Schlage den SPF-TXT-Eintrag jeder Domain nach und validiere ihn: Mechanismen, Qualifier, die all-Richtlinie und das Limit von 10 DNS-Lookups. Läuft kostenlos in deinem Browser über DNS-over-HTTPS, ohne Anmeldung und ohne dass etwas gespeichert wird.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
SPF (Sender Policy Framework, definiert in RFC 7208) ist eine veröffentlichte Liste der Server, die E-Mails für deine Domain senden dürfen. Es liegt als einzelner DNS-TXT-Eintrag auf der sendenden Domain, der mit v=spf1 beginnt, gefolgt von Mechanismen, die autorisierte Quellen benennen, und einer abschließenden all-Richtlinie. Wenn ein Mailbox-Provider eine Nachricht empfängt, prüft er die sendende IP gegen den SPF-Eintrag auf der Envelope-Domain (Return-Path) und nutzt das Ergebnis als ein Signal dafür, ob die Mail im Posteingang landet. SPF ist außerdem einer der Bausteine von DMARC, ein korrekter Eintrag gehört also dazu, um die Absenderanforderungen von Gmail, Yahoo und Microsoft zu erfüllen, die nicht authentifizierte Massenmails zunehmend ablehnen.
Jeder gültige SPF-Eintrag beginnt mit v=spf1. Wenn der Eintrag nicht mit genau diesem Tag beginnt oder gar kein TXT-Eintrag zurückkommt, hat die Domain keine nutzbare SPF-Richtlinie.
Diese benennen die Quellen, die du autorisierst. include delegiert an das SPF einer anderen Domain (zum Beispiel deine E-Mail-Plattform), a und mx autorisieren deine eigenen A- und MX-Hosts, und ip4 / ip6 listen konkrete Adressen oder CIDR-Bereiche auf.
Der Mechanismus am Ende legt den Standard für alle nicht Gelisteten fest: -all ist ein harter Fehlschlag (empfohlen), ~all ein weicher Fehlschlag (üblich beim Testen), ?all ist neutral, und +all autorisiert jeden (nicht verwenden).
SPF erlaubt bei der Auswertung höchstens 10 DNS-Lookups. Mechanismen wie include, a und mx kosten jeweils Lookups, und verschachtelte includes bringen eigene mit, deshalb folgt der Check der gesamten include-Kette, um die tatsächliche Summe zu zählen, und markiert Einträge, die über dem Limit liegen. Klapp die Aufschlüsselung auf, um zu sehen, von welchem Mechanismus jeder Lookup stammt.
Eine Domain muss genau einen v=spf1-TXT-Eintrag veröffentlichen. Wenn der Check zwei oder mehr findet, ist der Eintrag ungültig und Provider geben einen PermError zurück.
Eine Domain darf nur einen TXT-Eintrag veröffentlichen, der mit v=spf1 beginnt. Kommt ein zweiter hinzu (oft beim Einrichten einer neuen E-Mail-Plattform), gibt die Auswertung einen PermError zurück und SPF schlägt praktisch fehl. Führe jede Quelle in einem einzigen Eintrag mit mehreren include-Mechanismen zusammen.
Jeder include-, a-, mx-, ptr- und exists-Mechanismus löst DNS-Lookups aus, und verschachtelte includes bringen eigene mit. Sobald die Auswertung mehr als 10 braucht, ist das Ergebnis ein PermError. Flache ungenutzte includes ab oder entferne sie, um unter dem Limit zu bleiben.
Den Eintrag mit +all zu beenden, teilt der ganzen Welt mit, dass jeder Server als deine Domain senden darf, was SPF vollständig abschaltet und Spoofing einlädt. Nutze -all für einen harten Fehlschlag oder ~all, solange du deine Quellen noch bestätigst.
Wenn die Abfrage nichts zurückgibt oder einen TXT-Eintrag, der nicht mit v=spf1 beginnt, hat die Domain keine durchsetzbare Richtlinie und DMARC hat nichts, womit es sich ausrichten kann. Veröffentliche einen Eintrag, der mit v=spf1 beginnt und mit einem restriktiven all endet.
Ein einzelner TXT-String ist auf 255 Zeichen begrenzt. Lange Einträge müssen in mehrere zitierte Strings innerhalb eines TXT-Eintrags aufgeteilt werden (das ist gültig), nicht in separate Einträge. Eine Aufteilung in separate Einträge erzeugt stattdessen den Fehler mit mehreren Einträgen.
