SPF, DKIM & DMARC für Mailgun.
Mailgun (jetzt Teil von Sinch) authentifiziert Ihre Domain im Bereich Sending → Domains, wo Sie einige wenige DNS-Einträge zu einer dedizierten Sende-Subdomain wie mg.yourdomain.com hinzufügen statt zu Ihrer nackten Root-Domain. Anders als reine CNAME-Anbieter wie SendGrid oder Klaviyo ist Mailgun ein echter SPF-include-Anbieter: Sie veröffentlichen v=spf1 include:mailgun.org ~all selbst, zusammen mit einem DKIM-Eintrag (ein modernes, automatisch rotierendes CNAME-Paar über Automatic Sender Security oder ein klassisches statisches TXT) und einem optionalen Tracking-CNAME. Die genauen Hostnamen und Schlüsselwerte sind kontospezifisch und werden in Ihrem Dashboard angezeigt. Sobald jeder Eintrag ein grünes Häkchen zeigt, sendet Mailgun als Ihre Domain mit ausgerichtetem SPF und DKIM, sodass DMARC besteht.
Warum Mailgun authentifizieren?
Die Authentifizierung Ihrer Mailgun-Domain sorgt dafür, dass Ihre E-Mails im Posteingang landen statt im Spam-Ordner oder als Bounce. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob 5.000+ Nachrichten pro Tag), SPF, DKIM und DMARC mit Ausrichtung zu bestehen, und Microsoft hat 2025 begonnen, ähnliche Anforderungen für Versender mit hohem Volumen an Outlook/Hotmail/Live durchzusetzen. Bis Sie Ihre eigene Domain hinzufügen und verifizieren, lässt Mailgun Sie nur von seiner Sandbox-Domain (sandboxXXXX.mailgun.org) senden, die auf eine Handvoll vorab autorisierter Empfänger begrenzt ist und keine eigene Reputation aufbaut — für den Produktivbetrieb nutzlos. Das Verifizieren Ihrer Domain versetzt Sie in den echten Versand, bei dem SPF und DKIM beide zu Ihrer Organisationsdomain ausgerichtet sind, DMARC besteht und die Versandreputation, die Sie aufbauen, Ihrer Domain zugutekommt statt einer geteilten Infrastruktur. Da Mailgun API-/SMTP-orientiert ist und stark für Transaktions-E-Mails genutzt wird (Passwort-Resets, Belege, Benachrichtigungen), verwirft ein fehlerhafter Eintrag hier stillschweigend E-Mails, auf die Ihre Nutzer aktiv warten.
Die SPF-Realität bei Mailgun
Mailgun ist ein echter SPF-include-Anbieter, es gibt also einen tatsächlichen Eintrag hinzuzufügen: v=spf1 include:mailgun.org ~all. Es gibt kein CNAME, das SPF für Sie erfüllt, so wie es die em-Subdomain von SendGrid tut — Sie veröffentlichen dieses TXT selbst, und es gilt, egal ob Sie das moderne Automatic Sender Security oder die klassische DKIM-Methode verwenden (dieser Umschalter ändert nur DKIM, niemals SPF). Der Haken ist, dass include:mailgun.org ungewöhnlich schwer ist. Gegen Live-DNS verifiziert, löst es sich zu fünf verschachtelten Lookups auf: mailgun.org veröffentlicht v=spf1 include:_spf.mailgun.org include:_spf.eu.mailgun.org -all, _spf.mailgun.org verschachtelt weiter include:_spf1.mailgun.org und include:_spf2.mailgun.org, sodass eine einzige Zeile sowohl die US- als auch die EU-Senderegion abdeckt. Das ist die Hälfte des Zehn-Lookup-Budgets aus RFC 7208 in einem einzigen include. Der richtige Schritt — und Mailguns eigene Empfehlung — ist, Mailgun auf eine dedizierte Sende-Subdomain wie mg.yourdomain.com zu legen. Das include lebt dann im eigenen SPF-Eintrag dieser Subdomain und kostet nichts vom SPF Ihrer Root-Domain, sodass es niemals mit Google Workspace, Microsoft 365 oder anderen bereits auf Ihrer Root gestapelten Versendern kollidiert. Wenn Sie ausschließlich aus der EU-Region senden, können Sie den Mechanismus auf include:_spf.eu.mailgun.org verengen, das reines ip4 ist und einen einzigen Lookup kostet.
Zwei Wege zur Einrichtung
Automatic Sender Security — CNAME-DKIM (empfohlen)
- Zwei CNAMEs (Labels werden in Ihrem Dashboard angezeigt, z. B. pdk1._domainkey und pdk2._domainkey) delegieren DKIM an Mailguns Infrastruktur
- Mailgun generiert 2048-Bit-Schlüssel und rotiert sie automatisch nach einem selbst verwalteten Zeitplan (Sie können eine Rotation jederzeit erzwingen)
- Kein Public-Key zum Einfügen und nichts im DNS neu zu bearbeiten, wenn Schlüssel wechseln
- Aktivieren Sie den Umschalter beim Hinzufügen der Domain — er ist standardmäßig aus
- SPF bleibt weiterhin v=spf1 include:mailgun.org ~all; Automatic Sender Security ändert nur, wie DKIM ausgeliefert wird
Klassisch — einzelnes DKIM-TXT (Standard / Legacy)
- Ein TXT-Eintrag am Host <selector>._domainkey, den Mailgun anzeigt, mit k=rsa; p=<langer base64>
- Der Schlüssel ist statisch: Sie müssen ihn in Mailgun rotieren und DNS von Hand neu bearbeiten
- 2048-Bit-Schlüssel überschreiten oft das Limit eines einzelnen TXT-Strings und müssen in zwei zitierte Strings aufgeteilt werden
- Das erhalten Sie, wenn Sie Automatic Sender Security ausgeschaltet lassen — funktional, aber ohne automatische Rotation
Schritt für Schritt
- 1
Öffnen Sie Sending → Domains
Melden Sie sich unter app.mailgun.com (US) oder app.eu.mailgun.com (EU) an, gehen Sie dann im linken Menü zu Sending → Domains und klicken Sie auf Add New Domain.
- 2
Verwenden Sie eine Sende-Subdomain, nicht Ihre Root
Geben Sie eine Subdomain wie mg.yourdomain.com ein (mail. oder email. sind ebenfalls in Ordnung) statt der nackten yourdomain.com. Das hält Mailguns Versandreputation getrennt von Ihren Unternehmenspostfächern, vermeidet MX-Konflikte mit Google/Microsoft und hält das schwere SPF-include von Ihrer Root-Domain fern.
- 3
Wählen Sie die korrekte Region
Wählen Sie beim Erstellen der Domain US oder EU. Die Region entscheidet, ob Ihre Tracking-/MX-Einträge auf mailgun.org- oder eu.mailgun.org-Hosts verweisen und welche App-URL die Domain verwaltet. Einträge aus der falschen Region werden niemals verifiziert.
- 4
Aktivieren Sie Automatic Sender Security
Schalten Sie während der Einrichtung Automatic Sender Security ein (es ist standardmäßig aus). Dies liefert DKIM als zwei automatisch rotierende 2048-Bit-CNAMEs aus, sodass Sie nie Schlüssel neu bearbeiten. Lassen Sie es nur dann aus, wenn Sie ausdrücklich ein statisches, selbst verwaltetes DKIM-TXT wünschen.
- 5
Öffnen Sie die Liste der DNS-Einträge
Öffnen Sie nach dem Erstellen der Domain diese und rufen Sie Domain Settings → DNS records auf (das Panel Domain Verification & DNS). Mailgun listet Ihr SPF-TXT, den bzw. die DKIM-Einträge, das optionale Tracking-CNAME und optionale MX — mit den genauen kontospezifischen Werten zum Kopieren.
- 6
Fügen Sie den SPF-TXT-Eintrag hinzu
Fügen Sie auf der Sende-Subdomain einen TXT-Eintrag hinzu: Host mg (d. h. mg.yourdomain.com), Wert v=spf1 include:mailgun.org ~all. Falls diese Subdomain irgendwie bereits einen SPF-Eintrag hat, führen Sie include:mailgun.org in den bestehenden zusammen — veröffentlichen Sie niemals zwei SPF-Einträge auf demselben Host.
- 7
Fügen Sie den bzw. die DKIM-Einträge hinzu
Bei aktiviertem Automatic Sender Security fügen Sie die zwei CNAMEs hinzu, die Mailgun anzeigt (Labels wie pdk1._domainkey.mg und pdk2._domainkey.mg), die auf ihre von Mailgun gehosteten dkim1.mailgun.com-Ziele verweisen. Bei deaktiviertem Automatic Sender Security fügen Sie das einzelne DKIM-TXT am angezeigten Selektor hinzu (ein Host <selector>._domainkey.mg), das k=rsa; p=… enthält; teilen Sie einen 2048-Bit-Schlüssel in zwei zitierte Strings auf, falls Ihr DNS-Host das verlangt.
- 8
Fügen Sie das Tracking-CNAME hinzu (empfohlen)
Fügen Sie ein CNAME hinzu: Host email.mg → Wert mailgun.org (US) oder eu.mailgun.org (EU). Dies schreibt Öffnungs-/Klick-Tracking-Links so um, dass sie Ihre Domain statt der von Mailgun verwenden. Für die Zustellung ist es optional, für Branding und Zustellbarkeit jedoch empfohlen.
- 9
Fügen Sie MX nur hinzu, wenn Sie E-Mails empfangen
Wenn Mailgun eingehende E-Mails auf der Subdomain empfangen/routen soll, fügen Sie zwei MX-Einträge mit Priorität 10 hinzu: mxa.mailgun.org und mxb.mailgun.org (EU: mxa.eu.mailgun.org / mxb.eu.mailgun.org). Überspringen Sie MX komplett beim reinen Versand, und leiten Sie niemals Ihre Root-MX auf Mailgun um, wenn Google oder Microsoft Ihren Posteingang hostet.
- 10
Graue Wolke für alle Cloudflare-CNAMEs
Wenn Ihr DNS bei Cloudflare liegt, setzen Sie die DKIM-_domainkey-CNAMEs und das E-Mail-Tracking-CNAME auf DNS only (graue Wolke). Ein orange-cloud-proxytes CNAME löst nicht zu Mailgun auf, und die Verifizierung schlägt fehl. (SPF, DKIM-TXT und DMARC sind TXT-Einträge und werden vom Proxy nicht beeinflusst.)
- 11
Klicken Sie auf Verify DNS Settings
Klicken Sie zurück in Mailguns Domain Settings auf Verify DNS Settings und warten Sie auf ein grünes Häkchen bei jedem Eintrag. Die Propagierung dauert meist Minuten, kann aber bis zu 24–48 Stunden dauern; Mailgun prüft zudem automatisch erneut, also klicken Sie erneut, falls ein Eintrag noch gelb ist.
- 12
Senden Sie von der verifizierten Domain
Senden Sie in Ihrer App oder Ihren SMTP-Einstellungen von einer Adresse auf der verifizierten Subdomain (z. B. no-reply@mg.yourdomain.com) — niemals von der Sandbox-Domain. Senden Sie einen Test und bestätigen Sie, dass er sich authentifiziert (SPF, DKIM und DMARC alle PASS, ausgerichtet zu Ihrer Domain), bevor Sie Produktivverkehr darauf leiten.
Einzutragende Einträge
Mailgun erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | mg | v=spf1 include:mailgun.org ~allSPF auf der Sende-Subdomain (mg.yourdomain.com). Führen Sie es in den bestehenden Eintrag zusammen, falls bereits einer vorhanden ist — ein SPF pro Host. Versender ausschließlich in der EU können include:_spf.eu.mailgun.org verwenden (ein einzelner Lookup). |
| CNAME | pdk1._domainkey.mg | pdk1._domainkey.<hash>.dkim1.mailgun.comDKIM-Schlüssel 1 — Automatic Sender Security (automatisch rotiert). Host-Label und Ziel werden kontospezifisch in Ihrem Dashboard angezeigt. |
| CNAME | pdk2._domainkey.mg | pdk2._domainkey.<hash>.dkim1.mailgun.comDKIM-Schlüssel 2 — automatisch rotiert zusammen mit Schlüssel 1 für reibungslose, lückenlose Schlüsselübergänge. |
| TXT | <selector>._domainkey.mg | k=rsa; p=MIGfMA0GCSqGSIb3DQEB...IDAQABKlassisches einzelnes DKIM-TXT — NUR wenn Automatic Sender Security aus ist. Selektor und Schlüssel sind kontospezifisch; teilen Sie 2048-Bit-Schlüssel in zwei zitierte Strings auf, falls Ihr Host das verlangt. |
| CNAME | email.mg | mailgun.orgÖffnungs-/Klick-Tracking auf Ihrer Domain. Die EU-Region verwendet eu.mailgun.org. Optional. |
| MX | mg | mxa.mailgun.orgPriorität 10. Nur wenn Mailgun eingehende E-Mails empfängt. Fügen Sie außerdem mxb.mailgun.org hinzu (Priorität 10). EU: mxa/mxb.eu.mailgun.org. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARC-Richtlinie auf der ORGANISATIONS-Domain (nicht der mg-Subdomain) — eine pro Domain. Beginnen Sie mit p=none. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Mailgun von diesem Budget verbraucht.
Mailgun verbraucht 5 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
Mailgun bietet zwei DKIM-Methoden, und die Wahl betrifft nur DKIM, niemals SPF. Der empfohlene Weg ist Automatic Sender Security: Aktivieren Sie es beim Hinzufügen der Domain, und Mailgun übergibt Ihnen zwei CNAME-Einträge (die Labels werden kontospezifisch angezeigt, z. B. pdk1._domainkey.mg.yourdomain.com und pdk2._domainkey.mg.yourdomain.com), von denen jeder auf ein von Mailgun gehostetes Ziel auf dkim1.mailgun.com verweist, das für Ihr Konto eindeutig ist. Da dies CNAMEs sind, die an Mailgun delegiert werden, hält Mailgun die privaten Schlüssel, veröffentlicht 2048-Bit-Public-Keys hinter diesen Selektoren und rotiert sie automatisch nach einem selbst verwalteten Zeitplan (Sie können eine Rotation auch jederzeit erzwingen) — Sie kopieren nie wieder einen Schlüssel oder bearbeiten DNS. Es gibt zwei Selektoren, damit ein neuer Schlüssel veröffentlicht werden kann, bevor der alte ausgemustert wird, ohne Signaturlücke. Die klassische Alternative (die Standardeinstellung, wenn Sie Automatic Sender Security ausgeschaltet lassen) ist ein einzelner statischer DKIM-TXT-Eintrag an dem von Mailgun angezeigten Selektor — einem Host <selector>._domainkey.mg.yourdomain.com — der k=rsa; p=<langer base64-Public-Key> enthält. Dieser Schlüssel ist statisch: Rotieren bedeutet, in Mailgun neu zu generieren und DNS erneut zu bearbeiten, und ein 2048-Bit-Wert überschreitet häufig das 255-Zeichen-Limit eines einzelnen TXT-Strings, sodass Sie ihn in zwei zitierte Strings aufteilen müssen (Mailgun zeigt die Aufteilung an). So oder so ist das DKIM-d= Ihre Sende-Subdomain, die sich relaxed zu Ihrer Organisationsdomain ausrichtet, sodass DMARC besteht.
DMARC
DMARC ist ein separater TXT-Eintrag und gehört nicht zu den Einträgen, die Mailgun generiert. Veröffentlichen Sie ihn einmal unter _dmarc.yourdomain.com auf Ihrer Organisations- (Root-)Domain — nicht auf der mg-Subdomain — beginnend mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none ist reines Monitoring, betrifft die Zustellung also nicht, während Sie bestätigen, dass Mailgun-E-Mails SPF und DKIM ausgerichtet zu Ihrer Domain bestehen. Die DMARC-Ausrichtung funktioniert hier auch dann, wenn Ihr sichtbares From you@yourdomain.com ist und Mailgun mit d=mg.yourdomain.com signiert, weil die relaxed-Ausrichtung eine Subdomain und ihre übergeordnete Domain als dieselbe Organisationsdomain behandelt (und Mailguns Return-Path auf derselben Sende-Subdomain liegt, sodass auch SPF ausgerichtet ist). Da ein DMARC-Eintrag auf der Root auch Subdomains abdeckt, regelt Ihr bestehender _dmarc-Eintrag bereits mg.yourdomain.com; fügen Sie nur dann eine subdomainspezifische Richtlinie hinzu (über sp= im Root-Eintrag oder einen dedizierten _dmarc.mg-Eintrag), wenn Sie die Subdomain anders behandeln möchten. Beobachten Sie die aggregierten (rua) Berichte ein bis zwei Wochen lang, ziehen Sie dann auf p=quarantine und schließlich p=reject an, sobald Mailgun konsistent als ausgerichtete, bestehende Quelle erscheint. Behalten Sie genau einen _dmarc-Eintrag pro Domain, egal wie viele Versender Sie betreiben.
Prüfen, ob es wirklich funktioniert hat
Vertrauen Sie nicht allein den grünen Häkchen in Mailguns DNS-Panel — sie bestätigen, dass die Einträge auflösen, nicht, dass sich eine echte Nachricht authentifiziert. Senden Sie sich selbst einen Test von einer Adresse auf der verifizierten Subdomain (Mailgun hat eine Schaltfläche Send test email, oder nutzen Sie Ihre App), öffnen Sie ihn in Gmail und wählen Sie das Drei-Punkte-Menü → Original anzeigen: Sie wollen SPF: PASS und DKIM: PASS, beide mit Ihrer Domain, plus DMARC: PASS, und das DKIM-Signatur-d= sollte mg.yourdomain.com sein. Lassen Sie die Sende-Subdomain durch Qualisends Domain-Gesundheitscheck laufen, um zu bestätigen, dass die SPF-, DKIM- und DMARC-Einträge alle auflösen und dass das SPF-include Sie nicht über zehn Lookups drückt, und sobald DMARC-Aggregatberichte eintreffen, werfen Sie einen davon in das DMARC-Berichtsanalysetool — Mailgun sollte als ausgerichtete, bestehende Quelle erscheinen. Mailguns eigener Logs-Tab weist zudem Zustell- und Authentifizierungsfehler pro Nachricht aus.
Häufige Stolperfallen
- DNS-Einrichtung
include:mailgun.org ist schwer — live verifiziert löst es sich zu fünf DNS-Lookups auf, weil eine einzige Zeile beide Regionen abdeckt (mailgun.org → _spf.mailgun.org, das _spf1 und _spf2 verschachtelt, plus _spf.eu.mailgun.org). Das ist die Hälfte des Zehn-Lookup-Budgets aus RFC 7208. Mailgun auf seine eigene Sende-Subdomain zu legen, hält das include vollständig von Ihrem Root-SPF fern; Versender ausschließlich in der EU können auf include:_spf.eu.mailgun.org verengen (ein Lookup).
- Abdeckung
US- und EU-Regionen sind getrennt: EU-Domains werden unter app.eu.mailgun.com verwaltet, und ihre Tracking-/MX-Einträge verweisen auf eu.mailgun.org-Hosts. Einträge aus der falschen Region zu kopieren — oder sich am falschen Dashboard anzumelden — bedeutet, dass die Domain nie verifiziert wird.
- Abdeckung
Die Sandbox-Domain (sandboxXXXX.mailgun.org) ist nur zum Testen: Sie sendet an eine Handvoll vorab autorisierter Empfänger und baut keine Reputation auf. Verwenden Sie sie niemals im Produktivbetrieb — fügen Sie Ihre eigene Domain hinzu und verifizieren Sie sie.
- Abdeckung
Leiten Sie Ihre Root-MX nicht auf Mailgun um, wenn Google Workspace oder Microsoft 365 Ihre Postfächer hostet — das würde eingehende E-Mails kaputtmachen. Verwenden Sie eine dedizierte Subdomain für Mailgun oder überspringen Sie MX ganz beim reinen Versand.
- DNS-Einrichtung
Länge des 2048-Bit-DKIM-TXT: ein einzelner langer p=-String überschreitet oft das 255-Zeichen-TXT-Limit und wird abgelehnt oder abgeschnitten. Teilen Sie ihn in zwei zitierte Strings auf, genau wie Mailgun es anzeigt. Die CNAMEs von Automatic Sender Security vermeiden dieses Problem vollständig.
- DNS-Einrichtung
Der Cloudflare-Proxy macht CNAMEs kaputt: setzen Sie die DKIM-_domainkey-CNAMEs und das E-Mail-Tracking-CNAME auf DNS only (graue Wolke). Ein orange-cloud-proxyter Eintrag löst nicht zu Mailgun auf, und die Verifizierung schlägt fehl.
- Bricht die Authentifizierung
Behalten Sie ein SPF-TXT pro Host: falls die Sende-Subdomain bereits einen SPF-Eintrag hat, führen Sie include:mailgun.org hinein zusammen, statt ein zweites SPF-TXT hinzuzufügen — zwei SPF-Einträge auf einem Host sind ein PermError, der SPF komplett scheitern lässt.
- DNS-Einrichtung
Verdopplung des Host-Feldes: viele Registrare hängen Ihre Domain automatisch an, sodass die Eingabe von mg.yourdomain.com zu mg.yourdomain.com.yourdomain.com wird. Geben Sie nur das Label ein, das das Panel erwartet (mg, pdk1._domainkey.mg, email.mg).
Erstellen Sie Ihren SPF-Eintrag
Mailgun ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listMailgun SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.