SendGrid authentifiziert sich am besten über Domain-Authentifizierung (CNAMEs), nicht über einen reinen SPF-Include. Richten Sie in SendGrid die Absenderauthentifizierung für Ihre Domain ein und veröffentlichen Sie die erzeugten CNAME-Einträge (für den Return-Path und die DKIM-Selektoren s1/s2). Das liefert ausgerichtetes SPF und DKIM, sodass E-Mails DMARC bestehen.
Die Absenderauthentifizierung von SendGrid veröffentlicht einen gebrandeten Return-Path und DKIM unter Ihrer eigenen Domain — genau das braucht die DMARC-Ausrichtung. Allein include:sendgrid.net authentifiziert SendGrids Domain, nicht Ihre, sodass SPF bestehen, DMARC aber fehlschlagen kann.
In SendGrid: Settings → Sender Authentication → Authenticate Your Domain. Fügen Sie die 3+ CNAME-Einträge (z. B. em1234, s1._domainkey, s2._domainkey) in Ihr DNS ein und klicken Sie auf Verify.
Nach der Veröffentlichung:
$ dig CNAME s1._domainkey.yourdomain.com +shortPrüfen Sie jetzt Ihren SPF-Eintrag
Kostenlosen SPF-Checker öffnen →Wenn Sie die Domain-Authentifizierung von SendGrid nutzen (empfohlen), fügen Sie den gemeinsamen Include nicht hinzu — der CNAME-Return-Path liefert ausgerichtetes SPF.
Damit SendGrid Schlüssel rotieren kann, ohne dass Sie DNS bearbeiten — der CNAME zeigt auf von SendGrid verwaltete Einträge.
