Stand: Juli 2026

Zusammenfassung: Die Mechanismen a und mx in einem SPF-Record erlauben den E-Mail-Versand dynamisch anhand der bestehenden DNS-Einträge deiner Domain. Sie vergleichen die IP-Adresse des einliefernden Servers mit den A-, AAAA- und MX-Records der Domain.

Wenn ein E-Mail-Server eine Nachricht einliefert, muss das Sender Policy Framework (SPF) ermitteln, ob die IP-Adresse des Servers autorisiert ist. Statt jede IP-Adresse starr im Record zu notieren, kannst du mit den Mechanismen a und mx auf die bereits veröffentlichten DNS-Einträge deiner Web- und Mailserver verweisen.

Wie der a-Mechanismus funktioniert

Der a-Mechanismus prüft, ob der einliefernde E-Mail-Server direkt auf der Haupt-IP-Adresse deiner Website (oder eines angegebenen Hostnamens) läuft. Laut RFC 7208 stimmt dieser Mechanismus überein, wenn die IP-Adresse des Clients (<ip>) zu den IP-Adressen des Zielnamens (<target-name>) gehört. Zur Klarstellung regelt der Standard ausdrücklich, dass der a-Mechanismus auch AAAA-Records (IPv6-Adressen) vergleicht.

Steht der Mechanismus allein im Record, bezieht er sich auf die abgefragte Domain selbst:

v=spf1 a mx ~all

Du kannst ihn jedoch auch auf einen spezifischen Subdomain-Namen ausrichten:

v=spf1 a:mail.example.com -all

Wenn deine WordPress-Website oder deine Webapplikation E-Mails (wie Bestellbestätigungen oder Kontaktformulare) direkt vom Webspace absetzt, stellt der a-Mechanismus sicher, dass diese IP-Adresse zum Versand berechtigt ist.

Wie der mx-Mechanismus funktioniert

Der mx-Mechanismus autorisiert die offiziellen Posteingangsserver deiner Domain auch für den ausgehenden Versand. Laut RFC 7208 stimmt dieser Mechanismus überein, wenn die IP-Adresse des einliefernden Servers zu den MX-Hosts eines Domainnamens gehört:

v=spf1 mx -all

Der empfangende Mailserver schlägt zunächst die MX-Records deiner Domain nach, ermittelt die zugehörigen IP-Adressen und gleicht sie mit der Absender-IP ab. Dies ist besonders bei klassischen Mail-Setups und Shared-Hostern praktisch, bei denen Posteingang und Postausgang über denselben Serververbund abgewickelt werden.

DNS-Lookups und Performance

Obwohl a und mx sehr bequem sind, weil sie sich bei Serverumzügen automatisch den neuen DNS-Einträgen anpassen, haben sie einen Haken: Sie erzeugen bei jeder E-Mail-Zustellung DNS-Abfragen.

Laut RFC 7208 verursachen die Mechanismen include, a, mx, ptr und exists sowie der Modifier redirect bei der Auswertung DNS-Lookups. SPF-Implementierungen müssen die Gesamtzahl dieser Abfragen strikt auf maximal 10 Lookups begrenzen, um das DNS vor Überlastung zu schützen. Wird dieses Limit überschritten, bricht die Prüfung mit einem permanenten Fehler (permerror) ab.

Der einfache Eintrag v=spf1 a mx ~all verbraucht bereits zwei Abfragen (eine für den A/AAAA-Record und eine für den MX-Record). Verweisen die MX-Einträge wiederum auf mehrere Hostnamen, verbraucht das Auflösen derer IP-Adressen weitere Lookups. Für statische, dauerhaft gleichbleibende IP-Adressen sind deshalb direkte ip4- oder ip6-Mechanismen effizienter, da sie keine DNS-Lookups erzeugen. Zudem gilt: Eine Domain darf niemals mehrere separate SPF-Records veröffentlichen, da auch dies sofort zu einem permerror führt.

Konfiguration prüfen

Prüfe mit dem kostenlosen MXAudit-Scanner, wie viele DNS-Lookups deine Kombination aus a-, mx- und include-Mechanismen tatsächlich benötigt, und stelle sicher, dass keine versteckten Schleifen existieren.

Wenn du tiefer in den Aufbau von SPF einsteigen oder anbieterspezifische Records konfigurieren möchtest, besuche den SPF-Hub und praxisnahe Leitfäden wie SPF bei IONOS einrichten.