SPF (Sender Policy Framework) ist ein DNS-TXT-Eintrag, der auflistet, welche Server E-Mails für eine Domain versenden dürfen, sodass ein empfangender Server E-Mails zurückweisen kann, die vorgeben, von Ihnen zu stammen, aber von einer anderen Quelle gesendet wurden.
So funktioniert es
Sie veröffentlichen einen TXT-Eintrag auf Ihrer Domain, der mit „v=spf1“ beginnt. Wenn ein Server E-Mails empfängt, sucht er den SPF-Eintrag der Domain im Absenderfeld der Nachricht und prüft, ob die IP-Adresse des verbindenden Servers in der Liste enthalten ist. Der Mechanismus ist in RFC 7208 definiert.
Ein Eintrag ist eine Liste von Mechanismen, die von links nach rechts gelesen wird und mit einem „all“ endet, das angibt, wie mit allen anderen verfahren werden soll:
-all— ein „Hard Fail“: E-Mails von allen anderen Absendern sind nicht autorisiert.~all– ein „Soft Fail“: wahrscheinlich nicht autorisiert, mit Vorsicht behandeln. Kommt häufig vor, während eine Domain eingerichtet wird.?all– neutral: keinerlei Angabe, wodurch der Eintrag nahezu nutzlos ist.
Der Fehler, den fast jeder macht
Eine Domain darf nur einen SPF-Eintrag haben. Zwei „v=spf1“-Einträge bedeuten nicht, dass „beide gelten“ – es handelt sich um einen dauerhaften Fehler, und Empfänger behandeln die Domain so, als hätte sie überhaupt keinen gültigen SPF. Wenn Sie einen E-Mail-Anbieter hinzufügen, fügen Sie dessen „include:“-Eintrag in Ihren bestehenden Eintrag ein, anstatt einen zweiten hinzuzufügen.
Die andere Falle ist die Beschränkung auf zehn Abfragen: Jedes „include:“, „a“ und „mx“ kostet eine DNS-Abfrage, und ein Eintrag, der mehr als zehn Abfragen benötigt, schlägt fehl. Domains, die ein Marketing-Tool, ein CRM und einen Helpdesk hinzugefügt haben, stoßen unbemerkt an diese Grenze.
So überprüfen Sie Ihren Eintrag
dig +short TXT yourdomain.comSuchen Sie nach der einzelnen Zeile, die mit „v=spf1“ beginnt.
SPF bei Mailotte
mailotte.com veröffentlicht einen SPF-Eintrag, der mit „-all“ endet – ein „Hard Fail“. Wenn Sie Ihre eigene Domain verbinden, fordert Mailotte Sie auf, „v=spf1 include:mailotte.com ~all“ zu veröffentlichen und damit jeden bereits vorhandenen SPF-Eintrag zu ersetzen. Dies ist absichtlich ein „Soft Fail“: Es ist der sichere Ausgangspunkt, während die E-Mail-Verarbeitung der Domain umgestellt wird, und Sie können die Einstellung auf „-all“ verschärfen, sobald alles, was unter Ihrer Domain versendet wird, durch den Eintrag abgedeckt ist.
Fragen
Kann eine Domain zwei SPF-Einträge haben?
Nein. Zwei „v=spf1“-Einträge stellen einen dauerhaften Fehler dar, und Empfänger behandeln die Domain so, als hätte sie keinen gültigen SPF. Fassen Sie alle Absender in einem Eintrag zusammen.
Ist ~all oder -all besser?
„-all“ ist strenger und das Ziel, sobald Sie jeden Server kennen, der unter Ihrer Domain versendet. „~all“ ist die sicherere Einstellung, solange Sie noch dabei sind, dies herauszufinden, da ein legitimer Absender, den Sie vergessen haben, als verdächtig markiert und nicht abgelehnt wird.
Verhindert SPF, dass jemand meine „From“-Adresse fälscht?
Nicht von allein. SPF überprüft den Absender im Umschlag, den der Empfänger nie sieht, nicht den „From“-Header, den er sieht. DMARC ist das, was beide miteinander verknüpft.
Verwandte Begriffe
- DKIM – DomainKeys Identified Mail
- DMARC – Domain-basierte Nachrichtenauthentifizierung, Berichterstattung und Konformität
- MX-Eintrag – Mail-Exchanger-Eintrag
- Alle Begriffe