SPF, DKIM und DMARC für Onlineshops: So erfüllen Sie die Absenderregeln von Gmail und Yahoo

Was SPF, DKIM und DMARC leisten, was Gmail, Yahoo und Outlook.com von Absendern verlangen, die Einrichtung bei Shopify und WooCommerce und der Weg zu p=reject.

FixReports Redaktion10 Min. Lesezeit

Um die Absenderregeln von Gmail und Yahoo zu erfüllen, braucht jeder Onlineshop SPF oder DKIM für seine Versanddomain. Massenversender (Bulk Sender) brauchen beides und zusätzlich einen DMARC-Eintrag mit mindestens p=none, wobei die sichtbare From-Domain mit der SPF- oder DKIM-Domain übereinstimmen muss (Alignment). Massenversender müssen außerdem in Marketing-E-Mails eine Abmeldung mit einem Klick anbieten und ihre gemeldete Spamrate unter 0,3 % halten. Bei Shopify bedeutet das, Ihre Absenderdomain im Adminbereich zu authentifizieren und einen DMARC-Eintrag anzulegen; bei WooCommerce bedeutet es, über einen authentifizierten E-Mail-Anbieter zu versenden. Sobald die DMARC-Berichte zeigen, dass alle Ihre legitimen E-Mails die Prüfung bestehen, können Sie die Policy schrittweise in Richtung p=reject verschärfen.

Das Wichtigste in Kürze

Was leisten SPF, DKIM und DMARC eigentlich?

SPF legt fest, wer für Ihre Domain senden darf, DKIM signiert jede Nachricht, und DMARC verknüpft beides mit der From-Adresse, die Ihre Kunden sehen.

EintragWas er nachweistWo er liegtStandard
SPFDer sendende Server ist für die Domain im Envelope (MAIL FROM) autorisiertTXT-Eintrag auf der DomainRFC 7208 (öffnet in einem neuen Tab)
DKIMDie Nachricht wurde von der Domain signiert und unterwegs nicht verändertTXT-Eintrag unter selector._domainkey.example.comRFC 6376 (öffnet in einem neuen Tab)
DMARCSPF oder DKIM wurde für eine Domain bestanden, die mit der sichtbaren From-Domain übereinstimmt; teilt Empfängern mit, wie sie mit Fehlschlägen umgehen sollen und wohin Berichte gehenTXT-Eintrag unter _dmarc.example.comRFC 9989 (öffnet in einem neuen Tab)

Das Alignment, also die Übereinstimmung der Domains, wird leicht übersehen. Ihre E-Mail-Plattform kann SPF für ihre eigene Bounce-Domain bestehen, während Ihre From-Adresse die Domain Ihres Shops zeigt. Eine solche Nachricht besteht SPF, fällt aber bei DMARC durch, es sei denn, DKIM wird mit Ihrer Domain signiert.

Was verlangen Gmail und Yahoo von Absendern?

Beide verlangen Authentifizierung von jedem Absender und stellen strengere Regeln für Massenversender auf.

Für alle Absender verlangt Gmail SPF oder DKIM, gültige Forward- und Reverse-DNS-Einträge, TLS, eine Formatierung nach RFC 5322 und eine Spamrate unter 0,3 % in den Postmaster Tools (Google (öffnet in einem neuen Tab)). Yahoo verlangt mindestens SPF oder DKIM und eine Spamrate unter 0,3 % (Yahoo Sender Hub (öffnet in einem neuen Tab)). Für Massenversender gilt:

AnforderungGmailYahoo
SPF und DKIMBeidesBeides
DMARCErforderlich; die Policy kann none seinGültige Policy mit mindestens p=none, und DMARC muss bestanden werden
AlignmentFrom-Domain stimmt mit der SPF- oder DKIM-Domain übereinEbenso; relaxed Alignment wird akzeptiert
Abmeldung mit einem KlickMarketing- und abonnierte Nachrichten, gemäß RFC 8058, plus ein sichtbarer LinkList-Unsubscribe-Header mit One-Click-Unterstützung für Marketing- und abonnierte Nachrichten
Abmeldungen umsetzenInnerhalb von 48 Stunden (empfohlen)Innerhalb von 2 Tagen
SpamrateUnter 0,3 %; Google empfiehlt unter 0,10 %Unter 0,3 %

Einige Details sind für Shops wichtig:

  • Gmail zählt nach Domain. Nachrichten von derselben primären Domain zählen gemeinsam zur Grenze von 5.000, sodass sich Bestell-E-Mails, Marketing und Antworten des Supports summieren.
  • Nur private Gmail-Konten zählen. Die Richtlinien gelten nicht für Nachrichten an Google-Workspace-Konten.
  • Transaktions-E-Mails sind von der Abmeldung mit einem Klick ausgenommen. Bestellbestätigungen brauchen trotzdem Authentifizierung.

Die Abmeldung mit einem Klick nutzt zwei Header, die in RFC 8058 (öffnet in einem neuen Tab) definiert sind. Der Standard verlangt außerdem eine gültige DKIM-Signatur, die diese Header abdeckt:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Um zu prüfen, ob Ihre Marketingplattform sie hinzufügt, öffnen Sie den Quelltext einer Ihrer eigenen Kampagnen.

Was hat sich seit Februar 2024 geändert?

Die Durchsetzung wurde schrittweise verschärft, und andere Postfachanbieter haben ähnliche Regeln eingeführt.

DatumÄnderungQuelle
Februar 2024Die Anforderungen von Gmail und Yahoo treten in Kraft (Yahoo führte die Durchsetzung schrittweise ein)Google (öffnet in einem neuen Tab), Yahoo (öffnet in einem neuen Tab)
Juni 2024Gmail: Massenversender mit einer Spamrate über 0,3 % kommen für eine Mitigation nicht mehr infrageGmail-FAQ (öffnet in einem neuen Tab)
1. Juni 2024Gmail-Frist für die Abmeldung mit einem Klick für Absender, die bereits einen Abmeldelink hattenGmail-FAQ (öffnet in einem neuen Tab)
5. Mai 2025Anforderungen von Outlook.com für Domains, die mehr als 5.000 E-Mails pro Tag senden; laut Microsofts Update vom 29. April werden Nachrichten, die sie nicht erfüllen, mit 550 5.7.515 abgelehntMicrosoft (öffnet in einem neuen Tab)
November 2025Gmail verschärft die Durchsetzung, einschließlich vorübergehender und dauerhafter AblehnungenGmail-FAQ (öffnet in einem neuen Tab)
Mai 2026RFC 9989 löst RFC 7489 als DMARC-Spezifikation abIETF (öffnet in einem neuen Tab)

Die Regeln von Outlook.com gelten für die Verbraucheradressen (outlook.com, hotmail.com und live.com). Sie verlangen, dass SPF und DKIM bestanden werden und dass DMARC mit mindestens p=none und Alignment mit SPF oder DKIM eingerichtet ist.

Wie richten Sie SPF, DKIM und DMARC bei Shopify ein?

Authentifizieren Sie Ihre Absenderdomain im Shopify-Adminbereich und legen Sie dann bei Ihrem DNS-Anbieter einen DMARC-Eintrag an.

Laut Shopifys Anleitung zur E-Mail-Einrichtung (öffnet in einem neuen Tab) verlangen Gmail und Yahoo seit dem 1. Februar 2024 eine authentifizierte Domain und einen DMARC-Eintrag, damit Sie von einer Adresse mit Ihrer eigenen Marke senden können. Sind keine Authentifizierungseinträge eingerichtet, schreibt Shopify Ihre Absenderadresse in das Format store+123@shopifyemail.com um. Die Schritte:

  1. Gehen Sie im Shopify-Adminbereich zu Einstellungen > Benachrichtigungen (Settings > Notifications).
  2. Klicken Sie im Abschnitt Absender-E-Mail-Adresse (Sender email) auf Domain authentifizieren (authenticate your domain).
  3. Tragen Sie alle angezeigten CNAME-Einträge bei Ihrem DNS-Anbieter ein. Ihre Anzahl kann variieren. Laut Shopify übernehmen diese Einträge SPF und DKIM für Ihre Absenderadresse, und Sie müssen keine IP-Adressen hinzufügen.
  4. Rechnen Sie mit bis zu 48 Stunden, bis DNS-Änderungen wirksam werden.
  5. Legen Sie einen TXT-Eintrag mit dem Namen _dmarc und dem Wert v=DMARC1; p=none; an, den Shopify als Standard verwendet.

Wenn Sie Ihre Domain bei Shopify gekauft oder zu Shopify übertragen haben, verwaltet Shopify diese Einträge für Sie. Shopify weist außerdem darauf hin, dass eine Domain nur einen DMARC-Eintrag haben darf und dass strikte Alignment-Einstellungen (adkim=s oder aspf=s) entfernt oder auf r geändert werden sollten.

Die Authentifizierung bei Shopify deckt die E-Mails ab, die Shopify versendet. Wenn Sie eine andere Plattform für Kampagnen, ein Helpdesk oder Google Workspace für die E-Mails Ihres Teams nutzen, braucht jeder dieser Dienste ein eigenes DKIM-Setup und, sofern er Ihre Domain für Bounces verwendet, eine eigene Angabe in Ihrem SPF-Eintrag.

Wie richten Sie die E-Mail-Authentifizierung für WooCommerce ein?

Versenden Sie WooCommerce-E-Mails über einen spezialisierten Anbieter, der mit Ihrer Domain signiert, so wie es auch die Dokumentation von WooCommerce empfiehlt.

WooCommerce versendet E-Mails über die WordPress-Funktion wp_mail(), und die E-Mail-FAQ (öffnet in einem neuen Tab) von WooCommerce empfehlen einen dedizierten SMTP-Anbieter als zuverlässigere Lösung als die Mail-Funktion Ihres eigenen Servers. Ein typisches Setup:

  1. Wählen Sie einen Anbieter für Transaktions-E-Mails und verifizieren Sie dort Ihre Domain. Der Anbieter nennt Ihnen die DKIM-Einträge und das SPF-Include, das Sie veröffentlichen müssen.
  2. Verbinden Sie WordPress über ein SMTP- oder API-Plugin mit diesem Anbieter.
  3. Setzen Sie die „Von“-Adresse (From address) unter WooCommerce > Einstellungen > E-Mails (WooCommerce > Settings > Emails) auf eine Adresse Ihrer eigenen Domain. WooCommerce warnt, dass E-Mails von einer öffentlichen Adresse, etwa bei Gmail oder Yahoo, wahrscheinlich im Spam landen oder blockiert werden.
  4. Veröffentlichen Sie einen DMARC-Eintrag unter _dmarc.yourdomain.
  5. Öffnen Sie WooCommerce > Status > Protokolle (WooCommerce > Status > Logs) und filtern Sie nach der Quelle transactional-emails, um zu sehen, welche Nachrichten gesendet wurden oder fehlgeschlagen sind.

Wenn auch Ihr Webhoster E-Mails für die Domain versendet, authentifizieren Sie diesen Versand oder schalten Sie ihn ab. Jedes System, das ohne aligned SPF oder DKIM im Namen Ihrer Domain sendet, fällt bei DMARC durch.

Was ist das SPF-Limit von 10 Lookups, und wie bleiben Sie darunter?

Eine SPF-Prüfung darf höchstens 10 Terme verwenden, die DNS-Abfragen erfordern; schon ein Term mehr ergibt permerror, und SPF wird nicht bestanden.

RFC 7208, Abschnitt 4.6.4 (öffnet in einem neuen Tab) nennt die Terme, die zählen: die Mechanismen include, a, mx, ptr und exists sowie den Modifikator redirect. Die Mechanismen ip4, ip6 und all zählen nicht. Auch Includes, die in Ihren Includes verschachtelt sind, zählen mit, weil das Limit für die gesamte Auswertung gilt. Der RFC empfiehlt außerdem, „Void Lookups“ (Abfragen, die keine Antwort liefern) auf zwei zu begrenzen, und sagt, dass der Mechanismus ptr nicht veröffentlicht werden sollte.

So bleiben Sie unter 10:

  • Entfernen Sie Includes für Dienste, die Sie nicht mehr nutzen.
  • Verwenden Sie ip4 oder ip6 für Server, die Sie selbst mit festen Adressen betreiben.
  • Verlagern Sie Marketing-E-Mails auf eine Subdomain wie news.example.com, die einen eigenen SPF-Eintrag und eine eigene Zählung hat.
  • Veröffentlichen Sie nie zwei SPF-Einträge. RFC 7208 verbietet mehrere Einträge, und die Auswertung ergibt permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com und spf.example-marketing.com sind Platzhalter für die Angaben, die Ihre Anbieter Ihnen nennen.

Wie stellen Sie DMARC von p=none auf p=reject um?

Beginnen Sie mit p=none und aktivierten Berichten, beheben Sie jede legitime Quelle, die in den Berichten auftaucht, und verschärfen Sie dann die Policy.

PhaseEintragZiel
1. Beobachtenv=DMARC1; p=none; rua=mailto:dmarc@example.comAggregate Reports darüber sammeln, wer im Namen Ihrer Domain sendet
2. BehebenKeine ÄnderungJede legitime Quelle so einrichten, dass sie aligned SPF oder DKIM besteht
3. Quarantänev=DMARC1; p=quarantine; rua=mailto:dmarc@example.comNicht bestandene E-Mails landen im Spam
4. Ablehnenv=DMARC1; p=reject; rua=mailto:dmarc@example.comNicht bestandene E-Mails werden abgewiesen

Gehen Sie erst zur nächsten Phase über, wenn die Berichte zeigen, dass Ihre Shopplattform, Ihr Marketingtool, Ihr Helpdesk und die E-Mails Ihres Teams alle bestehen. Aggregate Reports sind in RFC 9990 (öffnet in einem neuen Tab) definiert. Liegt die rua-Adresse auf einer anderen Domain, etwa bei einem Reporting-Dienst, muss diese Domain einen Eintrag veröffentlichen, der die Berichte autorisiert.

Ältere Anleitungen empfehlen eine Einführung mit pct=25 oder pct=50. RFC 9989 hat pct entfernt (sein Registry-Eintrag hat jetzt den Status „historic“), weil andere Werte als 0 und 100 uneinheitlich angewendet wurden. Stattdessen bittet t=y die Empfänger, die nächstniedrigere Policy anzuwenden, zum Beispiel Quarantäne statt Ablehnung. Verwenden Sie t=y statt Teilprozentsätzen, wenn Sie einen Testschritt einlegen möchten.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Eine durchgesetzte Policy ermöglicht außerdem BIMI, das Ihr Logo in unterstützten Posteingängen anzeigt. Gmail verlangt dafür DMARC mit p=quarantine oder p=reject sowie ein Verified Mark Certificate oder ein Common Mark Certificate (Google (öffnet in einem neuen Tab)). Für E-Mails, die bei Ihrer Domain eingehen, können Sie sendenden Servern mit MTA-STS (RFC 8461 (öffnet in einem neuen Tab)) mitteilen, dass sie die Zustellung an Ihre Mailserver verweigern sollen, wenn diese kein TLS mit einem vertrauenswürdigen Zertifikat anbieten.

Wie können Sie die Einträge Ihres Shops prüfen?

Fragen Sie die drei Eintragstypen mit dig ab, oder verwenden Sie ein Prüftool, das sie für Sie ausliest.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Den DKIM-Selektor legt Ihr Anbieter fest; Sie finden ihn im Wert s= des DKIM-Signature-Headers einer Nachricht, die Sie gesendet haben. Der E-Mail-Zustellbarkeitsreport liest Ihr öffentliches DNS aus, zählt SPF-Lookups, probiert gängige DKIM-Selektoren aus und prüft die DMARC-Policy, rua, pct, BIMI und MTA-STS. Korrekte Einträge helfen, aber keine Kombination von Einträgen garantiert die Zustellung in den Posteingang, weil Postfachanbieter auch Spam-Beschwerden und das Versandverhalten berücksichtigen.

Häufig gestellte Fragen

Brauche ich DMARC, wenn mein Shop weniger als 5.000 E-Mails pro Tag versendet?

Gmail verlangt DMARC nur von Massenversendern, aber Shopify weist darauf hin, dass Gmail und Yahoo eine authentifizierte Domain und einen DMARC-Eintrag verlangen, damit Sie von einer Adresse mit Ihrer eigenen Marke senden können. Ein Eintrag mit p=none birgt wenig Risiko und liefert Ihnen Berichte, daher sollten die meisten Shops einen veröffentlichen.

Darf meine Domain zwei SPF-Einträge haben?

Nein. Laut RFC 7208 darf eine Domain nicht mehrere SPF-Einträge haben, und wenn doch, ergibt die SPF-Auswertung permerror. Fassen Sie alle Absender in einem einzigen Eintrag zusammen.

Blockiert p=reject meine Shopify-Bestell-E-Mails?

Nicht, wenn die CNAME-Einträge von Shopify eingerichtet sind und Ihre DMARC-Berichte zeigen, dass Shopify-E-Mails aligned DKIM bestehen. Prüfen Sie die Berichte, bevor Sie über p=none hinausgehen, und belassen Sie das Alignment auf relaxed, wie Shopify es empfiehlt.

Ist das DMARC-Tag pct noch gültig?

RFC 9989, veröffentlicht im Mai 2026, hat pct entfernt und t=y für den Testmodus eingeführt. Die BIMI-Anleitung von Google verlangt weiterhin pct=100, was ohnehin der Standardwert ist, wenn das Tag fehlt. Für neue Einträge ist es daher am einfachsten, pct wegzulassen.

Garantieren bestandene SPF-, DKIM- und DMARC-Prüfungen, dass meine E-Mails im Posteingang ankommen?

Nein. Authentifizierung ist eine Voraussetzung, keine Garantie. Gmail und Yahoo achten auch auf Spam-Beschwerdequoten, den Umgang mit Abmeldungen und die Formatierung der Nachrichten.

Quellen

Alle Ratgeber