Kostenloser SPF-Eintrag- Generator

Dieser SPF-Eintrag-Generator setzt aus den von Ihnen ausgewählten Absendern einen gültigen Sender-Policy-Framework-Eintrag zusammen und gibt Ihnen eine einzige Zeile zur Veröffentlichung im DNS. Zu wissen, was diese Zeile enthält, macht es weit einfacher, sie zu warten und einen SPF-Eintrag korrekt einzurichten - hier ist also, was der Generator erstellt und warum jeder Teil wichtig ist.

Die Anatomie eines SPF-Eintrags

Jeder SPF-Eintrag folgt einer strengen SPF-Eintragssyntax: ein einzelner DNS-TXT-Eintrag, aufgebaut aus drei Teilen - einem Versions-Tag, einem oder mehreren Mechanismen und einem abschließenden Qualifizierer. Ein vollständiger Eintrag sieht so aus:

v=spf1 include:_spf.google.com ip4:203.0.113.10 -all

Das v=spf1-Tag identifiziert den Eintrag als SPF und muss zuerst kommen - ein Eintrag, der mit etwas anderem beginnt, wird ignoriert. Jeder Mechanismus in der Mitte autorisiert eine Gruppe von Absendern, und das abschließende -all sagt Empfängern, wie sie jeden nicht übereinstimmenden Absender behandeln sollen. Der Generator gibt diese stets in der korrekten Reihenfolge aus, denn ein Eintrag ohne führendes v=spf1 oder abschließenden all-Qualifizierer gilt als ungültig.

Die Mechanismen, die Sie hinzufügen können

Jede Zeile, die Sie dem Generator hinzufügen, wird zu einem dieser Mechanismen:

• include: - autorisiert die Absender einer anderen Domain (so fügen Sie Google Workspace, Microsoft 365, SendGrid und die meisten SaaS-Anbieter hinzu). Jedes include kostet mindestens einen DNS-Lookup, oft mehr, da es weitere Includes einbinden kann.
• ip4: und ip6: - autorisieren eine bestimmte IP-Adresse oder einen CIDR-Bereich direkt. Diese kosten null DNS-Lookups, was sie zur günstigsten Möglichkeit macht, einen bekannten Mailserver hinzuzufügen.
• a und mx - autorisieren die Hosts in den A- oder MX-Einträgen Ihrer Domain. Jeder kostet einen Lookup.
• all - der Auffangmechanismus, der zuletzt kommen muss, gepaart mit einem Qualifizierer, der Ihre Richtlinie festlegt.

Ihre Richtlinie wählen: -all, ~all oder ?all

Der Qualifizierer vor all entscheidet, was Empfänger mit Mail tun, die von keinem anderen Mechanismus autorisiert wird:

• -all (Hardfail) - nicht autorisierte Mail direkt ablehnen. Das ist das Ziel, sobald jeder legitime Absender im Eintrag ist.
• ~all (Softfail) - nicht autorisierte Mail annehmen, aber als verdächtig markieren. Verwenden Sie dies, während Sie SPF ausrollen und bestätigen, dass nichts Legitimes übersehen wird.
• ?all (Neutral) - überhaupt keine Aussage treffen. Bietet keinen Schutz und ist selten die richtige Wahl.

Ein sicheres Ausrollen besteht darin, mit ~all zu erzeugen, Ihre Berichte ein bis zwei Wochen zu beobachten und dann mit -all neu zu erzeugen, sobald Sie zuversichtlich sind. Vermeiden Sie +all vollständig - es autorisiert das gesamte Internet, als Ihre Domain zu senden.

Häufige Fehler, die der Generator verhindert

• Mehr als ein SPF-Eintrag. Eine Domain darf nur einen v=spf1-TXT-Eintrag veröffentlichen; ein zweiter macht beide ungültig. Kombinieren Sie jeden Absender in dem einen Eintrag, den der Generator erzeugt.
• Das 10-Lookup-Limit überschreiten. Zu viele include:-Mechanismen hinzuzufügen schiebt Sie über die Grenze und löst PermError aus. Der Live-Zähler kennzeichnet dies, bevor Sie veröffentlichen.
• ptr verwenden. Der ptr-Mechanismus ist veraltet und langsam; der Generator setzt stattdessen auf include, ip4 und ip6.
• Den all-Qualifizierer weglassen oder eine Zeichenkette über das 255-Zeichen-TXT-Limit hinaus aufteilen - beides bricht den Eintrag stillschweigend.

Unter dem 10-DNS-Lookup-Limit bleiben

Die SPF-Spezifikation begrenzt DNS-Lookups auf zehn pro Auswertung (RFC 7208, Abschnitt 4.6.4). Jeder include-, a-, mx- und exists-Mechanismus zählt, und verschachtelte Includes zählen rekursiv - sodass eine Handvoll SaaS-Anbieter still über zehn hinausschießen kann. Wenn Ihr erzeugter Eintrag über dem Limit liegt (oder nahe dran), flacht AutoSPF die Includes zu einem kompakten Eintrag ab und scannt alle 15 Minuten neu, sodass Sie unter der Grenze bleiben, ohne einen autorisierten Absender zu verlieren. Siehe zu viele DNS-Lookups für die vollständige Erklärung.

SPF, DKIM und DMARC arbeiten zusammen

Ein erzeugter SPF-Eintrag ist eines von drei E-Mail-Authentifizierungsstandards. SPF verifiziert den sendenden Server, DKIM signiert die Nachricht, damit Empfänger belegen können, dass sie nicht verändert wurde, und DMARC verbindet sie und sagt Empfängern, was bei einem Fehler zu tun ist. Gmail, Yahoo und Microsoft verlangen jetzt alle drei von Massenversendern, kombinieren Sie diesen Generator also mit dem kostenlosen DMARC-Checker und dem DKIM-Lookup für vollständige Abdeckung.

Veröffentlichen, dann verifizieren

Sobald Sie den Eintrag erzeugt haben, veröffentlichen Sie ihn als TXT-Eintrag am Apex Ihrer Domain (Host @), warten auf die DNS-Propagation - üblicherweise 5 bis 60 Minuten - und bestätigen ihn dann mit dem kostenlosen SPF-Checker oder schlagen Ihren SPF-Eintrag nach, um sicherzustellen, dass er auflöst und unter zehn Lookups bleibt. Denken Sie daran, dass Subdomains den SPF-Eintrag der übergeordneten Domain nicht erben: Jede Subdomain, die Mail versendet, braucht ihren eigenen Eintrag, den Sie auf dieselbe Weise erstellen können.