So sieht ein SPF-Record aus
Ein SPF-Record ist ein TXT-Eintrag auf der Domain, der mit v=spf1 beginnt. Danach folgen die erlaubten Absender und am Ende eine Regel für alle anderen.
example.org. IN TXT "v=spf1 mx include:_spf.google.com ip4:203.0.113.25 -all"Die wichtigsten Bausteine
- mx: die Server aus den MX-Records der Domain.
- a: die IP-Adresse der Domain selbst.
- ip4: und ip6: einzelne Adressen oder Netze.
- include: die SPF-Liste eines Dienstes, etwa deines Mailanbieters oder Newsletter-Tools.
- -all lehnt alle anderen ab, ~all markiert sie als verdächtig (Softfail).
Häufige Fehler
- Zwei SPF-Records auf derselben Domain. Es darf genau einer existieren, sonst ist das Ergebnis ein Fehler.
- Mehr als 10 DNS-Abfragen. include, a, mx, ptr, exists und redirect zählen mit; wer das Limit überschreitet, erhält einen permanenten Fehler.
- Ein Versanddienst fehlt in der Liste, etwa das Newsletter-Tool oder der Kontaktformular-Server.
- +all am Ende erlaubt jedem Server den Versand und entwertet den Record.
~all oder -all?
Starte mit ~all, solange du nicht sicher bist, dass alle Absender in der Liste stehen. Sobald DMARC-Berichte keine unbekannten Quellen mehr zeigen, stelle auf -all um.
Was SPF nicht leistet
SPF prüft die Envelope-Adresse (Return-Path) und überlebt keine Weiterleitung. Für DMARC muss diese Adresse zur sichtbaren From-Domain passen (Alignment). DKIM ergänzt SPF an genau diesen Stellen.