Stand: Juli 2026

Zusammenfassung: Mit den Mechanismen ip4 und ip6 autorisierst du einzelne IP-Adressen oder ganze Netzwerke direkt in deinem SPF-Record. Ihr großer Vorteil: Sie verbrauchen bei der Auswertung keine DNS-Lookups und sind extrem schnell.

Wenn deine Mailserver feste IPv4- oder IPv6-Adressen besitzen oder dein Server-Anbieter dir feste IP-Netzwerke (Subnetze) zuweist, ist die direkte Angabe über ip4 und ip6 die sauberste und performanteste Methode zur SPF-Autorisierung (Sender Policy Framework).

Wie die ip4- und ip6-Mechanismen arbeiten

Laut RFC 7208 prüfen diese Mechanismen, ob die IP-Adresse des einliefernden E-Mail-Servers (<ip>) in einem vorgegebenen IP-Netzwerk enthalten ist. Der Server muss bei der Prüfung keine externen DNS-Einträge auflösen, sondern führt einen reinen mathematischen Adressabgleich direkt im Arbeitsspeicher durch.

Du kannst sowohl einzelne IP-Adressen als auch ganze CIDR-Subnetze autorisieren:

v=spf1 ip4:192.0.2.0/24 -all

Oder in Kombination mit IPv6 und weiteren Einzeladressen:

v=spf1 ip4:192.0.2.10 ip6:2001:db8::/32 -all

Standard-CIDR-Masken beim Weglassen

Wenn du keine CIDR-Netzmaske hinter dem Schrägstrich angibst, wendet SPF automatische Vorgaben an. Laut RFC 7208 gilt: Wird die ip4-cidr-length weggelassen, wird sie als /32 interpretiert (was exakt einer einzelnen IPv4-Adresse entspricht). Wird die ip6-cidr-length weggelassen, wird sie als /128 interpretiert (was exakt einer einzelnen IPv6-Adresse entspricht).

Ein Eintrag wie ip4:192.0.2.10 bedeutet also exakt das Gleiche wie ip4:192.0.2.10/32.

Keine DNS-Lookups: Der große Performance-Vorteil

Der entscheidende technische Vorteil von ip4 und ip6 liegt in der Auswertungszeit. Laut RFC 7208 verursachen die Mechanismen all, ip4 und ip6 sowie der Modifier exp zum Zeitpunkt der SPF-Auswertung keine DNS-Abfragen. Ihre Verwendung unterliegt deshalb auch nicht dem strikten Limit von maximal 10 DNS-Lookups pro Prüfung.

Während Mechanismen wie include, a oder mx jedes Mal externe Namensserver abfragen müssen – was Zeit kostet und das 10-Lookup-Budget belastet –, werden ip4- und ip6-Terme sofort ausgewertet. Wer über eigene Server oder statische Cloud-Instanzen versendet, kann durch den gezielten Einsatz von IP-Mechanismen oft verschachtelte include-Ketten ersetzen und so permerror-Risiken eliminieren.

Beachte jedoch die Grundregel für alle SPF-Einträge: Eine Domain darf niemals mehrere separate SPF-Records veröffentlichen, da dies bei der Auswertung unweigerlich zu einem permanenten Fehler (permerror) führt.

Konfiguration prüfen

Ob alle deine IP-Netzwerke korrekt formatiert sind und dein SPF-Record syntaktisch fehlerfrei ist, kannst du mit dem kostenlosen MXAudit-Scanner testen. Das Tool zeigt dir auch an, welche Mechanismen deines Records Lookups verbrauchen und welche – wie deine ip4- und ip6-Einträge – lookup-frei laufen.

Weitere Hintergründe zu SPF und praktische Schritt-für-Schritt-Anleitungen für diverse Hosting-Anbieter findest du im SPF-Hub und in Anleitungen wie SPF bei IONOS einrichten.