SPF, DKIM & DMARC für Shopify.
Bei Shopify bedeutet "E-Mails von Ihrer eigenen Domain versenden" fast immer, dass die automatisierten Mails Ihres Shops — Bestellbestätigungen, Versandbenachrichtigungen, Warenkorbabbruch-Hinweise und Marketingkampagnen aus der Shopify-Email-App — mit einer markeneigenen Absenderadresse wie orders@ihrshop.com statt mit einer generischen Shopify-Adresse hinausgehen. Shopify authentifiziert diesen Mailstrom per CNAME-basierter Domain-Authentifizierung: einer Reihe von CNAME-Einträgen (die genaue Anzahl variiert je nach Shop), die DKIM einrichten, während SPF über die eigene Versandinfrastruktur von Shopify abgewickelt wird — plus einem DMARC-TXT-Eintrag, den Sie selbst hinzufügen. Es gibt kein gemeinsames SPF include:, das Sie in Ihren Root-Eintrag einfügen müssten, und wenn Sie Ihre Domain über Shopify gekauft haben, ist das meiste davon bereits für Sie konfiguriert.
Warum Shopify authentifizieren?
Seit dem 1. Februar 2024 verlangen Gmail und Yahoo, dass jede Domain, die ihnen Mails sendet, mit SPF, DKIM und einem DMARC-Eintrag authentifiziert ist. Shopify setzt dies auf Plattformebene durch. Ist Ihre Versanddomain nicht authentifiziert, hängt Shopify "via shopifyemail.com" an Ihre Absenderadresse an; ist sie weder authentifiziert noch durch einen DMARC-Eintrag abgedeckt, geht Shopify noch weiter und schreibt die Absenderadresse vollständig auf eine generische store+123@shopifyemail.com um (die Nummer ist für Ihren Shop eindeutig), damit Ihre Mail die Kundschaft trotzdem erreicht. Das hält die Zustellung am Laufen, löscht aber Ihr Branding — die Kundschaft sieht eine Shopify-Adresse statt Ihrer, Antworten können ins Leere laufen, und die Nachrichten wirken weniger vertrauenswürdig. Wenn Sie die CNAME-Authentifizierung plus einen DMARC-Eintrag abschließen, stoppt das die Umschreibung, lässt Bestell- und Marketing-E-Mails unter Ihrer echten Adresse versenden, signiert sie mit DKIM, das auf Ihre Domain ausgerichtet ist, und erfüllt die Bulk-Sender-Regeln von Google/Yahoo. Es verbessert außerdem direkt die Zustellung im Posteingang für die transaktionalen Mails, die Ihre Kundschaft tatsächlich erwartet.
Die SPF-Realität bei Shopify
Shopify gibt Ihnen kein SPF include:, das Sie zum Root-TXT-Eintrag Ihrer Domain hinzufügen müssten — es gibt kein "include:shopify..." zum Einfügen und keinen SPF-Mechanismus jeglicher Art, den Sie veröffentlichen sollten. Shopify beschreibt seine CNAMEs als "SPF automatisch abwickelnd"; in der Praxis bedeutet das, dass SPF auf der eigenen Versandinfrastruktur von Shopify erfüllt wird — Shop-Mails gehen mit einem Return-Path (Envelope-From) auf shopifyemail.com hinaus, das den eigenen SPF-Eintrag von Shopify trägt, sodass die SPF-Prüfung dort besteht, ohne dass etwas in Ihrem DNS steht. Da dieser Return-Path die Domain von Shopify ist und keine Subdomain von Ihnen, ist nicht SPF das, was Shop-Mails auf Ihre Domain ausrichtet — sondern DKIM. Die CNAMEs, die Sie hinzufügen, sind DKIM-Selector-Einträge unter _domainkey, und der d=-Wert ihrer Signatur ist Ihre Domain, was DMARC bestehen lässt (dmarcian und Shopify behandeln dies beide als DKIM-first-Einrichtung). Daraus ergeben sich zwei praktische Konsequenzen. Erstens: Versuchen Sie nicht zu "helfen", indem Sie einen Shopify-SPF-Mechanismus zu Ihrem Root-Eintrag hinzufügen — es gibt keinen, und einen zu erfinden bewirkt nichts. Zweitens: Wenn Sie bereits einen Root-SPF-Eintrag für Ihre menschlichen Postfächer (Google Workspace, Microsoft 365, Zoho) veröffentlichen, damit sie@ihrshop.com funktioniert, lassen Sie ihn genau so, wie er ist: Die Shop-Mail von Shopify ist ein separater Mailstrom, der durch eigene CNAMEs authentifiziert wird, und das SPF/DKIM Ihres Postfachanbieters deckt die Mail ab, die Sie persönlich senden. Die beiden überschneiden sich nicht, und die Authentifizierung von Shopify fügt Ihrem Root-SPF null DNS-Lookups hinzu.
Zwei Wege zur Einrichtung
Automatische Einrichtung über Domain Connect
- Nur verfügbar, wenn Ihr DNS bei Cloudflare, GoDaddy oder IONOS gehostet wird
- Shopify schreibt die DKIM/SPF-CNAME-Einträge für Sie, sobald Sie das Konto verbinden
- Schnellster Weg mit der geringsten Chance auf einen falsch getippten shop-spezifischen Token
- Fügt Ihren DMARC-Eintrag dennoch NICHT hinzu — Sie müssen den _dmarc-TXT selbst hinzufügen
Manuelle CNAME-Eingabe (jeder andere DNS-Host)
- Erforderlich für Namecheap, Route 53, Porkbun, Squarespace DNS und die meisten anderen
- Kopieren Sie jeden CNAME-Host + jedes Ziel aus dem Modal Domain authentifizieren in Ihren DNS-Editor
- Jedes Host-Präfix ist ein zufälliger shop-spezifischer Token — kopieren Sie ihn wortgetreu, sonst bricht der Eintrag
- Den DMARC-TXT-Eintrag fügen Sie auch hier selbst hinzu
Schritt für Schritt
- 1
Prüfen Sie, ob Shopify Ihre Domain bereits verwaltet
Wenn Sie Ihre Domain über Shopify registriert oder transferiert haben (eine von Shopify verwaltete Domain), wird die E-Mail-Authentifizierung — DKIM, SPF und DMARC — automatisch konfiguriert und Sie müssen nichts hinzufügen; springen Sie direkt zur Überprüfung. Nur Drittanbieter-Domains (registriert bei Namecheap, GoDaddy, Cloudflare, Route 53, Porkbun usw.) erfordern die manuelle Arbeit in den folgenden Schritten.
- 2
Öffnen Sie das Authentifizierungs-Modal für die Absender-E-Mail
Suchen Sie den Abschnitt Absender-E-Mail, bestätigen Sie die markeneigene Absenderadresse, von der Ihr Shop senden soll (zum Beispiel orders@ihrshop.com oder hello@ihrshop.com), und klicken Sie auf Domain authentifizieren (in manchen Shops als "E-Mail-Domain-Authentifizierung" bezeichnet). Shopify generiert eine Reihe von CNAME-Einträgen, die für Ihren Shop eindeutig sind, und öffnet ein Modal, das den Hostnamen und Zielwert jedes Eintrags auflistet. Die Anzahl der Einträge variiert, planen Sie also ein, jeden Eintrag hinzuzufügen, den das Modal anzeigt.
- 3
Wählen Sie zwischen automatischer und manueller DNS-Konfiguration
Wenn Ihr DNS bei Cloudflare, GoDaddy oder IONOS gehostet wird, kann Shopify die CNAME-Einträge über Domain Connect für Sie schreiben — verbinden Sie das Konto, und Shopify veröffentlicht sie automatisch. Wichtig: Die automatische Einrichtung fügt Ihren DMARC-Eintrag NICHT hinzu, Sie schließen den DMARC-Schritt also weiterhin von Hand ab. Für jeden anderen DNS-Host verwenden Sie die manuelle Einrichtung: Lassen Sie das Modal geöffnet und kopieren Sie die Einträge in einem separaten Tab in Ihren DNS-Editor.
- 4
Fügen Sie die CNAME-Einträge hinzu, die Shopify anzeigt
Erstellen Sie jeden Eintrag, den Shopify auflistet, als Typ CNAME. Geben Sie für jeden das Host-/Namenspräfix genau wie angezeigt ein — nur das relative Präfix (zum Beispiel xk1._domainkey), da Ihr DNS-Host die Domain anhängt — und fügen Sie das Ziel von Shopify als Wert/Verweisziel ein. Diese Einträge konfigurieren DKIM (und decken SPF über den Return-Path von Shopify ab), fügen Sie also keinen separaten SPF-TXT-Eintrag für Shopify hinzu. Jedes Präfix enthält einen zufälligen shop-spezifischen Token, kopieren Sie also jeden Wert wortgetreu; ein einziges geändertes Zeichen bricht den Eintrag.
- 5
Veröffentlichen Sie einen DMARC-Eintrag
Shopify erfordert einen DMARC-Eintrag, bevor es aufhört, Ihre Absenderadresse umzuschreiben — und das gilt selbst dann, wenn Sie die automatische Domain-Connect-Einrichtung verwendet haben, die DMARC nie hinzufügt. Fügen Sie einen TXT-Eintrag beim Host _dmarc hinzu, mindestens mit v=DMARC1; p=none; und idealerweise einer rua=-Berichtsadresse, damit Sie aggregierte Berichte erhalten. Veröffentlichen Sie nur einen DMARC-Eintrag und verwenden Sie keine Tags für strikte Ausrichtung (adkim=s oder aspf=s) — strikte Ausrichtung führt dazu, dass Shopify Ihre Absenderadresse weiter umschreibt.
- 6
Lassen Sie die Einträge Ihres Postfachanbieters unangetastet
Die CNAMEs von Shopify authentifizieren nur die ausgehende Mail Ihres Shops (Benachrichtigungen und die Marketing-App Shopify Email). Die E-Mail, die Sie als Person senden und empfangen — über Google Workspace, Microsoft 365, Zoho oder Ähnliches — ist ein anderer Mailstrom mit eigenen SPF- und DKIM-Einträgen. Entfernen oder verschmelzen Sie diese nicht; beide Mailströme existieren unter einer Domain nebeneinander.
- 7
Warten Sie auf die Propagierung und bestätigen Sie innerhalb von Shopify
DNS-Änderungen können bis zu 48 Stunden brauchen, um vollständig zu propagieren, sind aber oft innerhalb von ein bis zwei Stunden aktiv. Kehren Sie zum Abschnitt Absender-E-Mail zurück; sobald Shopify die Einträge erkennt, markiert es die Domain als Authentifiziert und hört auf, Ihre Absenderadresse umzuschreiben, sodass die Shop-Mail unter Ihrer echten markeneigenen Adresse versendet wird.
- 8
Extern verifizieren, dann die DMARC-Durchsetzung hochfahren
Bestätigen Sie außerhalb von Shopify, dass DKIM und DMARC für Ihre Domain auflösen (und dass SPF für den Versandstrom besteht), mithilfe eines öffentlichen Eintrags-Checkers, und senden Sie sich selbst eine Testbestellung oder Shopify-Email, um zu bestätigen, dass sie korrekt signiert. Führen Sie DMARC dann durch seinen Rollout: Verharren Sie bei p=none, während Sie die aggregierten Berichte lesen, und steigen Sie erst auf p=quarantine und schließlich p=reject um, sobald jeder legitime Mailstrom — Shopify plus Ihr Postfach-Host — besteht und ausgerichtet ist.
Einzutragende Einträge
Shopify erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| CNAME | xk1._domainkey | dkim1.xk1.shopifyemail.comBeispielhafter DKIM-Selektor. Das echte Host-Präfix Ihres Shops ist ein zufälliger shop-spezifischer Token (echte Shops zeigen etwas wie err._domainkey), und sowohl das Präfix als auch das Ziel stammen direkt aus dem Modal Domain authentifizieren — kopieren Sie sie wortgetreu. |
| CNAME | xk2._domainkey | dkim2.xk1.shopifyemail.comBeispielhafter zweiter DKIM-Selektor. Shopify veröffentlicht mehrere Selektoren, damit Schlüssel rotieren können; die genaue Anzahl der Einträge variiert je nach Shop, fügen Sie also jeden hinzu, den das Modal auflistet. |
| CNAME | xk3._domainkey | dkim3.xk1.shopifyemail.comBeispielhafter dritter DKIM-Selektor. Es gibt keinen separaten SPF- oder Bounce-Eintrag, den Sie hinzufügen müssten — SPF wird über den Return-Path von Shopify (shopifyemail.com) abgewickelt, weshalb kein Root-SPF include: benötigt wird. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourstore.comDiesen fügen Sie selbst hinzu — Shopify erstellt ihn nie, nicht einmal während der automatischen Domain-Connect-Einrichtung. Veröffentlichen Sie genau einen DMARC-Eintrag und vermeiden Sie adkim=s / aspf=s, sonst schreibt Shopify Ihre Absenderadresse weiter um. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Shopify von diesem Budget verbraucht.
Die empfohlene Einrichtung von Shopify fügt 0 Lookups hinzu — alle 10 bleiben frei für die Absender, die tatsächlich ein include benötigen.
DKIM
Das DKIM von Shopify ist CNAME-delegiert, kein öffentlicher Schlüssel, den Sie einfügen. Wenn Sie authentifizieren, veröffentlicht Shopify mehrere DKIM-Einträge als CNAMEs auf selector-artigen Hosts unter _domainkey — die genaue Anzahl variiert je nach Shop, und jedes Host-Präfix ist ein zufälliger, shop-spezifischer Token (echte Shops sehen Präfixe wie err._domainkey, err2._domainkey oder mailererr._domainkey statt ordentlicher Namen wie shopify1/shopify2). Jeder verweist auf einen Schlüssel, den Shopify auf shopifyemail.com hostet. Da der eigentliche Schlüssel auf der Seite von Shopify liegt, kann Shopify ihn rotieren, ohne dass Sie das DNS je wieder anfassen müssen — Sie handhaben nie selbst einen v=DKIM1; p=...-String. Diese Selektoren signieren die ausgehende Mail Ihres Shops, und weil die CNAMEs auf Ihrer Domain liegen, richtet sich der d=-Wert der DKIM-Signatur auf Ihre Domain aus — was bei einer Shopify-Einrichtung die Ausrichtung ist, auf die sich DMARC tatsächlich verlässt (SPF besteht auf dem eigenen Return-Path von Shopify, ist aber nicht auf Sie ausgerichtet). Das Einzige, was Sie richtig machen müssen, ist, jedes Host-Präfix und Ziel genau so zu kopieren, wie das Modal sie anzeigt; diese shop-spezifischen Token stimmen mit keinem Beispiel überein.
DMARC
DMARC ist der eine Eintrag, den Shopify nicht für Sie erstellt — nicht einmal während der automatischen Domain-Connect-Einrichtung — und er ist verpflichtend: Ohne ihn schreibt Shopify Ihre Absenderadresse selbst dann um, wenn die CNAMEs eingerichtet sind. Fügen Sie einen einzelnen TXT-Eintrag bei _dmarc hinzu. Das Minimum, das Shopify akzeptiert, ist v=DMARC1; p=none;, aber nehmen Sie eine rua=mailto:-Adresse auf, damit Sie tatsächlich die aggregierten Berichte erhalten, die Ihnen sagen, welche Mailströme bestehen. Zwei Shopify-spezifische Regeln: Veröffentlichen Sie nur einen DMARC-Eintrag (ein zweiter TXT bei _dmarc lässt die Validierung fehlschlagen und löst die Absenderumschreibung erneut aus), und setzen Sie keine strikte Ausrichtung — adkim=s oder aspf=s führt dazu, dass Shopify Ihre Adresse weiter umschreibt, weil sich die Shop-Mail über DKIM authentifiziert (dessen d= Ihre Organisationsdomain ist) und über einen SPF-Return-Path auf shopifyemail.com, der sich nicht strikt ausrichten kann. Beginnen Sie bei p=none, beobachten Sie die Berichte, bis sowohl Shopify als auch Ihr Postfachanbieter sauber authentifizieren, und verschärfen Sie dann auf p=quarantine und schließlich p=reject. Direkt zur Durchsetzung zu springen, riskiert, dass legitime Bestell- und Marketing-Mails vergraben werden.
Prüfen, ob es wirklich funktioniert hat
Beurteilen Sie den Erfolg nicht allein anhand des Shopify-Bildschirms — bestätigen Sie, dass die Einträge im öffentlichen Internet auflösen. Nachdem Sie Zeit für die Propagierung eingeplant haben (bis zu 48 Stunden), prüfen Sie Ihre Domain mit einem externen SPF/DKIM/DMARC-Checker: Er sollte die DKIM-Schlüssel an den Selektoren von Shopify finden, bestätigen, dass SPF für den Versandstrom besteht, und einen einzigen gültigen DMARC-Eintrag anzeigen. Innerhalb von Shopify sollte der Abschnitt Absender-E-Mail Authentifiziert anzeigen, und eine Testbenachrichtigung (geben Sie eine Testbestellung auf oder senden Sie sich selbst eine Shopify-Email) sollte von Ihrer markeneigenen Adresse eintreffen — nicht von einer store+123@shopifyemail.com-Umschreibung oder mit einem "via shopifyemail.com"-Zusatz. Wird sie weiterhin umgeschrieben, sind die üblichen Ursachen Einträge, die noch nicht propagiert sind, ein fehlender oder doppelter DMARC-Eintrag oder strikte DMARC-Ausrichtung. Sobald DMARC-Berichte eintreffen, nutzen Sie sie, um zu bestätigen, dass jede legitime Quelle ausgerichtet ist, bevor Sie die Richtlinie anheben.
Häufige Stolperfallen
- DNS-Einrichtung
Die Absenderadresse wird auf store+123@shopifyemail.com umgeschrieben, wenn Sie eine der beiden Hälften der Einrichtung auslassen. Sowohl die CNAME-Einträge ALS AUCH ein DMARC-Eintrag sind erforderlich — die Domain zu authentifizieren, aber DMARC zu vergessen, lässt Sie weiterhin umgeschrieben.
- DNS-Einrichtung
Die automatische Einrichtung (Domain Connect) überspringt DMARC. Wenn Ihr DNS bei Cloudflare, GoDaddy oder IONOS liegt und Sie Shopify die CNAMEs für sich schreiben lassen, fügt es den _dmarc-Eintrag dennoch nicht hinzu — den müssen Sie von Hand hinzufügen, sonst geht die Umschreibung weiter.
- Bricht die Authentifizierung
Es gibt kein Shopify-SPF include:, das Sie zu Ihrem Root-Eintrag hinzufügen müssten. SPF wird über den eigenen Return-Path von Shopify (shopifyemail.com) abgewickelt, ein erfundenes include:shopify... in Ihr Root-SPF einzufügen bewirkt also nichts.
- Abdeckung
Strikte DMARC-Ausrichtung bricht es. Enthält Ihr DMARC-Eintrag adkim=s oder aspf=s, schreibt Shopify Ihre Absenderadresse weiter um — verwenden Sie entspannte Ausrichtung (die Standardeinstellung).
- DNS-Einrichtung
Nur ein DMARC-Eintrag ist erlaubt. Ein zweiter TXT bei _dmarc (vielleicht von einem anderen Tool oder einem früheren Host hinterlassen) besteht die Validierung nicht und löst die Umschreibung erneut aus.
- Abdeckung
Die seltsamen dreibuchstabigen Host-Präfixe sind normal. Shopify generiert Selektoren mit zufälligen Token wie err._domainkey oder mailererr._domainkey — 'err' ist kein Fehler, nur ein shop-spezifisches Präfix. Fügen Sie sie genau wie angezeigt hinzu.
- Abdeckung
Geben Sie nur das Host-Präfix ein, nicht die vollständige Domain. Die meisten DNS-Editoren hängen Ihre Domain automatisch an, sodass die Eingabe von err._domainkey.ihrshop.com statt err._domainkey einen fehlerhaften Eintrag erzeugt.
- DNS-Einrichtung
Verwechseln Sie die Shop-Mail nicht mit Ihrem Postfach. Die CNAMEs von Shopify decken nur Shop-Benachrichtigungen und die Shopify-Email-App ab; die E-Mail, die Sie persönlich von sie@ihrshop.com senden, benötigt weiterhin ihr eigenes SPF/DKIM von Google Workspace, Microsoft 365 oder Zoho.
- Abdeckung
Die Propagierung kann bis zu 48 Stunden dauern. Shopify stellt die Domain erst auf Authentifiziert um, wenn es die Einträge erkennt, eine Einrichtung, die unvollständig aussieht, braucht also möglicherweise nur Zeit, bevor Sie erneut prüfen.
Erstellen Sie Ihren SPF-Eintrag
Shopify benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listShopify SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.