Führen Sie eine beliebige Domain durch diesen SPF-Checker, und er ruft den Live-Eintrag ab, erweitert jeden Mechanismus und zeigt Ihnen die vollständige Liste der IP-Adressen, denen Ihre Domain derzeit vertraut, um Mail zu versenden. Alles außerhalb dieser Liste ist das, was empfangende Server anfechten oder ablehnen. Wenn Ihnen das Konzept neu ist, beginnen Sie mit was ein SPF-Lookup ist und warum er wichtig ist.
Wie ein SPF-Eintrag aussieht
Ein SPF-Eintrag ist ein einzelner TXT-Eintrag, der in Ihren DNS-Einträgen veröffentlicht wird und Empfängern mitteilt, welche Mailserver Nachrichten im Namen Ihrer Domain senden dürfen. Ein typischer Eintrag sieht so aus:
v=spf1 include:_spf.google.com ip4:192.0.2.0/24 -all
Jeder Bestandteil ist ein Mechanismus. Der include:-Mechanismus bindet die autorisierten Absender einer anderen Domain ein, ip4: autorisiert eine bestimmte IP-Adresse oder einen IP-Bereich, und das abschließende -all lehnt jeden anderen Absender ab. Wenn Sie diesen SPF-Checker ausführen, erweitert er jeden Mechanismus, validiert die Syntax gegen die Sender-Policy-Framework-(SPF-)Spezifikation (RFC 7208) und listet jede IP-Adresse auf, die Ihre Domain derzeit autorisiert.
Häufige SPF-Fehler und was sie bedeuten
Wenn der Checker Ihren Eintrag analysiert, führt das Ergebnis zu einem von mehreren SPF-Ausgängen. Die erkennenswerten Fehler:
- PermError (in der Tool-Ausgabe als
PermErrorangezeigt) - ein dauerhafter Fehler im Eintrag selbst. Fast immer ein Syntaxfehler oder ein Eintrag, der das DNS-Lookup-Limit überschreitet. Empfänger behandeln den Eintrag, als existiere er nicht. Beheben Sie die Syntax oder reduzieren Sie verschachtelte Includes, um ihn zu beseitigen. - TempError (
TempError) - ein vorübergehendes DNS-Auflösungsproblem, oft ein langsamer oder nicht erreichbarer Nameserver. Testen Sie in ein paar Minuten erneut; wenn es bestehen bleibt, prüfen Sie Ihren DNS-Anbieter. - softfail (der
~all-Qualifizierer) - der Absender ist nicht autorisiert, aber Empfänger sollten die Nachricht annehmen und als verdächtig markieren. Häufig in Übergangs-Setups vor dem Wechsel zu Hardfail. - hardfail (der
-all-Qualifizierer) - der Absender ist nicht autorisiert, sodass Empfänger die Nachricht direkt ablehnen. Dies ist die Einstellung, die Sie wollen, sobald jeder legitime Absender erfasst ist. - none - die Domain veröffentlicht überhaupt keinen SPF-Eintrag, sodass Empfänger nichts haben, woran sie den Absender prüfen können, und die Mail oft als nicht vertrauenswürdig behandeln.
- neutral (der
?all-Qualifizierer) - die Domain lehnt es ausdrücklich ab, eine Autorisierung zu behaupten. Wird ähnlich wie none behandelt.
Jeder Ausgang entspricht einer anderen Behebung. Syntaxfehler, fehlende TXT-Einträge und nicht autorisierte Absender erscheinen im Checker als eigene Fehlerkategorien, sodass Sie darauf reagieren können, ohne rohe DNS-Antworten durchforsten zu müssen.
Wie SPF mit DKIM und DMARC zusammenarbeitet
SPF ist eines von drei E-Mail-Authentifizierungsstandards, die zusammenarbeiten, sodass eine SPF-Prüfung allein selten die ganze Geschichte erzählt. SPF verifiziert den sendenden Server, DKIM fügt eine kryptografische Signatur hinzu, die belegt, dass die Nachricht während der Übertragung nicht verändert wurde, und DMARC verbindet die beiden - es prüft, ob SPF oder DKIM mit der Domain in der sichtbaren "From"-Adresse ausgerichtet ist, und sagt Empfängern, was zu tun ist, wenn die Authentifizierung fehlschlägt. Gmail, Yahoo und Microsoft verlangen jetzt alle drei von Massenversendern, sodass ein bestandener SPF-Eintrag das Fundament ist, auf dem der Rest Ihrer E-Mail-Authentifizierung - und Ihre Abwehr gegen Spoofing und E-Mail-Betrug - aufbaut.
Wenn Sie ein Problem beheben, das dieser SPF-Checker aufdeckt, prüfen Sie gleichzeitig DKIM und DMARC erneut. Ein technisch gültiger SPF-Eintrag, der nicht mit Ihrer DMARC-Richtlinie ausgerichtet ist, kann trotzdem fehlschlagen, und das Verschärfen von SPF auf -all, bevor Ihre anderen Absender erfasst sind, blockiert legitime Mail.
Das 10-DNS-Lookup-Limit
include-, a-, mx-, ptr- und exists-Mechanismus zählt zum 10-DNS-Lookup-Limit. Überschreiten Sie es, schlägt der Eintrag mit PermError fehl.Die Sender-Policy-Framework-Spezifikation begrenzt DNS-Lookups auf zehn pro Auswertung (RFC 7208, Abschnitt 4.6.4). Jeder include:-, a-, mx-, ptr- und exists-Mechanismus zählt zum Limit, und verschachtelte Includes zählen rekursiv. Wenn Ihr Eintrag das 10-DNS-Lookup-Limit überschreitet, geben Empfänger PermError zurück und Ihre Nachrichten landen möglicherweise im Spam, egal wie korrekt der Rest Ihres Eintrags ist - jede aufgeführte IP-Adresse wird in dem Moment irrelevant, in dem das Lookup-Limit über zehn hinausschießt.
Der Checker zählt jeden Lookup, den Ihr Eintrag auslöst, einschließlich der in Drittanbieter-include:-Direktiven verborgenen. Wenn Sie über zehn liegen - oder nahe dran - kann AutoSPF Ihren SPF-Eintrag automatisch abflachen, wobei die autorisierten IP-Adressen erhalten bleiben und verschachtelte Lookups zu einem einzigen, gültigen SPF-Eintrag zusammengefasst werden.
Wann Sie eine SPF-Prüfung durchführen sollten
Führen Sie eine SPF-Prüfung durch, wann immer Sie einen E-Mail-Anbieter hinzufügen oder entfernen, Plattformen migrieren oder bemerken, dass Nachrichten im Spam landen - diese SPF-Eintragsprüfungen sind routinemäßige Hygiene, prüfen Sie Ihren Eintrag also mindestens einmal pro Quartal. Jedes Mal, wenn Sie ändern, wer Mail für Ihre Domain versendet, bestätigt ein SPF-Lookup, dass der Eintrag weiterhin auflöst, unter dem 10-Lookup-Limit bleibt und nur die Server auflistet, denen Sie vertrauen. Tools wie dieses machen daraus eine 10-Sekunden-Prüfung statt einer manuellen dig-Sitzung und passen gut zu einem DMARC-Checker und einem DKIM-Lookup für einen vollständigen Überblick über Ihre E-Mail-Authentifizierung. Prüfen Sie auch Ihre Subdomains separat - eine Subdomain erbt den SPF-Eintrag der übergeordneten Domain nicht, daher braucht jede Subdomain, die Mail versendet, einen eigenen.