarantine-Standard kann legitime, aber nicht authentifizierte Mail (ein CRM, ein Formular-Plugin, ein vergessenes Newsletter-Tool) klammheimlich direkt in den Spam leiten. Inventarisieren Sie jeden Absender und richten Sie jeden aus, bevor Sie der Standardrichtlinie vertrauen.
- Bricht die Authentifizierung
Pro Domain ist nur ein SPF-Eintrag erlaubt. Ein zweiter v=spf1-TXT-Eintrag ist ein PermError, der SPF vollständig fehlschlagen lässt — führen Sie immer in den vorhandenen Eintrag zusammen, fügen Sie nie einen parallelen hinzu.
- Abdeckung
Beachten Sie GoDaddys Name/@-Konvention: Ihre Domain wird automatisch angehängt. Geben Sie @ für das Root-SPF ein, secureserver1._domainkey (nicht den vollständigen FQDN) für DKIM und _dmarc für DMARC. Die vollständige Domain zu tippen hängt sie doppelt an (z. B. _dmarc.yourdomain.com.yourdomain.com).
- Bricht die Authentifizierung
Wenn Ihre Nameserver von GoDaddy weg zeigen (Cloudflare, Route 53, Ihr Webhoster), bewirkt das Bearbeiten des DNS innerhalb von GoDaddy nichts — fügen Sie die Einträge dort hinzu, wo Ihre Nameserver tatsächlich auflösen. Prüfen Sie zuerst die Nameserver der Domain.
- Abdeckung
GoDaddys Standard-SPF endet auf -all (Hard Fail), was nur sicher ist, wenn secureserver.net Ihr EINZIGER Absender ist. Fügen Sie zuerst jeden weiteren versendenden Dienst dem Eintrag hinzu oder verwenden Sie ~all, während Sie konsolidieren, damit Sie legitime Mail nicht per Hard Fail abweisen.
Erstellen Sie Ihren SPF-Eintrag
GoDaddy ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listGoDaddy SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.