Zum Inhalt springen
newsletter-marketing24.deRecht · Zustellbarkeit · Kennzahlen

Zuletzt geprüft:

SPF-Baukasten

Der SPF-Baukasten stellt aus Ihren Angaben einen SPF-Eintrag nach RFC 7208 zusammen, zählt die DNS-Abfragen, die der Eintrag selbst auslöst, und erklärt jeden Baustein. Er hilft allen, die für ihre Absenderdomain festlegen wollen, welche Server E-Mails senden dürfen – etwa wenn ein Newsletter-System dazukommt.

Wie ein SPF-Eintrag aufgebaut ist

SPF (Sender Policy Framework) ist ein TXT-Eintrag im DNS der Absenderdomain, mit dem der Domaininhaber festlegt, welche Server E-Mails für die Domain senden dürfen.1 Der Eintrag beginnt mit v=spf1. Danach folgen Bausteine für erlaubte Absender: a und mx für die Server der eigenen Domain, ip4 und ip6 für Adressen oder Netze, include für die erlaubten Server einer anderen Domain. Am Ende steht eine Regel für alle übrigen Server: -all (nicht berechtigt, Ergebnis „fail“) oder ~all (wahrscheinlich nicht berechtigt, „softfail“).

Zwei Regeln aus RFC 7208 prüft der Baukasten mit: Mehr als zehn DNS-Abfragen machen den Eintrag zum Fehler „permerror“ (Abschnitt 4.6.4), und je Domain darf es nur einen SPF-Eintrag geben (Abschnitt 4.5).1

So gehen Sie vor

  1. Tragen Sie Ihre Absenderdomain ein.
  2. Kreuzen Sie an, ob der Web- (a) oder der Mailserver (mx) Ihrer Domain senden darf, und tragen Sie eigene Adressen oder Netze ein.
  3. Tragen Sie unter include die Domain ein, die Ihr Versandsystem in seiner Anleitung nennt.
  4. Wählen Sie den Abschluss, kopieren Sie den Eintrag und ergänzen Sie damit Ihren vorhandenen SPF-Eintrag – oder legen Sie ihn neu an, wenn es noch keinen gibt.

Der Baukasten

Erlaubte Absender

Server der eigenen Domain
Alle anderen Server

TXT-Eintrag für ihre-domain.de

v=spf1 -all

    Nach RFC 7208. Das Werkzeug fragt kein DNS ab: Wie viele Abfragen eingebundene Einträge mitbringen, sieht es nicht. Ob der Eintrag wirkt, zeigen die DMARC-Berichte.

    Was der Baukasten nicht prüft

    • Was eingebundene Einträge mitbringen. Jedes include zählt als eine Abfrage, dazu kommen alle Abfragen im eingebundenen Eintrag. Die sieht der Baukasten nicht, weil er kein DNS abfragt; die tatsächliche Zahl kann also höher sein als angezeigt.
    • Weitere Grenzen aus Abschnitt 4.6.4. Höchstens zwei Abfragen ohne Ergebnis („void lookups“) und höchstens zehn Adressabfragen je mx lassen sich nur mit DNS-Abfragen prüfen.
    • Ob die Server Ihre sind und ob der Eintrag schon im DNS steht. Das zeigen die DMARC-Berichte oder Ihr DNS-Anbieter.
    • Seltene Bausteine. ptr, exists und redirect bietet der Baukasten nicht an; ptr soll laut RFC 7208 ohnehin nicht mehr veröffentlicht werden (Abschnitt 5.5).
    • DMARC. SPF prüft den Absender im Umschlag der E-Mail, nicht die sichtbare Absenderzeile. Ob beide zusammenpassen, prüft DMARC; dafür gibt es den DMARC-Baukasten.

    Häufige Fragen

    Wie viele DNS-Abfragen darf ein SPF-Eintrag auslösen? Höchstens zehn. include, a, mx, ptr, exists und redirect lösen Abfragen aus, ip4, ip6 und all nicht. Bei mehr als zehn werten Empfänger den Eintrag als Fehler (RFC 7208, Abschnitt 4.6.4).

    Endet der Eintrag mit -all oder mit ~all? RFC 7208 sagt: Wer will, dass Empfänger nicht berechtigte Absender eindeutig erkennen können, muss den Eintrag mit -all abschließen (Abschnitt 2.1).1 ~all ist eine schwächere Aussage. Der Baukasten ist auf -all voreingestellt.

    Was tun, wenn es schon einen SPF-Eintrag gibt? Ergänzen Sie den vorhandenen Eintrag um die neuen Bausteine. Findet ein Empfänger mehr als einen Eintrag mit v=spf1, ist das Ergebnis ein Fehler (RFC 7208, Abschnitt 4.5).

    Was passiert bei mehr als 255 Zeichen? Ein Text-String im DNS fasst höchstens 255 Zeichen. Längere Einträge werden auf mehrere Strings aufgeteilt, die Empfänger ohne Leerzeichen zusammensetzen (RFC 7208, Abschnitt 3.3); der Baukasten weist darauf hin.

    Weiterlesen