Auf einen Blick. Eintragstyp: TXT, einer pro Domain · Beginnt mit: v=spf1 · Gelesen: Von links nach rechts, der erste Treffer gewinnt · Lookup-Limit: 10 DNS-Lookups
Die Kurzfassung
- Wie ein Eintrag gelesen wird. Ein SPF-Eintrag ist eine einzelne Textzeile, die als TXT-Eintrag veröffentlicht wird.
- Qualifier. Ein Qualifier ist ein einzelnes Zeichen, das direkt vor einem Mechanismus steht.
- Mechanismen ohne DNS-Lookup. Die Mechanismen ip4 und ip6 passen auf eine konkrete Adresse oder einen Bereich in CIDR-Schreibweise.
- Mechanismen, die einen DNS-Lookup kosten. Der Mechanismus include veranlasst den Empfänger, den SPF-Eintrag einer anderen Domain auszuwerten und zu passen, wenn dieser Eintrag besteht.
- Modifier: redirect und exp. Ein Modifier wird als name=wert geschrieben und ist kein Test der Absenderadresse.
- Längen- und Formatgrenzen. Jeder String in einem TXT-Eintrag darf höchstens 255 Zeichen enthalten.
Wie ein Eintrag gelesen wird
Ein SPF-Eintrag ist eine einzelne Textzeile, die als TXT-Eintrag veröffentlicht wird. Er muss mit dem Versions-Tag v=spf1 beginnen, gefolgt von einer durch Leerzeichen getrennten Liste von Termen. Ein empfangender Server wertet die Terme von links nach rechts anhand der IP-Adresse aus, die sich mit ihm verbunden hat, und der erste passende Term bestimmt das Ergebnis.
v=spf1 ip4:203.0.113.10 include:_spf.example.net ~allPasst kein Term und gibt es keinen redirect, lautet das Ergebnis neutral. Deshalb enden die meisten Einträge mit einem all-Term: Er passt auf alles, sodass das letzte Wort immer sagt, was mit einem Server geschieht, der nicht auf der Liste steht.
Qualifier
Ein Qualifier ist ein einzelnes Zeichen, das direkt vor einem Mechanismus steht. Er legt das Ergebnis fest, wenn dieser Mechanismus passt. Ohne Qualifier wird Plus angenommen, mx und +mx bedeuten also dasselbe.
-all fail: not authorised
~all softfail: probably not authorised
?all neutral: no opinion
+all pass: everyone is authorised (never use this)Die vier Ergebnisse sind pass (Plus), fail (Minus), softfail (Tilde) und neutral (Fragezeichen). Empfänger werten fail und softfail meist als negatives Signal und nicht als Anweisung zur Ablehnung, und DMARC entscheidet, was mit einer fehlgeschlagenen Nachricht geschieht.
Mechanismen ohne DNS-Lookup
Die Mechanismen ip4 und ip6 passen auf eine konkrete Adresse oder einen Bereich in CIDR-Schreibweise. Sie sind der günstigste Teil eines Eintrags, da der Empfänger nichts nachschlagen muss, und die sicherste Wahl, wenn ein Anbieter feste Sendeadressen veröffentlicht.
ip4:203.0.113.0/24
ip6:2001:db8::/32
allDer Mechanismus all passt auf jede Adresse. Er gehört ans Ende. Terme, die danach stehen, werden nie erreicht.
Mechanismen, die einen DNS-Lookup kosten
Der Mechanismus include veranlasst den Empfänger, den SPF-Eintrag einer anderen Domain auszuwerten und zu passen, wenn dieser Eintrag besteht. Der Mechanismus a passt auf die Adresseinträge einer Domain, und mx auf die Adressen ihrer Mailserver. Beide verwenden standardmäßig die geprüfte Domain, und beide akzeptieren eine Domain und eine CIDR-Länge. Der Mechanismus exists passt, wenn ein Name aufgelöst wird, und ptr passt per Reverse-DNS.
include:_spf.example.net
a
a:mail.example.com/24
mx
exists:%{i}._spf.example.comJedes include, a, mx, ptr und exists sowie der Modifier redirect zählt zum Limit von zehn DNS-Lookups, und Includes innerhalb von Includes zählen mit. Der Standard begrenzt den Mechanismus mx zudem auf zehn Mailserver. Der Standard rät von ptr ab, weil es langsam und unzuverlässig ist, vermeiden Sie es also.
Modifier: redirect und exp
Ein Modifier wird als name=wert geschrieben und ist kein Test der Absenderadresse. Der Modifier redirect besagt: Ignoriere den Rest dieses Eintrags und verwende stattdessen den Eintrag einer anderen Domain. Er wird nur herangezogen, wenn kein Mechanismus gepasst hat, und ein Eintrag mit einem all-Term erreicht ihn nie.
v=spf1 redirect=_spf.example.netDer Modifier exp nennt eine Domain, deren TXT-Eintrag einen Erklärungstext enthält, den Empfänger bei einem SPF-Fehlschlag anzeigen können. Die meisten Domains nutzen ihn nie. Jeder Name darf in einem Eintrag höchstens einmal vorkommen.
Längen- und Formatgrenzen
Jeder String in einem TXT-Eintrag darf höchstens 255 Zeichen enthalten. Ein längerer Eintrag wird als mehrere Strings gespeichert, die Empfänger zusammenfügen, und die meisten DNS-Panels teilen einen langen Wert für Sie auf. Ein sehr langer Eintrag kann außerdem die Größe einer normalen DNS-Antwort überschreiten, ein weiterer Grund, die Liste kurz zu halten.
Terme werden durch ein oder mehrere Leerzeichen getrennt und unterscheiden nicht zwischen Groß- und Kleinschreibung. Halten Sie den Eintrag in einem einzigen TXT-Eintrag: Eine Domain mit zwei SPF-Einträgen erhält einen permanenten Fehler.
Syntaxfehler, die einen Eintrag brechen
Die meisten Fehlschläge entstehen durch wenige Ausrutscher: ein fehlendes v=spf1, ein include ohne Domain, ein falsch geschriebener Mechanismus wie inlcude, eine fehlerhafte Adresse wie ip4:203.0.113.300 oder ein verirrtes Zeichen vom Kopieren und Einfügen. Jeder davon macht den gesamten Eintrag ungültig und das Ergebnis zu einem permanenten Fehler.
Testen Sie vor der Veröffentlichung. Unser SPF-Checker liest einen eingefügten Eintrag, markiert jedes Problem und zählt die DNS-Lookups, sodass Sie einen Eintrag korrigieren können, bevor er live geht.
Weiterführende Literatur und Quellen
Umsetzen in MigoSMTP: Artikel im Hilfecenter
- SPF-permerror und das 10-Lookup-Limit beheben
- Eine Absenderdomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC
- Ihre Absenderdomain verifizieren: DNS-Einträge und Propagierung
Verwandte Leitfäden und Tools
- SPF-Record-Checker: Einen Eintrag einfügen oder eine Domain prüfen.
- SPF-Record-Generator: Einen Eintrag erstellen, der innerhalb des Limits bleibt.
- SPF-Eintrag erstellen: Die Schritt-für-Schritt-Anleitung.
- SPF-Eintrag-Beispiele: Workspace, Microsoft 365 und mehr.
Unsicher, ob Ihre Einträge stimmen? Nutzen Sie unseren kostenlosen Checker oder senden Sie uns einen Header, dann helfen wir Ihnen beim Lesen.
Häufig gestellte Fragen
Wie lautet die Syntax eines SPF-Eintrags?
Ein SPF-Eintrag ist ein einzelner TXT-Eintrag, der mit v=spf1 beginnt, gefolgt von Termen, die von links nach rechts gelesen werden, und meist mit einem all-Term endet. Jeder Term ist ein Mechanismus wie ip4, include, a oder mx, optional mit einem vorangestellten Qualifier, der das Ergebnis festlegt.
Was bedeuten Plus, Minus, Tilde und Fragezeichen in SPF?
Es sind Qualifier. Plus bedeutet pass und ist der Standard, Minus bedeutet fail, Tilde softfail und Fragezeichen neutral. Sie stehen direkt vor einem Mechanismus, zum Beispiel -all oder ~all.
Welche SPF-Mechanismen zählen zum Limit von 10 Lookups?
Die Mechanismen include, a, mx, ptr und exists sowie der Modifier redirect zählen jeweils. Die Mechanismen ip4, ip6 und all benötigen keinen DNS-Lookup und zählen daher nicht.
Was passiert mit Termen, die nach dem all-Mechanismus stehen?
Sie werden nie ausgewertet, denn die Auswertung endet beim ersten passenden Term, und all passt auf alles. Setzen Sie all an die letzte Stelle.