Muss ich include:spf.migadu.com zu meinem SPF-Eintrag hinzufügen?

Ja. Anders als CNAME-only-ESPs ist Migadu ein echter include-Anbieter und sendet mit Ihrer eigenen Domain im Envelope-Sender, sodass dieses include sowohl Migadus Versand-IPs autorisiert als auch die SPF-Ausrichtung für DMARC ermöglicht. Der vollständige Eintrag lautet v=spf1 include:spf.migadu.com -all. Haben Sie bereits einen SPF-Eintrag, führen Sie das include darin zusammen, statt einen zweiten hinzuzufügen.

Warum zeigt der DKIM-CNAME auf ein Ziel, das meine eigene Domain enthält?

So delegiert Migadu DKIM pro Domain. Ihr Eintrag key1._domainkey.yourdomain.com ist ein CNAME auf key1.yourdomain.com._domainkey.migadu.com, ein Name innerhalb von Migadus Zone, wo der tatsächliche öffentliche Schlüssel veröffentlicht ist. Das ermöglicht Migadu, den privaten Schlüssel zu halten und zu rotieren, ohne dass Sie je DNS bearbeiten. Das Ziel ist genau wie angezeigt korrekt.

Warum gibt es drei DKIM-Einträge (key1, key2, key3)?

Mehrere Selektoren ermöglichen Migadu die Rotation der Signaturschlüssel ohne Ausfallzeit — es kann einen Selektor ausmustern und auf einen anderen wechseln, während beide gültig bleiben. Fügen Sie alle drei CNAMEs hinzu; Migadu entscheidet, welcher Schlüssel Ihre Mail aktiv signiert.

Wie viele meiner 10 SPF-Lookups verbraucht Migadu?

Vier. include:spf.migadu.com ist kein flacher Eintrag — es verschachtelt include:smtp.migadu.com, include:rel.migadu.com und include:mx.migadu.com, kostet also einen Lookup für das Top-Level-include plus drei für die verschachtelten. Das ist schwerer als Google Workspace oder Microsoft 365 (je einer), achten Sie also auf das 10-Lookup-Limit, wenn Sie Versender kombinieren.

Brauche ich DKIM überhaupt noch, wenn Migadus SPF bereits ausrichtet?

Ja — richten Sie beides ein. Die SPF-Ausrichtung bricht in dem Moment, in dem eine Nachricht über eine Mailingliste oder eine .forward-Regel weitergeleitet wird, und dann ist ausgerichtetes DKIM das Einzige, das Ihren DMARC-Pass trägt. Migadus drei DKIM-CNAMEs signieren als d=yourdomain.com, was DMARC in der Praxis am Bestehen hält.

Sollte ich v=spf1 mx -all statt des include verwenden?

Nein — bevorzugen Sie include:spf.migadu.com. Manche älteren Migadu-Anleitungen schlagen v=spf1 mx -all vor, was nur die IPs autorisiert, zu denen Ihre MX (aspmx1/aspmx2.migadu.com) auflösen. Diese überschneiden sich mit einem Teil von Migadus Versandinfrastruktur, aber nicht mit der gesamten — Migadu sendet auch aus den Bereichen smtp.migadu.com und rel.migadu.com, die der mx-Mechanismus nie abdeckt. include:spf.migadu.com bezieht alle drei Versandquellen ein (smtp, rel, mx), genau das, was Migadu auf der eigenen Domain veröffentlicht, und ist damit die vollständige und zukunftssichere Wahl.

Meine Mail sendet oder empfängt nicht — was habe ich übersehen?

Fast immer die Domain-Verifizierung. Bestätigen Sie, dass der hosted-email-verify-TXT auf Ihrer Root auflöst, beide MX-Einträge (aspmx1 und aspmx2.migadu.com) auf Migadu zeigen und das MX des alten Hosts entfernt ist, und dass das Admin-Panel die Domain als aktiv anzeigt. Migadu aktiviert eine Domain erst, nachdem diese Prüfungen bestanden sind, was bis zu 24–48 Stunden zur Propagierung dauern kann.

SPF-Einrichtungsanleitung

SPF, DKIM & DMARC für Migadu.

Q: Erstellt Migadu meinen DMARC-Eintrag?

Nein — Sie veröffentlichen _dmarc selbst, beginnend mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com in Ihrer eigenen DNS-Zone. Migadu schlägt im Admin-Panel einen DMARC-Eintrag vor, schreibt ihn aber nie für Sie, und er ist nicht erforderlich, damit die Domain aktiviert wird — nur der Inhaberschafts-TXT und MX sind es. Fügen Sie ihn als einen TXT-Eintrag bei _dmarc.yourdomain.com hinzu, halten Sie ihn bei p=none, bis Ihre aggregierten Berichte bestätigen, dass Migadu SPF und DKIM ausgerichtet besteht, und verschärfen Sie dann auf p=quarantine und schließlich p=reject.

Migadu ist ein vollwertiger Mailbox-Host — er sendet und empfängt Mail für Ihre Domain über IMAP/POP/SMTP — und kein transaktionaler ESP. „Ihre Domain authentifizieren“ bedeutet hier also, die DNS-Einträge zu veröffentlichen, die Migadu anzeigt, wenn Sie im Admin-Panel eine Domain hinzufügen. Dieser Satz besteht aus echten DNS-Einträgen bei Ihrem eigenen Registrar: ein TXT-Eintrag zur Inhaberschaftsprüfung, zwei MX-Einträge (aspmx1/aspmx2.migadu.com), damit Migadu Ihre Mail empfangen kann, ein echtes, gemeinsam genutztes SPF-include (include:spf.migadu.com), drei per CNAME delegierte DKIM-Selektoren (key1/key2/key3._domainkey), über die Migadu die Signaturschlüssel für Sie rotieren kann, sowie eine DMARC-Richtlinie, die Sie selbst veröffentlichen. Weil Migadu Ihre eigene Domain in den Envelope-Sender einträgt, ist SPF tatsächlich ausgerichtet — eine korrekt eingerichtete Migadu-Domain besteht DMARC daher sowohl über SPF als auch über DKIM, die widerstandsfähige Konfiguration, die auch Weiterleitungen übersteht.

SPF-include

Your DNSAdd the CNAME / TXT records

MigaduSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Warum Migadu authentifizieren?

Ob Sie eine Migadu-Domain authentifizieren, entscheidet, ob Ihre Mail den Posteingang erreicht — und es entscheidet zugleich, ob Migadu für die Domain überhaupt sendet und empfängt. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), dass SPF, DKIM und DMARC mit Ausrichtung bestanden werden, und Microsoft begann 2025, dasselbe für Mail mit hohem Volumen an Outlook.com/Hotmail/Live durchzusetzen. Migadu versendet über eine gemeinsam genutzte IP-Infrastruktur, sodass die Versandreputation, die Sie aufbauen, davon abhängt, dass Ihre Mail sauber Ihrer eigenen Domain zugeordnet werden kann. Migadu verhält sich hier ungewöhnlich vorbildlich: Es verwendet Ihre Domain als SMTP MAIL FROM (Envelope/Return-Path), sodass SPF an Ihrer organisatorischen Domain ausgerichtet ist und für sich genommen zu einem DMARC-Pass beiträgt — etwas, das Return-Path-eigene ESPs wie Mailchimp nicht leisten können. Doch die SPF-Ausrichtung bricht in dem Moment, in dem eine Nachricht über eine Mailingliste oder eine .forward-Regel weitergeleitet wird — deshalb ist das per CNAME delegierte DKIM das, was DMARC in der Praxis am Bestehen hält. Lassen Sie es weg, hat eine weitergeleitete Nachricht keine ausgerichtete Authentifizierung mehr. Und solange der Inhaberschafts-TXT und die MX-Einträge nicht auflösen, aktiviert Migadu die Domain nicht — Mail fließt dann schlicht nicht.

Die SPF-Realität bei Migadu

Migadu ist ein echter „include“-Anbieter: Sie fügen einen einzigen gemeinsam genutzten Mechanismus, include:spf.migadu.com, zum einzigen SPF-TXT-Eintrag auf Ihrer Root-Domain hinzu, was v=spf1 include:spf.migadu.com -all ergibt — genau das, was Migadu auf seiner eigenen Domain veröffentlicht. Das ist ein echtes, gemeinsam genutztes include, das jeder Migadu-Kunde verwendet, keine CNAME-Delegation. Es trägt echtes DMARC-Gewicht, weil Migadu mit Ihrer eigenen Domain im Envelope-Sender / Return-Path sendet — die Domain gehört Ihnen, Migadu verarbeitet die Bounces dorthin — sodass SPF an Ihrer organisatorischen Domain ausgerichtet ist, statt gegen eine anbietereigene Bounce-Domain aufzulösen. Migadu empfiehlt den Qualifier -all (Hard Fail), und die eigene Domain veröffentlicht -all. Der wirklich Migadu-spezifische Haken sind die Kosten: include:spf.migadu.com ist NICHT ein günstiges Ein-Lookup-include wie Googles _spf.google.com oder Microsofts spf.protection.outlook.com. Es verschachtelt drei Sub-includes — include:smtp.migadu.com (die Submission-Server), include:rel.migadu.com (die ausgehenden Relays) und include:mx.migadu.com (die Mail-Exchanger) — und verbraucht damit VIER Ihrer 10 SPF-DNS-Lookups nach RFC 7208, nicht einen. Wenn Sie zusätzlich Google Workspace, Microsoft 365 oder ein Newsletter-Tool im selben SPF-Eintrag stapeln, ist dieses Budget schnell aufgebraucht und Sie können in einen PermError kippen. Behalten Sie genau einen SPF-TXT-Eintrag auf der Domain und führen Sie den Mechanismus jedes Versenders darin zusammen — veröffentlichen Sie niemals einen zweiten v=spf1-Eintrag, was selbst ein PermError ist.

Schritt für Schritt

In Migadu

1
Fügen Sie Ihre Domain im Admin-Panel hinzu
Melden Sie sich unter admin.migadu.com an, öffnen Sie Domains und fügen Sie dann yourdomain.com hinzu. Migadu generiert die exakten DNS-Einträge für diese Domain — den Inhaberschafts-TXT, MX, SPF, drei DKIM-CNAMEs und den vorgeschlagenen DMARC — und zeigt sie auf der Seite der Domain an. Lassen Sie diesen Tab geöffnet; Sie werden von dort kopieren.

In Ihrem DNS

2
Fügen Sie den TXT zur Inhaberschaftsprüfung hinzu
Fügen Sie bei Ihrem DNS-Host einen TXT-Eintrag auf der Root (Host @ oder leer) mit dem von Migadu angezeigten Wert hinzu, in der Form hosted-email-verify=xxxxxxxxxxxx. Migadu bestätigt damit, dass Sie die Domain kontrollieren, bevor es die Mail aktiviert. Lassen Sie ihn stehen — Migadu prüft ihn immer wieder neu, löschen Sie ihn also nicht, sobald die Domain verifiziert ist.
3
Richten Sie MX auf Migadu
Fügen Sie zwei MX-Einträge auf der Root hinzu: aspmx1.migadu.com mit Priorität 10 und aspmx2.migadu.com mit Priorität 20. Löschen Sie alle MX-Einträge eines früheren Hosts, damit eingehende Mail nur zu Migadu geroutet wird. MX betrifft das Empfangen, nicht die Authentifizierung, aber ein halb migriertes MX ist der mit Abstand häufigste Grund, warum Migadu-Mail nicht funktioniert.
4
Veröffentlichen oder führen Sie den SPF-Eintrag zusammen
Fügen Sie einen TXT-Eintrag auf der Root mit v=spf1 include:spf.migadu.com -all hinzu. Existiert bereits ein v=spf1-Eintrag (Google Workspace, ein Newsletter-Tool usw.), führen Sie include:spf.migadu.com in diesen einen Eintrag zusammen — fügen Sie niemals einen zweiten SPF-TXT hinzu. Denken Sie daran, dass dieses include vier DNS-Lookups kostet, achten Sie also auf das 10-Lookup-Limit, wenn Sie Versender stapeln.
5
Fügen Sie die drei DKIM-CNAMEs hinzu
Erstellen Sie drei CNAME-Einträge: Host key1._domainkey zeigt auf key1.yourdomain.com._domainkey.migadu.com, key2._domainkey auf key2.yourdomain.com._domainkey.migadu.com und key3._domainkey auf key3.yourdomain.com._domainkey.migadu.com. Das Ziel, das Ihre eigene Domain enthält, ist korrekt, kein Tippfehler. Behalten Sie den Typ als CNAME bei — wechseln Sie nicht zu TXT und fügen Sie keinen Schlüssel ein.
6
Veröffentlichen Sie den DMARC-Eintrag
Migadu erstellt DMARC nicht für Sie. Fügen Sie einen TXT-Eintrag beim Host _dmarc mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. p=none ist reiner Überwachungsmodus, an der Zustellung ändert sich also nichts, während Sie bestätigen, dass sowohl SPF als auch DKIM ausgerichtet sind. Behalten Sie genau einen _dmarc-Eintrag pro Domain.
7
(Optional) Fügen Sie Client-Autoconfig-Einträge hinzu
Damit Thunderbird, Apple Mail und Outlook die Einstellungen automatisch erkennen, fügen Sie einen CNAME autoconfig hinzu, der auf autoconfig.migadu.com zeigt, sowie die SRV-Einträge, die Migadu auflistet — _submissions._tcp (Port 465, smtp.migadu.com), _imaps._tcp (993, imap.migadu.com) und _pop3s._tcp (995, pop.migadu.com). Das sind Komfort-Einträge für Mail-Clients, keine Authentifizierung — überspringen Sie sie, wenn Sie Clients von Hand konfigurieren.

In Migadu

8
Warten Sie, bis die Domain aktiviert ist
Migadu prüft Ihr DNS nach einem Zeitplan erneut; die Domain springt üblicherweise innerhalb von etwa 30 Minuten auf verifiziert/aktiv, wobei die vollständige DNS-Propagierung bis zu 24–48 Stunden dauern kann. Sie können nicht senden oder empfangen, bis das Panel die Domain als aktiv mit erkanntem Inhaberschafts-TXT und MX anzeigt.

Prüfen

9
Senden Sie einen Test und lesen Sie die Header
Mailen Sie sich von einer Mailbox auf der Domain selbst an Gmail, öffnen Sie die Nachricht und wählen Sie ⋮ → Original anzeigen. Bestätigen Sie SPF: PASS mit Ihrer Domain, DKIM: PASS mit d=yourdomain.com (Selektor key1, key2 oder key3) und DMARC: PASS. Lassen Sie die Domain dann durch einen Health-Check laufen, um zu bestätigen, dass jeder Eintrag auflöst.

Einzutragende Einträge

Migadu erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.

Typ	Host	Wert
TXT	@	hosted-email-verify=xxxxxxxxxxxxxxxxInhaberschaftsprüfung der Domain — beispielhaft; kopieren Sie die exakte Zeichenfolge aus admin.migadu.com. Lassen Sie ihn stehen; Migadu prüft ihn immer wieder neu.
MX	@	aspmx1.migadu.comEingehende Mail, Priorität 10. Erforderlich zum Empfangen — entfernen Sie das MX eines alten Hosts.
MX	@	aspmx2.migadu.comEingehende Mail, Priorität 20 (Backup-Exchanger).
TXT	@	v=spf1 include:spf.migadu.com -allRoot-SPF — behalten Sie genau einen SPF-Eintrag; führen Sie andere Versender in diese Zeile zusammen. Dieses include kostet 4 DNS-Lookups (es verschachtelt smtp/rel/mx).
CNAME	key1._domainkey	key1.yourdomain.com._domainkey.migadu.comDKIM-Selektor 1 — per CNAME delegiert; Migadu hält und rotiert den Schlüssel. Das Ziel enthält per Design Ihre eigene Domain.
CNAME	key2._domainkey	key2.yourdomain.com._domainkey.migadu.comDKIM-Selektor 2 — Paar zu key1; ermöglicht Migadu die Schlüsselrotation ohne Ausfallzeit.
CNAME	key3._domainkey	key3.yourdomain.com._domainkey.migadu.comDKIM-Selektor 3 — fügen Sie alle drei genau wie angezeigt hinzu.
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDiesen fügen Sie selbst hinzu — Migadu erstellt ihn nie. Einer pro Domain; starten Sie mit p=none, dann verschärfen.

Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.

Das Budget von 10 Lookups

SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Migadu von diesem Budget verbraucht.

SPF 10-lookup budget4 used · 6 free

Migadu verbraucht 4 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.

DKIM

Migadu wickelt DKIM über CNAME-Delegation ab, es gibt also keinen Schlüssel zu generieren oder einzufügen. Migadu veröffentlicht drei Selektoren für Ihre Domain — key1, key2 und key3 — und Sie fügen drei CNAME-Einträge hinzu: key1._domainkey.yourdomain.com zeigt auf key1.yourdomain.com._domainkey.migadu.com, und dasselbe Muster gilt für key2 und key3. Der Zielhostname, der Ihre eigene Domain enthält (keyN.yourdomain.com._domainkey.migadu.com), sieht seltsam aus, ist aber genau richtig: Dieser Name liegt in Migadus Zone und löst zu einem TXT-Eintrag mit dem tatsächlichen öffentlichen Schlüssel auf (v=DKIM1; k=rsa; p=…). Weil dies CNAMEs sind statt TXT-Einträgen, die Sie kopieren, hält Migadu die privaten Schlüssel und kann die veröffentlichten öffentlichen Schlüssel hinter den drei Selektoren rotieren, ohne dass Sie je wieder DNS bearbeiten müssen — deshalb gibt es drei Selektoren: Migadu kann einen ausmustern und ohne Ausfallzeit auf einen anderen wechseln. Migadu signiert Ihre ausgehende Mail mit d=yourdomain.com, sodass DKIM an Ihrer From-Domain ausgerichtet ist und einen DMARC-Pass trägt, selbst wenn SPF bei Weiterleitung bricht. Fügen Sie alle drei CNAMEs genau wie angezeigt hinzu; liegt Ihr DNS hinter Cloudflare, setzen Sie jeden auf DNS only (graue Wolke), denn ein orange-cloud-proxied CNAME löst nicht zu migadu.com auf und DKIM schlägt fehl.

DMARC

DMARC ist ein separater Richtlinien-Eintrag, den Sie selbst veröffentlichen — Migadu schlägt einen vor, erstellt ihn aber nicht in Ihrer Zone, und er ist nicht erforderlich, damit die Domain aktiviert wird (nur der Inhaberschafts-TXT und MX sind es). Fügen Sie einen TXT-Eintrag bei _dmarc.yourdomain.com hinzu, der mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com beginnt. p=none ist reiner Überwachungsmodus: Es ändert nichts an der Zustellung, weist Empfänger aber an, Ihnen aggregierte (rua) Berichte zu mailen, sodass Sie bestätigen können, dass Migadu-Mail SPF und DKIM ausgerichtet an Ihrer Domain besteht. Migadu ist einer der Anbieter, bei denen dies sauber und schnell hochskaliert — weil es SPF (Ihre eigene Envelope-Domain) und DKIM (die keyN-Selektoren auf Ihrer Domain) ausrichtet, erhalten Sie dual-ausgerichtete Passes, die Einrichtung, die auch dann weiter besteht, wenn eine Nachricht weitergeleitet wird. Beobachten Sie die Berichte ein bis zwei Wochen, stellen Sie sicher, dass jeder legitime Versender authentifiziert, und verschärfen Sie dann auf p=quarantine und schließlich p=reject. Behalten Sie genau einen _dmarc-Eintrag für die gesamte organisatorische Domain, egal wie viele Versender Sie nutzen; Subdomains erben die übergeordnete Richtlinie, sofern Sie sie nicht überschreiben. Zur Orientierung: Migadus eigene Domain läuft mit p=quarantine — ein vernünftiges Durchsetzungsziel, sobald Sie die Ausrichtung bestätigt haben.

Prüfen, ob es wirklich funktioniert hat

Vertrauen Sie nicht allein dem Status-Badge im Admin-Panel — bestätigen Sie es an einer echten Nachricht. Senden Sie sich einen Test von einer Mailbox auf der Domain, öffnen Sie ihn in Gmail und wählen Sie ⋮ → Original anzeigen: Sie möchten SPF: PASS mit yourdomain.com sehen, DKIM: PASS mit d=yourdomain.com und einem key1/key2/key3-Selektor (keine migadu.com-Signatur) sowie DMARC: PASS. Sie können die Rohdaten der Einträge stichprobenartig von einem Terminal aus prüfen mit dig TXT yourdomain.com (SPF), dig CNAME key1._domainkey.yourdomain.com (sollte zu key1.yourdomain.com._domainkey.migadu.com und weiter zu einem DKIM1-Schlüssel auflösen) und dig TXT _dmarc.yourdomain.com. Im Migadu-Admin-Panel sollte die Domain als verifiziert/aktiv mit erkanntem MX und SPF angezeigt werden. Lassen Sie die Domain schließlich durch Qualisends Domain-Health-Check laufen, um zu bestätigen, dass der SPF, alle drei DKIM-Selektoren, MX und DMARC sauber auflösen und der SPF unter dem 10-Lookup-Limit bleibt — und sobald die aggregierten DMARC-Berichte eintreffen, geben Sie einen davon in den DMARC-Report-Analyzer ein, um zu bestätigen, dass Migadu als ausgerichtete, bestehende Quelle auftaucht.

Domain-Health-Check DMARC-Berichtsanalyse

Häufige Stolperfallen

Bricht die Authentifizierung
Migadus SPF ist schwer: include:spf.migadu.com kostet VIER DNS-Lookups, weil es smtp.migadu.com, rel.migadu.com und mx.migadu.com verschachtelt — nicht einen Lookup wie bei Google oder Microsoft. Weitere Versender im selben Eintrag zu stapeln kann das RFC-7208-10-Lookup-Limit sprengen und einen PermError verursachen, kalkulieren Sie also sorgfältig.
DNS-Einrichtung
Migadu sendet oder empfängt für die Domain nicht, bis der Inhaberschafts-TXT (hosted-email-verify=…) auflöst und die Domain im Panel als aktiv erscheint. Löschen Sie diesen TXT nach der Einrichtung nicht — Migadu prüft ihn immer wieder neu, und ihn zu entfernen kann die Domain deaktivieren.
Abdeckung
Beide MX-Einträge sind erforderlich und müssen die von Migadu sein: aspmx1.migadu.com (Priorität 10) und aspmx2.migadu.com (Priorität 20). Das MX eines alten Hosts stehenzulassen teilt Ihre eingehende Mail auf und ist die häufigste Ursache für „meine Migadu-Mail funktioniert nicht“.
DNS-Einrichtung
Das DKIM-CNAME-Ziel enthält legitim Ihre eigene Domain — key1.yourdomain.com._domainkey.migadu.com ist korrekt, kein Tippfehler und kein verdoppelter Host. Behalten Sie den Eintragstyp als CNAME bei; wandeln Sie ihn nie in TXT um und fügen Sie keinen öffentlichen DKIM-Schlüssel ein.
DNS-Einrichtung
Der Cloudflare-Proxy bricht CNAME-DKIM: Setzen Sie key1/key2/key3._domainkey auf DNS only (graue Wolke). Ein orange-cloud-proxied CNAME löst nicht zu migadu.com auf und die DKIM-Validierung schlägt fehl.
DNS-Einrichtung
Verdopplung des Host-Felds: Registrare, die Ihre Domain automatisch anhängen, machen aus key1._domainkey ein key1._domainkey.yourdomain.com.yourdomain.com. Geben Sie nur das Label (key1._domainkey) ein, wenn das Panel die Domain für Sie ergänzt.
Bricht die Authentifizierung
Behalten Sie genau einen SPF-TXT-Eintrag auf der Root. Wenn Sie auch über Google Workspace, Microsoft 365 oder ein Marketing-Tool senden, führen Sie include:spf.migadu.com in diese eine v=spf1-Zeile zusammen — zwei SPF-Einträge sind selbst ein PermError.
Abdeckung
Verwenden Sie ~all während der Migration und wechseln Sie erst dann zu -all, wenn jeder legitime Versender gelistet ist. Migadu empfiehlt -all (Hard Fail) und verwendet es auf der eigenen Domain, aber ein verfrühtes -all lässt jede Mail-Quelle hart fehlschlagen, die Sie zu ergänzen vergessen haben.

Erstellen Sie Ihren SPF-Eintrag

Migadu ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.

Sending sources

Search for each platform you send email through and tick it.

Selected

Migaduinclude:spf.migadu.comGuide →

This domain's own servers

Authorize the domain itself, if it sends mail directly (not through a platform above).

a — the domain's own A recordmx — the domain's MX hosts

Other senders & IPs

Anything not in the list — another provider's SPF host, or specific IP addresses.

Additional includes

We add the include: prefix — enter the hostname your provider documents.

IPv4 addresses

IPv6 addresses

Policy for everyone else

What receivers should do with mail from any server not listed above (the all mechanism).

-all (fail)Strict — receivers should reject mail from any server not listed.~all (softfail)Recommended default — unlisted senders are accepted but marked suspicious.?all (neutral)No opinion — provides almost no protection; use only while testing.

Your SPF record1/10 DNS lookups

v=spf1 include:spf.migadu.com ~all

Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.

Authentication published? The next step is sending to a clean, verified list.

Verify a list

Migadu SPF — FAQ

Weiterführende Lektüre

SPF, DKIM & DMARC erklärtWie die drei Einträge zusammenwirken — das Fundament, auf das eine Migadu-Domain für dual-ausgerichtete Authentifizierung baut.So richten Sie DMARC einDer eine Eintrag, den Migadu nie für Sie erstellt: _dmarc veröffentlichen, Berichte lesen und von p=none auf p=reject hochfahren.Absenderanforderungen von Google & YahooWarum SPF-, DKIM- und DMARC-Ausrichtung inzwischen Pflicht ist, um Posteingänge bei Gmail, Yahoo und Outlook zu erreichen.Domain-Health-CheckBestätigen Sie, dass Ihr Migadu-SPF, alle drei DKIM-Selektoren, MX und DMARC sauber auflösen und unter dem 10-Lookup-Limit bleiben.SPF-Eintrag-GeneratorFühren Sie Migadus schweres Vier-Lookup-include mit anderen Versendern in einem gültigen SPF-Eintrag ohne PermError zusammen.DMARC-Report-AnalyzerGeben Sie Ihre aggregierten Berichte ein, um zu bestätigen, dass Migadu als ausgerichtete, bestehende Quelle auftaucht, bevor Sie die Richtlinie verschärfen.

Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.

Authentifiziert — jetzt die Liste sauber halten

SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.

Verifizierung starten