SPF-Eintrag-Generator

Was ein SPF-Eintrag leistet

SPF (Sender Policy Framework) ist ein TXT-Eintrag auf Ihrer Domain, der auflistet, welche Server mit ihr in der Envelope-From-Adresse senden dürfen. Wenn Gmail oder Outlook eine Nachricht erhält, fragt der Empfänger den Eintrag ab und prüft, ob die verbindende IP abgedeckt ist. Ein Pass fließt in DMARC ein; ein Fail oder ein fehlender Eintrag ist einer der häufigsten Gründe dafür, dass Cold E-Mail im Spam landet.

Ein Eintrag ist eine einzelne Zeile, die mit v=spf1 beginnt, gefolgt von Mechanismen (ip4, ip6, include, a, mx) und abgeschlossen durch einen Qualifier an all. Die Reihenfolge zählt: Mechanismen werden von links nach rechts ausgewertet, und der erste Treffer gewinnt.

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 -all

Das Limit von 10 DNS-Lookups

RFC 7208 begrenzt SPF auf 10 DNS-Lookups. Jedes include, a, mx, ptr, exists und redirect zählt mit, und Includes ziehen alles nach, worauf ihr eigener Eintrag verweist. Allein Google Workspace expandiert zu mehreren verschachtelten Lookups, eine Domain mit Workspace plus drei SaaS-Tools kann die Grenze also unbemerkt erreichen. Jenseits von 10 liefern Empfänger permerror zurück und Ihr SPF schlägt faktisch überall fehl.

• Listen Sie nur Dienste, die noch Mail versenden. Alte ESPs und Testtools sind die üblichen Verdächtigen.
• Bevorzugen Sie ip4-Bereiche gegenüber include, wenn ein Anbieter stabile IPs veröffentlicht, denn ip4 kostet keinen Lookup.
• Marketing- und Transaktionsversender unterstützen oft eine eigene Subdomain, das hält Ihren Root-Eintrag klein.
• Nutzen Sie nach der Veröffentlichung den SPF-Checker, um die reale, vollständig expandierte Anzahl zu sehen.

-all, ~all oder ?all

Der abschließende all-Mechanismus sagt Empfängern, was sie mit nicht gelisteten Absendern tun sollen. -all (Hard Fail) heißt: abweisen. ~all (Soft Fail) heißt: annehmen, aber als verdächtig behandeln. ?all (neutral) sagt gar nichts, was den Eintrag fast sinnlos macht. Für Cold-E-Mail-Domains, bei denen Sie jeden Absender kontrollieren, ist -all die richtige Antwort und liefert DMARC ein eindeutiges SPF-Ergebnis.

Starten Sie nur dann mit ~all, wenn Sie eine Domain übernommen haben und nicht sicher sind, was von ihr sendet. Beobachten Sie die DMARC-Aggregat-Reports ein paar Wochen, ergänzen Sie die legitimen Quellen und wechseln Sie dann auf -all.

Den Eintrag korrekt veröffentlichen

Legen Sie genau einen TXT-Eintrag auf dem Root der Domain an (Host @ oder leer, je nach DNS-Anbieter). Existiert bereits ein v=spf1-Eintrag, bearbeiten Sie diesen, statt einen zweiten hinzuzufügen; zwei SPF-Einträge verursachen einen permanenten Fehler. Einträge über 255 Zeichen müssen in mehrere Strings in Anführungszeichen aufgeteilt werden, was die meisten DNS-Panels für Sie übernehmen.

Sendende Subdomains brauchen einen eigenen SPF-Eintrag; sie erben den der übergeordneten Domain nicht. Die Propagation geht meist schnell, kann aber bis zur TTL des alten Eintrags dauern. Wenn Sie Versand-Domains über InboxOne beziehen, wird SPF bei der Bereitstellung gemeinsam mit DKIM und DMARC für Sie veröffentlicht.