SPF Flattening

SPF Flattening bezeichnet die Praxis, jeden Lookup-auslösenden Mechanismus in Ihrem SPF-Eintrag – include:, a, mx, ptr, exists und redirect= – bis auf die konkreten IP-Adressen dahinter aufzulösen und diese Adressen anschließend direkt als ip4:- und ip6:-Einträge zu veröffentlichen. Der Zweck ist einfach: Ihren Eintrag innerhalb der strengen Grenzen zu halten, die empfangende Mailserver durchsetzen, damit legitime E-Mails weiterhin authentifiziert werden, während Ihre Sendeinfrastruktur wächst.

Diese Seite ist der zentrale Anlaufpunkt für alles rund um SPF Flattening. Sie erklärt, was Flattening ist, warum das 10-Lookup-Limit die Frage erzwingt, wie der Prozess Schritt für Schritt abläuft und wo die eigentlichen Kompromisse und Risiken liegen. Von hier aus können Sie tiefer in die einzelnen Aufgaben einsteigen: wie man einen SPF-Eintrag flattened, die besten SPF-Flattening-Tools, ob SPF Flattening DKIM und DMARC beeinflusst, die Umsetzung auf Cloudflare und wie sich Flattening im Vergleich zu SPF Flattening vs. Makros verhält.

Was ist SPF Flattening?

Ein SPF-Eintrag ist ein einzelner TXT-Eintrag, der mit v=spf1 beginnt und empfangenden Mailservern mitteilt, welche Hosts E-Mails für Ihre Domain versenden dürfen. Wenn Sie einen Dienst hinzufügen – ein CRM, eine Marketingplattform, ein Helpdesk, einen Anbieter für transaktionale E-Mails – fügen Sie in der Regel ein include: dafür hinzu. Jedes include: verweist auf den SPF-Eintrag einer anderen Domain, und der Empfänger muss diesen Eintrag zum Auswertungszeitpunkt abrufen. Diese Abrufe sind DNS-Lookups, und sie summieren sich schnell.

SPF Flattening nimmt all diese indirekten Verweise und löst sie im Voraus auf. Anstatt den Empfänger dazu zu bringen, include:_spf.google.com durch verschachtelte _netblocks-Einträge zu verfolgen, listet ein geflatteter Eintrag einfach die zugrunde liegenden IP-Bereiche auf:

• Vorher: v=spf1 include:sendgrid.net include:_spf.google.com a mx -all
• Nachher: v=spf1 ip4:149.72.0.0/16 ip4:167.89.0.0/17 ip4:64.233.160.0/19 ip6:2a00:1450:4000::/36 -all

Zum Auswertungszeitpunkt rekursiert der Empfänger nicht mehr durch Includes und löst auch keine A/MX-Ziele mehr auf – er vergleicht lediglich die verbindende IP mit Ihren veröffentlichten CIDR-Bereichen. Das senkt die Anzahl der DNS-Lookups zur Laufzeit auf praktisch null und hält Ihren Eintrag schlank, schnell und zuverlässig.

„Das 10-Lookup-Limit ist der mit Abstand häufigste Grund, warum Enterprise-SPF-Einträge stillschweigend brechen”, sagt Brad Slavin, General Manager von DuoCircle und Gründer von AutoSPF. „Aus unserer Erfahrung mit der Verwaltung von SPF für über 2.000 Kundendomains ist der Fehlermodus immer derselbe: Ein Team fügt ein neues SaaS-Tool hinzu, dessen Include treibt die Gesamtzahl über 10, und legitime E-Mails beginnen zu scheitern – aber niemand bemerkt es, bis sich ein Kunde über fehlende Rechnungen oder Passwort-Resets beschwert.”

Warum das 10-DNS-Lookup-Limit Flattening erzwingt

Gemäß RFC 7208 ist die SPF-Auswertung auf 10 DNS-Mechanismus-Lookups und 2 Void-Lookups pro Prüfung begrenzt. Das Überschreiten einer der beiden Grenzen erzeugt einen PermError – einen dauerhaften Fehler, der empfangenden Servern mitteilt, dass Ihre E-Mail nicht authentifiziert werden kann. Der Server versucht es nicht erneut und wertet den Rest Ihres Eintrags nicht aus. Er hält einfach an, und jede Nachricht von Ihrer Domain scheitert an SPF.

Die Tücke ist, dass dieses Limit unsichtbar bleibt, bis Sie es überschreiten. Ein kleines Unternehmen, das über einen einzigen Anbieter versendet, wird es nie erreichen. Aber moderne E-Mail-Stacks häufen routinemäßig mehrere ESPs, ein CRM, einen Support-Desk und internen Mailverkehr an – und jeder fügt einen oder mehrere Lookups hinzu. Allein Google Workspace verbraucht durch seine verschachtelten Includes rund vier Ihrer zehn Lookups. Fügen Sie Salesforce, Mailchimp, SendGrid und Zendesk hinzu, und Sie erreichen leicht zwölf bis fünfzehn. Der elfte Lookup wird nie ausgewertet, sodass der Dienst, der zufällig hinter diesem Punkt liegt, stillschweigend seine Autorisierung verliert.

Hier ist, welche Mechanismen zählen:

Löst einen DNS-Lookup aus	Löst keinen Lookup aus
include:example.com	ip4:x.x.x.x[/CIDR]
a, a:example.com	ip6:…
mx, mx:example.com	all
ptr (von RFC 7208 abgeraten)
exists:domain
redirect=example.com

Da ip4:- und ip6:-Mechanismen keine Auflösung erfordern, tauscht Flattening jeden Lookup-getriebenen Mechanismus gegen einen Lookup-freien ein. Das ist der gesamte Mechanismus, mit dem Flattening Sie konform hält. Eine schnelle Möglichkeit, um zu sehen, wo Sie heute stehen, ist, Ihre Domain durch den SPF Checker laufen zu lassen, der jedes Include expandiert und Ihre Lookups zählt.

Warum Flattening für Zustellbarkeit und Sicherheit wichtig ist

Das 10-Lookup-Limit ist nicht nur eine technische Fußnote – es liegt direkt auf dem Weg zwischen Ihrer Mail und dem Posteingang.

Zustellbarkeit. DMARC verlässt sich auf SPF und DKIM. Wenn Ihr SPF-Eintrag einen PermError zurückgibt, behandelt DMARC dies als Fehler, und legitime E-Mails können in Quarantäne gestellt oder abgelehnt werden. Seit 2024 verlangen Google, Yahoo und Microsoft von Massenversendern, sich mit SPF, DKIM und DMARC zu authentifizieren, und sie lehnen nicht-konforme Nachrichten nun direkt ab, anstatt sie in den Spam zu leiten. Zusammen decken diese Anbieter rund 90 % einer typischen Verbraucherliste ab, sodass ein einziger überlimitierter Eintrag die Zustellung an den Großteil Ihres Publikums auf einen Schlag abschneiden kann.

Sicherheit. Wenn SPF scheitert, verlieren empfangende Server die Fähigkeit, Ihre legitime Mail von gefälschten Nachrichten zu unterscheiden. Genau das ist die Lücke, die Phishing und Business E-Mail Compromise ausnutzen. SPF gültig – und innerhalb des Limits – zu halten, bewahrt das Authentifizierungssignal, das Sie von einem Angreifer trennt, der Ihre Domain imitiert.

Verwaltbarkeit. Wenn Ihre Marke wächst, wächst auch die Liste der Plattformen, die in Ihrem Namen versenden. Flattening reduziert eine ausufernde Kette von Includes auf eine saubere Liste von IP-Bereichen, die leicht zu lesen, zu prüfen und nachzuvollziehen ist.

Wie SPF Flattening funktioniert, Schritt für Schritt

Ob manuell oder automatisiert – Flattening folgt derselben Pipeline:

1. Erfassung. Lesen Sie Ihren aktuellen SPF-TXT-Eintrag und identifizieren Sie jeden Mechanismus, der einen Lookup auslöst – include, a, mx, exists, redirect.
2. Rekursive Auflösung. Folgen Sie jeder include-Kette, rufen Sie den SPF-Eintrag des Ziels ab und rekursieren Sie, bis der gesamte vorgelagerte Inhalt bekannt ist. Lösen Sie a/mx-Ziele zu ihren A/AAAA-Einträgen auf, um sowohl IPv4- als auch IPv6-Adressen zu erfassen.
3. Deduplizieren und komprimieren. Führen Sie überlappende Bereiche zusammen und aggregieren Sie zusammenhängende Blöcke in CIDR-Notation, damit der Eintrag kompakt bleibt.
4. Veröffentlichen. Schreiben Sie den Eintrag als v=spf1 ip4:… ip6:… -all neu, beachten Sie das Limit von 255 Zeichen pro String im TXT-Eintrag (bei Bedarf in mehrere verkettete Strings aufteilen) und aktualisieren Sie Ihr DNS.
5. Validieren. Bestätigen Sie die Syntax, verifizieren Sie, dass die Lookup-Anzahl 0–1 beträgt, und senden Sie eine Test-Mail, um SPF=pass und DMARC=pass zu bestätigen.

Für die vollständige Anleitung mit Befehlen und DNS-Anbieter-Details siehe wie man einen SPF-Eintrag flattened.

Der Haken: Ein geflatteter Eintrag ist keine einmalige Lösung

Flattening löst das Lookup-Problem, führt aber ein neues ein. Wenn Sie ein dynamisches include: durch statische IPs ersetzen, übernehmen Sie die Verantwortung, diese IPs aktuell zu halten. Anbieter rotieren ihre Sendeinfrastruktur ständig, und sie benachrichtigen Sie dabei selten.

„Das Missverständnis über SPF Flattening ist, dass es eine einmalige Lösung sei”, sagt Adam Lundrigan, CTO von DuoCircle und Architekt der Flattening-Engine von AutoSPF. „Anbieter-IP-Bereiche ändern sich ständig – Google hat seine _netblocks allein 2025 dreimal rotiert. Ein geflatteter Eintrag, der nicht automatisch neu aufgelöst wird, veraltet und de-autorisiert stillschweigend legitime Absender. Deshalb scannt AutoSPF alle 15 Minuten neu.”

Dies ist das mit Abstand Wichtigste, was Sie über Flattening verstehen müssen. Ein von Hand erstellter, geflatteter Eintrag ist an dem Tag korrekt, an dem Sie ihn veröffentlichen, und veraltet danach langsam. Wenn ein Anbieter einen neuen IP-Bereich hinzufügt, beginnt Mail aus diesem Bereich an SPF zu scheitern – und weil der Fehler still ist, erfahren Sie normalerweise von einer zurückgewiesenen Rechnung oder einem verpassten Passwort-Reset davon, nicht von einer Warnung. In der AutoSPF-Telemetrie über 1.200 Domains hinweg reduzierte Flattening die PermError-Raten um 93 % und verbesserte die DMARC-Passraten in den ersten 30 Tagen um 7–12 % – aber nur, wenn der Eintrag aktuell gehalten wurde. Die mittlere ESP-IP-Fluktuation liegt bei 2–4 Änderungen pro Woche für Anbieter mit hohem Volumen.

Die weiteren Kompromisse, die es zu berücksichtigen gilt:

• Eintragsgröße. Flattening kann einen TXT-Eintrag an die DNS-Größenlimits treiben. Zielen Sie darauf ab, Antworten unter etwa 1.000–1.200 Bytes zu halten, um UDP-Fragmentierung und Truncation zu vermeiden, und bevorzugen Sie aggregierte CIDR-Bereiche gegenüber der Aufzählung einzelner Adressen.
• Über-Autorisierung. Manche Includes autorisieren weit mehr des Internets, als Sie tatsächlich nutzen. Prüfen und Ausdünnen vor dem Flattening hält Ihre Angriffsfläche klein.

Manuell, per Skript oder automatisiert?

Es gibt drei Wege zu flatten, mit sehr unterschiedlichen Risikoprofilen:

• Manuell. Fragen Sie jedes Include nach seinen aktuellen IPs ab, aggregieren Sie sie und veröffentlichen Sie sie von Hand. Kostenlos und vollständig unter Ihrer Kontrolle, aber arbeitsintensiv und anfällig für Drift, sobald ein Anbieter IPs ändert. Nur für kleine, statische Umgebungen praktikabel.
• Per Skript. Ein Python- oder Go-Skript rekursiert durch Includes, löst A/MX auf, führt CIDR-Bereiche zusammen und pusht per API nach Zeitplan ins DNS. Wiederholbar und prüfbar, aber Sie sind für die Randfälle, den Loop-Schutz und die laufende Zuverlässigkeit verantwortlich.
• Automatisierter (dynamischer) Dienst. Ein gehosteter Dienst löst Ihre Includes kontinuierlich neu auf, erkennt IP-Änderungen und veröffentlicht automatisch neu. Dies nimmt Ihnen die Wartungslast vollständig ab, zum Preis einer verwalteten Abhängigkeit.

Für jede Organisation, die dynamische Anbieter wie Google Workspace, Microsoft 365, SendGrid oder Amazon SES nutzt, ist ein automatisierter Ansatz dringend vorzuziehen – die gesamte Schwierigkeit des Flattenings besteht darin, mit der Fluktuation Schritt zu halten, und genau das übernimmt die Automatisierung. Ein vollständiger Vergleich der Optionen findet sich in die besten SPF-Flattening-Tools.

Wo AutoSPF ins Bild passt

Der automatische SPF-Flattening-Dienst von AutoSPF ist eigens für das Wartungsproblem gebaut, das Flattening riskant macht. Er entdeckt und expandiert Ihre verschachtelten Includes, löst die vollständigen A/MX/AAAA-Ketten auf, dedupliziert und komprimiert Bereiche in minimale CIDR-Blöcke und veröffentlicht einen validierten, größenbewussten, geflatteten Eintrag, der unter dem 10-Lookup-Limit bleibt.

Zwei Dinge heben ihn hervor:

• Er scannt alle 15 Minuten neu und aktualisiert Ihren Eintrag automatisch in dem Moment, in dem sich die IPs eines vorgelagerten Anbieters ändern – sodass ein geflatteter Eintrag nie stillschweigend veraltet.
• Er löst zu genau denselben IPs auf, zu denen auch Ihre Includes auflösen – keine breiten, überberechtigten Bereiche und keine Über-Autorisierung. Ihr geflatteter Eintrag autorisiert genau die Hosts, die auch Ihre echten Includes autorisieren, und nichts darüber hinaus.

Darüber hinaus bietet er versionierte Einträge mit Ein-Klick-Rollback, Canary-/Staging-Veröffentlichung und Drift-Warnungen, wenn Mail von IPs außerhalb Ihres aktuellen geflatteten Sets eintrifft. Er integriert sich direkt mit großen DNS-Anbietern, darunter Route 53, Cloudflare, Google Cloud DNS und Azure DNS. Vor und nach jeder Änderung können Sie mit dem SPF Checker bestätigen, dass der Eintrag sauber auflöst.

Flattening über DNS-Anbieter hinweg und im großen Maßstab

Die Mechanik des Flattenings ist überall gleich, aber die Veröffentlichung unterscheidet sich je nach Plattform. Auf Cloudflare beispielsweise verwalten Sie den TXT-Eintrag über das Dashboard oder die API und müssen dessen String-Chunking-Verhalten beachten – die Details werden in Cloudflare SPF Flattening behandelt.

Im SaaS-Maßstab – Tausende von Mandanten, mehrere Sendeströme – ist das erfolgreiche Muster ein geschichtetes: Segmentieren Sie Mailströme auf Subdomains (zum Beispiel mkt.example.com für Marketing, tx.example.com für transaktional), zentralisieren Sie die Richtlinie mit redirect= zu einem kleinen kanonischen Eintrag, flatten Sie Anbieter mit hoher Fluktuation vollständig in aggregierte ip4/ip6-Sets und automatisieren Sie die Aktualisierung mit diff-basierter Veröffentlichung, sodass unveränderte Einträge nie DNS-Churn verursachen. Das Delegieren von versandstarken Absendern an Subdomains hält zudem Ihre Organisationsdomain schlank und vereinfacht die DMARC-Ausrichtung.

Ändert Flattening DKIM oder DMARC?

Flattening ändert nur, wie autorisierte Absender in SPF ausgedrückt werden – ip4/ip6 statt include – nicht Ihre Domain-Identität oder Ihre DKIM-Signaturen. Solange das geflattete SPF auf der Domain veröffentlicht wird, die in Ihrem MAIL FROM/Return-Path verwendet wird, bleibt die DMARC-Ausrichtung unberührt, und indem es PermError beseitigt, verbessert es in der Regel die DMARC-Passraten, wenn SPF der ausgerichtete Identifikator ist. Die vollständige Beziehung, einschließlich wie DKIM bei Massenversendern oft die Ausrichtung trägt, wird in beeinflusst SPF Flattening DKIM und DMARC behandelt.

Flattening vs. SPF-Makros

Traditionelles Flattening löst Includes im Voraus in statische IPs auf, weshalb es ständige Aktualisierung benötigt. SPF-Makros gehen einen anderen Weg: Sie nutzen dynamische Expansion, sodass ein einziger Eintrag eine praktisch unbegrenzte Anzahl von Absendern autorisieren kann, ohne jemals das 10-Lookup-Limit zu erreichen – zum Preis erhöhter Komplexität und schwächerer Resolver-Unterstützung. Welcher Ansatz für Sie geeignet ist, hängt von Ihrer Infrastruktur und Ihrer Bereitschaft zur Wartung ab; die vollständige Aufschlüsselung finden Sie in SPF Flattening vs. Makros.

Häufig gestellte Fragen

Was ist SPF Flattening in einfachen Worten?

SPF Flattening ist der Prozess, die include:-, a- und mx-Mechanismen in Ihrem SPF-Eintrag durch die tatsächlichen IP-Adressen zu ersetzen, zu denen sie auflösen. Dies gibt empfangenden Mailservern eine fertige Liste autorisierter IPs, anstatt sie zu DNS-Lookups zu zwingen, was Ihren Eintrag innerhalb des von RFC 7208 definierten 10-Lookup-Limits hält und Authentifizierungsfehler verhindert.

Warum ist SPF Flattening notwendig?

Flattening wird notwendig, wenn Ihre Domain die in der SPF-Spezifikation festgelegte Grenze von 10 DNS-Lookups pro Auswertung überschreitet. Sobald Sie dieses Limit überschreiten, gibt SPF einen PermError zurück und jede Nachricht von Ihrer Domain scheitert an der Authentifizierung, was auch dazu führen kann, dass DMARC scheitert. Da die meisten Organisationen mehrere Drittanbieter-Absender nutzen, die jeweils Includes hinzufügen, erreichen wachsende Domains schnell die Obergrenze und benötigen Flattening, um konform zu bleiben.

Verbessert SPF Flattening die E-Mail-Zustellbarkeit?

Ja. Indem es die PermError- und TempError-Zustände beseitigt, die durch zu viele Lookups oder langsame vorgelagerte Includes verursacht werden, hält Flattening SPF zuverlässig am Bestehen. In AutoSPF-Kundendaten reduzierte der Wechsel von 12–18 Lookups zu einem vollständig geflatteten Eintrag SPF-bedingte DMARC-Fehler um mehr als 80 % und verbesserte die Posteingangsplatzierung für Marketing-Mail um 10–15 % während der Spitzenversände.

Wie oft sollte ein geflatteter SPF-Eintrag aktualisiert werden?

So oft, wie Ihre Anbieter ihre IPs ändern. ESPs mit hoher Fluktuation wie SendGrid und Mailchimp rechtfertigen Aktualisierungen alle 12–24 Stunden, stabile Suiten wie Google Workspace und Microsoft 365 täglich und statische, selbst gehostete Bereiche wöchentlich. Ein von Hand gepflegter Eintrag driftet fast immer – AutoSPF umgeht dies, indem es alle 15 Minuten neu scannt und automatisch neu veröffentlicht, sobald sich ein vorgelagerter Bereich ändert.

Ist manuelles SPF Flattening sicher?

Manuelles Flattening ist nur für kleine, statische Umgebungen sicher, in denen sich sendende IPs selten ändern. Für jede Domain, die dynamische Anbieter nutzt, veraltet ein von Hand erstellter Eintrag, sobald ein Anbieter seine Infrastruktur rotiert, und de-autorisiert stillschweigend legitime Absender. Automatisiertes Flattening ist bei jedem realen Maßstab dringend vorzuziehen, weil das Mithalten mit der Anbieter-Fluktuation der schwierige Teil ist.

Sollte ich nach dem Flattening -all oder ~all verwenden?

Verwenden Sie -all (Hard Fail), wenn Sie sicher sind, dass Ihre geflattete Liste vollständig ist und aktiv überwacht wird, da es Empfängern das klarste Signal gibt, gefälschte Mail abzulehnen. Verwenden Sie ~all (Soft Fail) während der Einführung oder solange Sie noch häufig Absender hinzufügen. Eine gute Praxis ist, ~all beizubehalten, bis DMARC-Berichte ein sauberes Pass-Fenster zeigen, und dann auf -all zu verschärfen.