Was das SPF-Prüftool prüft
Das Prüftool liest die TXT-Records der eingegebenen Domain und wählt den Record aus, der mit v=spf1 beginnt. Anschließend folgt es jedem include und redirect wie ein empfangender Server, erfasst jeden Lookup, der eine DNS-Abfrage erfordert, und prüft jeden Ausdruck auf korrekte Syntax.
Dabei wird keine IP-Adresse geprüft. Es geht darum, ob der Record gültig ist und von jedem, der ihn auswerten muss, mit vertretbarem Aufwand verarbeitet werden kann, nicht darum, ob ein bestimmter Server senden darf. Senden Sie dafür eine Nachricht über den vollständigen Test. Der Bericht zeigt das Ergebnis, das der Empfänger tatsächlich erhalten hat.
Zu viele DNS-Lookups: das Limit von zehn
RFC 7208 begrenzt eine SPF-Auswertung auf zehn Ausdrücke, die eine DNS-Abfrage erfordern: include, a, mx, ptr, exists und redirect. Die Anzahl gilt für den gesamten Baum. Ein include, das selbst drei weitere Includes enthält, verbraucht also vier davon. Wird das Limit überschritten, lautet das Ergebnis permerror. DMARC wertet dies als nicht bestandene SPF-Prüfung.
Das Prüftool zählt jeden Ausdruck, auch solche, die bei der Auswertung möglicherweise nie erreicht werden, da eine echte Auswertung beim ersten Treffer endet. Früh aufgeführte Server bestehen die Prüfung weiterhin, während weiter unten aufgeführte Server nicht mehr bestehen. Von außen sieht das so aus, als würde der E-Mail-Versand bei manchen Nachrichten funktionieren und bei anderen nicht.
ip4- und ip6-Ausdrücke kosten keine Lookups. Wenn Sie Includes durch Adressbereiche ersetzen, also den Record abflachen, sinkt die Anzahl. Dafür müssen Sie diese Bereiche manuell mit den Angaben Ihrer Anbieter abgleichen.
Häufige Fehler im SPF-Record
Zwei SPF-Records auf einer Domain. Das passiert, wenn die Einrichtungsanleitung eines zweiten Anbieters dazu auffordert, einen Record hinzuzufügen, und niemand ihn mit dem ersten zusammenführt. Zwei Records führen bereits zu einem permerror.
Ein Abschluss mit +all, der jeden Server im Internet bestehen lässt, oder ?all, das keine Aussage über einen Server trifft und daher keinen Schutz bietet. Ein ptr-Ausdruck, von dessen Verwendung RFC 7208 abrät. Includes für Dienste, die das Unternehmen seit Jahren nicht mehr verwendet, kosten weiterhin jeweils einen Lookup.
Fragen
Wie sieht ein SPF-Record aus?
Es handelt sich um einen einzelnen TXT-Record auf der Domain, der mit v=spf1 beginnt, die zulässigen Absender aufführt und mit einer Regel für alle anderen endet. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all erlaubt Google Workspace und einem Server den Versand und weist allen anderen einen Softfail zu. Eine Domain darf nur einen SPF-Record veröffentlichen.
SPF-Softfail oder Hardfail: ~all oder -all?
Sobald DMARC eingerichtet ist, funktionieren beide Varianten, da DMARC festlegt, was mit einer Nachricht geschieht, die die Prüfung nicht besteht. ~all (Softfail) ist die sicherere Wahl, solange Sie noch alle Dienste ermitteln, die für Sie senden. Wechseln Sie zu -all, wenn die DMARC-Berichte keine legitimen fehlgeschlagenen Prüfungen mehr zeigen.
Warum besteht mein Record den vollständigen Test, zeigt hier aber mehr als zehn DNS-Abfragen?
Der empfangende Server beendete die Auswertung beim ersten Begriff, der auf Ihren Server zutraf. Daher wurden die übrigen DNS-Abfragen nicht berücksichtigt. Bei einem anderen Server weiter unten in der Liste würde dieselbe Auswertung mehr als zehn DNS-Abfragen erfordern und fehlschlagen.
Was ist eine leere DNS-Abfrage?
Eine DNS-Abfrage, die keine Records zurückgibt oder auf einen nicht vorhandenen Namen verweist. RFC 7208 erlaubt bei einer Auswertung zwei solcher Abfragen. Eine dritte führt zu einem permerror. Die häufigste Ursache sind include-Einträge für Domains, die nicht mehr existieren.
Kann eine Domain zwei SPF-Records haben?
Nein. RFC 7208 erlaubt einen Record, der mit v=spf1 beginnt. Bei zwei solchen Records endet jede Auswertung mit permerror. Führen Sie beide zusammen: Behalten Sie ein einziges v=spf1, fügen Sie die include- und ip4-Einträge aus beiden Records ein und schließen Sie mit einem einzigen all ab. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all deckt zwei Anbieter in einem Record ab.
Vollständige Anleitung: Multiple SPF records
Was bedeutet SPF permerror?
Permanenter Fehler: Der veröffentlichte Record kann nicht ausgewertet werden, daher führt ein erneuter Versuch zum gleichen Ergebnis. Häufige Ursachen sind mehr als zehn DNS-Lookups, zwei SPF-Records für eine Domain, ein Syntaxfehler und ein dritter ergebnisloser Lookup. DMARC wertet einen permerror als nicht bestandene SPF-Prüfung.
Vollständige Anleitung: SPF permerror: too many DNS lookups
Was passiert, wenn kein SPF-Record gefunden wird?
Empfänger erhalten das Ergebnis none, das DMARC wie einen Fehlschlag behandelt. Außerdem kann jeder Ihre Domain als Envelope-Absender verwenden. Veröffentlichen Sie auf der Domain selbst einen TXT-Record, der mit v=spf1 beginnt, die Dienste auflistet, die für Sie senden, und mit ~all oder -all endet.