SPF, DKIM & DMARC für Intercom.
Intercom ist einer Ihrer lautesten Versandkanäle: Support-Antworten aus dem Posteingang, Fin-AI-Lösungen, Series- und Outbound-Kampagnen sowie Lifecycle-Nachrichten laufen alle darüber. Damit diese Mail im Posteingang ankommt und Google, Yahoo und Microsoft zufriedenstellt, muss sie sich als IHRE Domain authentifizieren, nicht als intercom-mail.com. Intercom erledigt das mit CNAME-basierter Domain-Authentifizierung: Sie verifizieren eine Absenderadresse und veröffentlichen dann einen kleinen Satz von CNAME-Einträgen, die die DKIM-Signatur und den Return-Path an Intercom delegieren, sowie einen DMARC-TXT-Eintrag. Diese Anleitung führt Sie durch die exakte moderne Einrichtung — den Weg im Dashboard, die Form jedes Eintrags, warum es kein SPF include: zum Einfügen gibt und wie Sie das Ganze verifizieren.
Warum Intercom authentifizieren?
Wenn Sie Intercom-Mail von einer Adresse auf Ihrer eigenen Domain versenden, ohne sie zu authentifizieren, sehen Empfänger eine Nachricht, die vorgibt, von Ihnen zu stammen, aber keine auf Ihre Domain ausgerichtete DKIM-Signatur und keinen ausgerichteten Return-Path trägt — das lässt DMARC fehlschlagen und wird in den Spam gefiltert oder rundheraus abgewiesen. Die Absenderadresse auf dem Standardabsender intercom-mail.com zu belassen vermeidet das zwar, überlässt aber Ihre Marke und Ihr Vertrauen der geteilten Domain von Intercom. Seit Februar 2024 verlangen Google und Yahoo formal SPF, DKIM und DMARC von allen, die Massen-Mail versenden (grob ab 5.000+ Nachrichten/Tag), und Microsoft ist nachgezogen. Die abgeschlossene Domain-Authentifizierung in Intercom verschafft Ihnen eine DKIM-Signatur, die auf Ihre Domain ausgerichtet ist, einen SPF-ausgerichteten benutzerdefinierten Return-Path und einen DMARC-Eintrag, der alles zusammenbindet — die Kombination, die Ihnen die Platzierung im Posteingang sichert.
Die SPF-Realität bei Intercom
Intercom ist ein CNAME-Anbieter, kein SPF-include:-Anbieter. Es gibt KEINEN geteilten String wie "include:intercom.com", den Sie Ihrem Root-SPF-Eintrag (v=spf1) hinzufügen müssten — einen solchen zu veröffentlichen bringt nichts Nützliches und zehrt nur an Ihrem SPF-Budget von 10 Lookups. Stattdessen setzt Intercom bei jeder versendeten Nachricht einen benutzerdefinierten Return-Path (die Envelope-Sender- / Bounce-Domain): eine Subdomain IHRER Domain, die Sie per CNAME an Intercom delegieren. Da diese Subdomain per CNAME auf den eigenen Return-Path-Host von Intercom zeigt, folgt die SPF-Prüfung der Kette bis zum SPF-Eintrag von Intercom und besteht auf den autorisierten Versand-IPs von Intercom — und da die Envelope-Domain eine Subdomain Ihrer Domain ist, erfüllt sie das entspannte SPF-Alignment von DMARC gegenüber Ihrer From-Domain. Nettoeffekt: Ihr Root-SPF-Eintrag bleibt genau so, wie er ist, und Intercom fügt ihm null DNS-Lookups hinzu. Wenn Sie bereits über Google Workspace, Microsoft 365 oder einen ESP versenden, lassen Sie diese include:-Einträge unangetastet; Intercom lebt vollständig in den DKIM- und Return-Path-CNAMEs.
Schritt für Schritt
- 1
Verifizieren Sie die Absenderadresse, die Sie verwenden werden
Bevor Sie eine Domain authentifizieren können, muss Intercom bestätigen, dass Sie eine Absenderadresse darauf kontrollieren (zum Beispiel help@yourdomain.com oder hello@yourdomain.com). Fügen Sie die Adresse hinzu oder bearbeiten Sie sie, und Intercom sendet einen Verifizierungslink an dieses Postfach — klicken Sie ihn an und kehren Sie dann zu Intercom zurück. Sie können Domains nur für Adressen authentifizieren, die Sie auf diese Weise verifiziert haben.
- 2
Öffnen Sie „Authenticate your domain“, um Ihre Einträge anzuzeigen
Wählen Sie mit der verifizierten Adresse die Domain aus und klicken Sie auf „Authenticate your domain“ (ältere Workspaces zeigen „Finish setup“). Intercom erzeugt die exakten Einträge für DIESEN Workspace und diese Domain: zwei CNAMEs (DKIM + benutzerdefinierter Return-Path) und einen DMARC-TXT. Lassen Sie diesen Bildschirm geöffnet — Sie kopieren Name/Host und Value/Target jedes Eintrags wortwörtlich.
- 3
Veröffentlichen Sie den DKIM-CNAME
Erstellen Sie einen CNAME, dessen Host der Intercom-DKIM-Selector ist — intercom._domainkey.yourdomain.com — und der auf das DKIM-Target zeigt, das Intercom anzeigt. Damit delegieren Sie das DKIM-Schlüssel-Hosting an Intercom, sodass die Signatur (d=) auf Ihre Domain ausgerichtet ist und Intercom später Schlüssel rotieren kann, ohne dass Sie das DNS erneut anfassen müssen. Es ist ein CNAME, niemals ein TXT-Eintrag.
- 4
Veröffentlichen Sie den benutzerdefinierten Return-Path-CNAME
Erstellen Sie den zweiten CNAME genau so, wie Intercom ihn auflistet — eine Bounce-/Return-Path-Subdomain Ihrer Domain, die auf den Return-Path-Host von Intercom zeigt. Das ist es, was SPF auf Ihre Domain ausrichtet: Intercom stempelt den Envelope-Sender auf diese Subdomain, die SPF-Prüfung folgt dem CNAME zur autorisierten Infrastruktur von Intercom und besteht, und DMARC sieht eine ausgerichtete Domain. Dies zu überspringen lässt Sie mit reiner DKIM-Authentifizierung zurück.
- 5
Lassen Sie Ihren Root-SPF-Eintrag unangetastet
Fügen Sie Ihrem v=spf1-Eintrag keinen Intercom- oder SendGrid-include: hinzu — Intercom verwendet für Kundendomains keinen, und der Return-Path-CNAME kümmert sich bereits um das SPF-Alignment. Wenn ein Root-SPF-Eintrag für andere Absender existiert (Google, Microsoft, ein ESP), belassen Sie ihn wie er ist. Kümmern Sie sich nur dann erneut darum, wenn ein Checker später zeigt, dass Sie durch Ihre ANDEREN Absender die 10 SPF-Lookups überschreiten.
- 6
Veröffentlichen oder verschärfen Sie Ihren DMARC-Eintrag
Wenn Sie noch keinen DMARC-Eintrag haben, fügen Sie einen TXT unter _dmarc.yourdomain.com hinzu. Intercom bietet einen Startwert von p=none (nur Monitoring) — veröffentlichen Sie ihn, um mit dem Sammeln von Reports zu beginnen, und schließen Sie immer ein rua=-Postfach ein, damit Sie Aggregat-Daten empfangen. Wenn Sie bereits DMARC haben, brauchen Sie die Kopie von Intercom nicht; bestätigen Sie nur, dass Ihre bestehende Richtlinie weiterhin passt, jetzt da Intercom eine ausgerichtete Quelle ist.
- 7
Behandeln Sie anbieterspezifische DNS-Eigenheiten
Setzen Sie auf Cloudflare jeden CNAME auf DNS-only (graue Wolke, Proxy AUS), sonst bricht die Auflösung. Auf GoDaddy und einigen Registraren geben Sie den Namen ohne abschließenden Punkt und ohne erneutes Anhängen Ihrer Domain ein, wenn das Panel sie automatisch hinzufügt; andere Panels benötigen den vollqualifizierten Namen (intercom._domainkey.yourdomain.com). Wenn bereits ein Eintrag mit demselben Host existiert, entfernen Sie ihn — ein CNAME kann nicht mit einem anderen Eintrag auf demselben Namen koexistieren.
- 8
Validieren Sie in Intercom und bestätigen Sie das Alignment
Kehren Sie zu „Domains & addresses“ zurück und klicken Sie auf „Validate authentication“. DNS kann bis zu 72 Stunden zur Propagierung brauchen (meist weit weniger); wenn es also fehlschlägt, warten Sie und versuchen Sie es erneut, statt korrekte Einträge zu bearbeiten. Sobald grün, senden Sie eine Testnachricht und prüfen Sie die Header, um DKIM=pass und SPF=pass mit Domains, die auf Ihre ausgerichtet sind, sowie dmarc=pass zu bestätigen.
Einzutragende Einträge
Intercom erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| CNAME | intercom._domainkey.yourdomain.com | dkim.intercom-mail.comBeispielhaft. DKIM-Delegation über den Selector intercom._domainkey. Der exakte Value wird pro Workspace/Domain erzeugt und in Ihrem Authenticate-your-domain-Bildschirm angezeigt — kopieren Sie ihn wortwörtlich. Regionale Workspaces erhalten unterschiedliche Targets: EU-Workspaces lösen auf intercom-mail.eu auf, AU-Workspaces auf au.intercom-mail.com. |
| CNAME | <intercom-generated-label>.yourdomain.com | custom-return-path.intercom-mail.comNur beispielhaft. Dies ist der benutzerdefinierte Return-Path-(Bounce-)CNAME, der das SPF-Alignment liefert. Intercom erzeugt das exakte Host-Label UND das Target für Ihren spezifischen Workspace/Ihre Domain — das Label ist KEIN festes Wort, kopieren Sie also beide aus dem Authenticate-your-domain-Bildschirm wortwörtlich, statt dieses Beispiel abzutippen. Es ist ein CNAME, niemals ein TXT-/SPF-Eintrag. |
| TXT | _dmarc.yourdomain.com | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARC-Begleiter. Intercom füllt p=none (nur Monitoring) vor. Veröffentlichen Sie ihn, wenn Sie noch kein DMARC haben, und verschärfen Sie ihn dann auf quarantine/reject, sobald die Reports sauber aussehen. Wenn Sie bereits einen DMARC-Eintrag haben, behalten Sie Ihren. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Intercom von diesem Budget verbraucht.
Die empfohlene Einrichtung von Intercom fügt 0 Lookups hinzu — alle 10 bleiben frei für die Absender, die tatsächlich ein include benötigen.
DKIM
Intercom verwendet CNAME-delegiertes DKIM statt eines selbst gehosteten TXT-Schlüssels. Sie veröffentlichen einen einzigen Selector — intercom._domainkey.yourdomain.com — als CNAME, der auf den DKIM-Host von Intercom zeigt, und Intercom erzeugt, hostet und rotiert den zugrunde liegenden Schlüssel. Da die signierende Domain (d=) Ihre Domain ist, wird jede Nachricht DKIM-signiert und DKIM-ausgerichtet, was der stärkere der beiden DMARC-Alignment-Pfade ist und die meisten Weiterleitungen übersteht. Es gibt nur einen Selector hinzuzufügen, und Sie müssen nie einen langen Public-Key-String einfügen oder ihn aktualisieren, wenn Intercom Schlüssel rotiert — der CNAME löst auf den jeweils aktuellen von Intercom veröffentlichten Schlüssel auf.
DMARC
DMARC ist der Eintrag, der das SPF- und DKIM-Alignment von Intercom in eine durchgesetzte Richtlinie verwandelt und Ihnen Reporting liefert. Intercom bietet einen Starter-TXT unter _dmarc.yourdomain.com mit p=none — veröffentlichen Sie diesen (mit einer rua=-Adresse), wenn Sie noch kein DMARC haben, damit Sie Aggregat-Reports empfangen, ohne legitime Mail zu riskieren. Sobald Intercom grün validiert und Ihre Reports bestätigen, dass sowohl die DKIM-Signatur als auch der Return-Path auf Ihre Domain ausgerichtet sind, schärfen Sie die Richtlinie nach: von p=none auf p=quarantine, dann auf p=reject, sobald auch andere legitime Absender (Google, Microsoft, ESPs) bestehen. Wenn Sie über Ihre Domain mehr als ~5.000 Nachrichten/Tag versenden, verlangen Google und Yahoo mindestens eine veröffentlichte DMARC-Richtlinie. Ein einziger organisatorischer DMARC-Eintrag deckt Intercom und jeden anderen Absender ab — Sie fügen keinen separaten für Intercom hinzu.
Prüfen, ob es wirklich funktioniert hat
Klicken Sie in Intercom unter „Domains & addresses“ auf „Validate authentication“; ein grüner Status bedeutet, dass beide CNAMEs aufgelöst wurden und DKIM/Return-Path aktiv sind. Verifizieren Sie dann unabhängig: Senden Sie sich selbst eine Testnachricht aus Intercom und sehen Sie sich das Original/die Header an — Sie wollen DKIM=pass mit d=yourdomain.com, SPF=pass mit einem Envelope/Return-Path, der eine Subdomain von yourdomain.com ist, und dmarc=pass. Sie können Ihre Domain außerdem durch einen externen SPF/DKIM/DMARC-Checker laufen lassen, um zu bestätigen, dass der intercom._domainkey-CNAME und der _dmarc-TXT im öffentlichen DNS sichtbar sind. Da die Propagierung bis zu 72 Stunden dauern kann, behandeln Sie einen frühen Fehlschlag als „noch nicht propagiert“ statt als Fehlkonfiguration, sofern die Einträge korrekt kopiert wurden.
Häufige Stolperfallen
- Bricht die Authentifizierung
Fügen Sie für Intercom KEINEN SPF-include: hinzu. Kundendomains haben keinen include:intercom-String — Intercom richtet SPF über den benutzerdefinierten Return-Path-CNAME aus. Ein erfundener include: (oder das Kopieren von intercom.com eigenem SendGrid-include:) bringt nichts und zehrt an Ihrem SPF-Budget von 10 Lookups.
- DNS-Einrichtung
Alle Versandeinträge sind CNAMEs, keine TXT. Nur der DMARC-Eintrag ist ein TXT. Wenn Ihr DNS-Panel Sie zur Wahl eines Typs zwingt, wählen Sie CNAME für den DKIM-Selector und den Return-Path-Host — sie als TXT einzufügen lässt die Validierung fehlschlagen.
- DNS-Einrichtung
Schalten Sie auf Cloudflare den Proxy AUS (graue Wolke / DNS-only) für beide CNAMEs. Ein per orangefarbener Wolke geproxyter CNAME löst auf Cloudflare statt auf den Mail-Host von Intercom auf und bricht DKIM- und Return-Path-Lookups.
- DNS-Einrichtung
Achten Sie darauf, wie Ihr Registrar das Host-Feld behandelt. Manche Panels (GoDaddy, Namecheap) hängen Ihre Domain automatisch an, sodass Sie nur intercom._domainkey eingeben; andere benötigen das vollqualifizierte intercom._domainkey.yourdomain.com. Fügen Sie auf GoDaddy keine abschließenden Punkte hinzu und verdoppeln Sie die Domain nicht.
- DNS-Einrichtung
Den Return-Path-CNAME zu überspringen lässt Sie rein bei DKIM. Mail kann DMARC noch allein über DKIM bestehen, aber Sie verlieren die Redundanz des SPF-Alignments — und weitergeleitete Mail, die DKIM entfernt, fällt dann durch. Veröffentlichen Sie beide CNAMEs.
- DNS-Einrichtung
Ein CNAME kann nicht mit einem anderen Eintrag auf demselben Host koexistieren. Wenn ein alter intercom._domainkey- oder Bounce-Subdomain-Eintrag existiert (aus einer früheren Einrichtung oder von einem anderen Tool), löschen Sie ihn zuerst, sonst greift der neue CNAME nicht.
- Abdeckung
Der Standard-DMARC von Intercom ist p=none — nur Monitoring. Er liefert Ihnen Reports, aber null Spoofing-Schutz. Sobald das Alignment bestätigt ist, wechseln Sie zu p=quarantine und dann p=reject.
- DNS-Einrichtung
Die Region ist entscheidend. US-, EU- (intercom-mail.eu) und AU- (au.intercom-mail.com) Workspaces erhalten unterschiedliche CNAME-Targets. Kopieren Sie immer den exakten Value aus Ihrem eigenen Dashboard, statt einen Value aus einer Anleitung wiederzuverwenden.
Erstellen Sie Ihren SPF-Eintrag
Intercom benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listIntercom SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.