Wat de SPF-checker controleert
De checker leest de TXT-records van het domein dat je invoert en selecteert het record dat begint met v=spf1. Daarna volgt de checker elke include en redirect zoals een ontvangende server dat zou doen, registreert elke lookup waarvoor een DNS-query nodig is en controleert elke term op syntaxis.
Hierbij is geen IP-adres betrokken. De vraag is of het record geldig en uitvoerbaar is voor iedereen die het moet evalueren, niet of één bepaalde server e-mail mag verzenden. Stuur daarvoor een bericht via de volledige test. Het rapport toont het resultaat dat de ontvanger daadwerkelijk kreeg.
Te veel DNS-lookups: de limiet is tien
RFC 7208 beperkt een SPF-evaluatie tot tien termen waarvoor een DNS-query nodig is: include, a, mx, ptr, exists en redirect. De telling geldt voor de volledige structuur. Een include die zelf nog drie includes bevat, gebruikt er dus vier. Als je de limiet overschrijdt, is het resultaat permerror. Voor DMARC geldt dat als SPF dat niet slaagt.
De checker telt elke term mee, ook termen die tijdens de evaluatie mogelijk nooit worden bereikt, omdat een echte evaluatie stopt bij de eerste overeenkomst. Servers die vroeg in het record staan, blijven slagen, terwijl servers verderop beginnen te falen. Van buitenaf lijkt het dan alsof e-mail voor sommige berichten wel werkt en voor andere niet.
ip4- en ip6-termen kosten niets. Door includes te vervangen door adresbereiken, ook wel flattening genoemd, daalt het aantal lookups. Daar staat tegenover dat je die bereiken handmatig gelijk moet houden met die van je providers.
Veelvoorkomende fouten in SPF-records
Twee SPF-records op één domein. Dit gebeurt wanneer de installatiehandleiding van een tweede provider zegt dat je een record moet toevoegen en niemand dit met het eerste record samenvoegt. Twee records veroorzaken op zichzelf al een permerror.
Een record dat eindigt op +all, waardoor elke server op internet slaagt, of op ?all, dat over geen enkele server iets zegt en dus niets beschermt. Een ptr-term, die volgens RFC 7208 niet gebruikt moet worden. Includes voor diensten die het bedrijf al jaren niet meer gebruikt, kosten nog steeds elk één lookup.
Vragen
Hoe ziet een SPF-record eruit?
Het is één TXT-record op het domein dat begint met v=spf1, vermeldt wie e-mail mag verzenden en eindigt met een regel voor alle andere afzenders. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all staat Google Workspace en één server toe om e-mail te verzenden en geeft de rest een softfail. Een domein mag maar één SPF-record publiceren.
SPF-softfail of hardfail: ~all of -all?
Zodra DMARC is ingesteld, werken beide, omdat DMARC bepaalt wat er gebeurt met een bericht dat niet slaagt. ~all (softfail) is de veiligere keuze zolang u nog zoekt naar alle diensten die namens u e-mail verzenden. Schakel over op -all wanneer uit de DMARC-rapporten blijkt dat legitieme e-mail niet meer faalt.
Waarom slaagt mijn record in de volledige test, maar worden hier meer dan tien lookups getoond?
De ontvangende server stopte de evaluatie bij de eerste term die met uw server overeenkwam, waardoor de resterende lookups niet werden uitgevoerd. Een andere server verderop in de lijst zou dezelfde evaluatie over de limiet van tien lookups brengen en laten mislukken.
Wat is een void lookup?
Een DNS-query die geen records oplevert of verwijst naar een naam die niet bestaat. Volgens RFC 7208 mag een evaluatie er twee bevatten. Een derde veroorzaakt een permerror. include-verwijzingen naar domeinen die niet meer bestaan, zijn meestal de oorzaak.
Kan een domein twee SPF-records hebben?
Nee. RFC 7208 staat één record toe dat begint met v=spf1. Bij twee van zulke records eindigt elke evaluatie in permerror. Voeg ze samen: behoud één v=spf1, neem daarin de include- en ip4-termen van beide op en eindig met één all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all dekt twee providers in één record.
Volledige handleiding: Multiple SPF records
Wat betekent SPF permerror?
Permanente fout: het gepubliceerde record kan niet worden geëvalueerd, dus opnieuw proberen geeft hetzelfde resultaat. De gebruikelijke oorzaken zijn meer dan tien DNS-lookups, twee SPF-records op één domein, een syntaxfout en een derde DNS-lookup zonder resultaat. DMARC beschouwt een permerror als SPF dat niet slaagt.
Volledige handleiding: SPF permerror: too many DNS lookups
Wat als er geen SPF-record wordt gevonden?
Ontvangers krijgen het resultaat none, dat DMARC hetzelfde behandelt als een fail, en iedereen kan je domein als envelope sender gebruiken. Publiceer op het domein zelf één TXT-record dat begint met v=spf1, de diensten vermeldt die namens jou verzenden en eindigt op ~all of -all.