Was ist ein SPF-Record?
SPF (Sender Policy Framework) teilt empfangenden Mailservern mit, welche Hosts E-Mails für Ihre Domain versenden dürfen. Ein fehlerhafter SPF-Record – doppelt vorhanden, zu viele DNS-Lookups oder ohne 'all'-Mechanismus – sorgt dafür, dass legitime Nachrichten im Spam landen. IPeek findet Ihren SPF-Record, analysiert jeden Mechanismus und kennzeichnet die Probleme, die Ihrer Zustellbarkeit schaden.
So funktioniert ein SPF-Record
SPF liegt als TXT-Record auf Ihrer Root-Domain und beginnt mit v=spf1. Empfängt ein Server eine Nachricht, die angeblich von Ihnen stammt, schlägt er diesen Record nach und prüft, ob die sendende IP autorisiert ist. Ein Record wie v=spf1 include:_spf.google.com ip4:198.51.100.10 -all bedeutet: „Erlaube die Hosts von Google und diese eine IP, weise alles andere ab.“ Mechanismen werden von links nach rechts ausgewertet; der erste Treffer gewinnt. Der abschließende all-Mechanismus ist der Auffangmechanismus, der das Standardergebnis für jeden nicht ausdrücklich gelisteten Host bestimmt.
Hardfail, Softfail und das 10-Lookup-Limit
Der all-Mechanismus legt Ihre Richtlinie fest: -all ist ein Hardfail (nicht gelistete Absender werden abgewiesen), ~all ist ein Softfail (Annahme, aber als verdächtig markiert) und +all erlaubt jeden – verwenden Sie es niemals. SPF begrenzt DNS-abfragende Mechanismen (include, a, mx, ptr, exists, redirect) zudem auf insgesamt 10 Lookups; wird das überschritten, ist das Ergebnis ein permerror, der als Fehlschlag gewertet wird. Auch verschachtelte includes zählen mit, sodass das Hinzufügen mehrerer Anbieter das Budget unbemerkt aufbraucht. IPeek zählt jeden Lookup und warnt, bevor Sie an die Grenze stoßen.
Wie SPF mit DKIM und DMARC zusammenspielt
SPF allein reicht nicht aus. Es authentifiziert den Envelope-Absender (den Return-Path), nicht die sichtbare From-Adresse, die Nutzer sehen – Spoofer können SPF also bestehen und trotzdem Ihre Marke fälschen. DMARC schließt diese Lücke, indem es eine Übereinstimmung (Alignment) zwischen der SPF-Domain und der From-Domain verlangt und SPF mit DKIM kombiniert, sodass eines von beiden eine Nachricht authentifizieren kann. Betrachten Sie SPF als eine von drei Ebenen: SPF autorisiert Hosts, DKIM signiert Inhalte und DMARC verknüpft beides mit Ihrer From-Domain und setzt die Richtlinie durch.