SPF-Record-Builder

Der SPF Record Builder generiert syntaktisch korrekte Sender Policy Framework (SPF) DNS TXT-Einträge, die bestimmte Mailserver autorisieren, E-Mails im Namen Ihrer Domain zu versenden. Geben Sie Ihre Mailserver-IPs, Third-Party-Service-Includes und Richtlinieneinstellungen ein, um einen veröffentlichungsfertigen Eintrag wie v=spf1 ip4:203.0.113.5 include:_spf.google.com -all zu erzeugen.

SPF Records verstehen

Wenn Sie eine Domain betreiben, die E-Mails versendet, ist SPF eines der ersten Dinge, die Sie korrekt konfigurieren müssen. Ohne einen SPF Record kann jeder Server im Internet Nachrichten senden, die von Ihrer Domain zu stammen scheinen, und empfangende Mailserver haben keine Möglichkeit, Ihre legitime Post von gefälschten Phishing-Nachrichten zu unterscheiden. SPF gibt Ihnen die Möglichkeit zu deklarieren, welche IP-Adressen und Dienste autorisiert sind, in Ihrem Namen zu senden, und es gibt Empfängern die Möglichkeit, diese Deklaration zu prüfen, bevor sie eine Nachricht akzeptieren.

Ein SPF Record ist ein DNS TXT-Eintrag, der an der Wurzel Ihrer Domain veröffentlicht wird. Wenn ein empfangender Mailserver eine Nachricht erhält, die vorgibt, von Ihrer Domain zu stammen, ruft er Ihren SPF Record ab und prüft, ob die IP-Adresse des sendenden Servers mit einem der autorisierten Mechanismen übereinstimmt, die Sie aufgelistet haben. Bei Übereinstimmung besteht die Nachricht die SPF-Prüfung. Bei Nichtübereinstimmung wendet der empfangende Server die Richtlinie an, die Sie im all-Mechanismus am Ende des Records angegeben haben -- typischerweise Softfail oder Hardfail für die Nachricht.

Das Schwierige ist, den Record richtig zu erstellen. SPF hat eine spezifische Syntax, strenge Grenzen für DNS-Lookups und Regeln dafür, wie Mechanismen ausgewertet werden. Ein fehlendes include bedeutet, dass ein legitimer Dienst blockiert wird. Ein Tippfehler in einem IP-Bereich bedeutet, dass Ihr eigener Mailserver die Authentifizierung nicht besteht. Dieser Builder führt Sie interaktiv durch jeden Mechanismus, validiert Ihre Eingaben und erzeugt einen Record, den Sie direkt in Ihre DNS-Konfiguration kopieren können.

So erstellen Sie einen SPF Record

1. Beginnen Sie mit dem erforderlichen Versions-Tag v=spf1
2. Fügen Sie ip4- oder ip6-Mechanismen für Ihre Mailserver-IP-Adressen hinzu
3. Fügen Sie include-Mechanismen für Drittanbieter-E-Mail-Dienste hinzu (Google Workspace, Microsoft 365, Mailchimp usw.)
4. Fügen Sie a- oder mx-Mechanismen hinzu, wenn die A- oder MX-Einträge Ihrer Domain auf sendende Server verweisen
5. Setzen Sie den all-Mechanismus am Ende, um die Standardrichtlinie für nicht autorisierte Absender festzulegen
6. Überprüfen Sie den generierten Record auf Länge und Lookup-Grenzen
7. Kopieren Sie den Record und veröffentlichen Sie ihn als DNS TXT-Eintrag auf Ihrer Domain

Beispiele für SPF Records

SPF-Mechanismus-Qualifizierer

Jeder Mechanismus kann mit einem Qualifizierer versehen werden, der empfangenden Servern mitteilt, wie eine Übereinstimmung zu interpretieren ist:

Der -all-Qualifizierer bietet den strengsten Schutz und weist Empfänger an, Nachrichten von nicht aufgeführten Servern abzulehnen. Verwenden Sie ~all während der anfänglichen Bereitstellung, um zu überwachen, ohne legitime Post zu blockieren.

Wann Sie den SPF Record Builder verwenden sollten

• E-Mail-Authentifizierung einrichten für eine neue Domain zum ersten Mal
• Einen Drittanbieter-E-Mail-Dienst hinzufügen wie SendGrid, Amazon SES oder Postmark, der in Ihrem Namen sendet
• Mehrere SPF-Mechanismen konsolidieren aus verschiedenen Teams oder Abteilungen in einen einzigen gültigen Record
• E-Mail-Zustellbarkeit beheben wenn Nachrichten aufgrund von SPF-Fehlern im Spam landen
• E-Mail-Infrastruktur migrieren und autorisierte Absenderlisten aktualisieren
• Ihre DMARC-Richtlinie stärken indem Sie sicherstellen, dass SPF korrekt konfiguriert ist, bevor Sie auf p=reject umstellen

Wie SPF Records funktionieren

SPF Records werden als DNS TXT-Einträge auf der Wurzel Ihrer Domain veröffentlicht. Wenn ein empfangender Mailserver eine E-Mail erhält, die vorgibt, von Ihrer Domain zu stammen, fragt er DNS nach Ihrem SPF Record ab und prüft, ob die IP-Adresse des sendenden Servers mit einem autorisierten Mechanismus übereinstimmt.

SPF-Auswertungsreihenfolge

Der empfangende Server wertet Mechanismen von links nach rechts aus. Der erste Mechanismus, der mit der sendenden IP übereinstimmt, bestimmt das Ergebnis. Wenn kein Mechanismus übereinstimmt, liefert der all-Qualifizierer am Ende die Standardaktion.

DNS-Lookup-Grenzen

Die SPF-Auswertung ist auf 10 DNS-Lookups gemäß RFC 7208 begrenzt. Diese Mechanismen verbrauchen jeweils einen Lookup: include, a, mx, ptr, exists und redirect. Literale IP-Mechanismen (ip4, ip6) zählen nicht. Verschachtelte Includes zählen ebenfalls gegen dieses Limit -- wenn der SPF Record einer eingebundenen Domain 3 weitere Includes enthält, ergeben sich insgesamt 4 Lookups.

Gängige Include-Werte von Drittanbietern

Beschränkungen der Record-Länge

Ein einzelner DNS TXT-String darf 255 Zeichen nicht überschreiten. Längere Records müssen in mehrere Strings innerhalb eines einzelnen TXT-Eintrags aufgeteilt werden. Der Builder verfolgt die Zeichenanzahl und warnt, wenn dieses Limit erreicht wird.

SPF-Konfiguration in der Praxis

Die wichtigste Entscheidung in Ihrem SPF Record ist der all-Mechanismus am Ende. Viele Administratoren belassen ihn dauerhaft auf ~all (Softfail), weil sie befürchten, legitime E-Mails zu blockieren. Während ~all in der anfänglichen Bereitstellungsphase angemessen ist, sollten Sie planen, auf -all (Hardfail) umzustellen, sobald Sie bestätigt haben, dass alle Ihre autorisierten Absender aufgeführt sind. Ein Softfail teilt Empfängern mit, dass die Nachricht verdächtig ist, weist sie aber nicht an, sie abzulehnen, was Spoofern ein Zeitfenster gibt, Ihre Domain zu missbrauchen. Ein Hardfail gibt Empfängern ein klares Signal, nicht autorisierte Nachrichten abzulehnen, was der ganze Zweck der SPF-Bereitstellung ist.

Das zweite, worauf Sie achten müssen, ist die Lookup-Anzahl. Jedes Mal, wenn Sie ein neues SaaS-Tool hinzufügen, das E-Mails sendet -- eine Marketing-Plattform, ein Helpdesk, ein CRM, einen transaktionalen E-Mail-Dienst -- fügen Sie mindestens einen include-Mechanismus hinzu, und jedes include verbraucht einen oder mehrere DNS-Lookups. Es ist überraschend einfach, das 10-Lookup-Limit zu erreichen, besonders wenn der SPF Record jedes Dienstes selbst verschachtelte Includes enthält. Google Workspace allein verbraucht 4 Lookups (1 direkter plus 3 verschachtelte). Fügen Sie Microsoft 365, SendGrid und Mailchimp hinzu, und Sie sind möglicherweise bereits bei 10. Wenn Sie das Limit überschreiten, gibt SPF einen permanenten Fehler zurück und Ihre legitimen E-Mails bestehen die Authentifizierung nicht mehr.

Um unter dem Limit zu bleiben, erwägen Sie das Abflachen von Includes zu ip4- und ip6-Mechanismen, wo möglich. Abflachen ersetzt ein dynamisches include durch die statischen IP-Adressen, zu denen es derzeit aufgelöst wird, was den DNS-Lookup eliminiert. Der Nachteil ist Wartung: Wenn der Anbieter seine IP-Bereiche ändert, wird Ihr abgeflachter Record veraltet. SPF-Abflachungsdienste automatisieren diesen Prozess, indem sie regelmäßig die Includes erneut auflösen und Ihren Record aktualisieren. Verwenden Sie den SPF Record-Längenprüfer, um Ihre aktuelle Lookup-Anzahl zu prüfen, bevor Sie Änderungen vornehmen.

Häufig gestellte Fragen

Kann ich mehrere SPF Records auf einer Domain haben?

Nein. Eine Domain darf genau einen SPF TXT-Eintrag haben. Mehrere SPF Records verursachen einen permerror bei der Auswertung, was typischerweise bedeutet, dass SPF vollständig fehlschlägt. Wenn Sie viele Dienste autorisieren müssen, kombinieren Sie alle Mechanismen in einem einzigen Record. Wenn Ihnen der Platz oder die Lookups ausgehen, verwenden Sie Abflachen oder den redirect-Mechanismus, um auf eine dedizierte SPF-Richtlinien-Domain zu verweisen.

Was ist der Unterschied zwischen -all und ~all?

Das -all (Hardfail) weist Empfänger an, E-Mails von nicht autorisierten Servern abzulehnen. Das ~all (Softfail) teilt Empfängern mit, dass die Nachricht verdächtig ist, aber trotzdem akzeptiert werden sollte, typischerweise für weitere Prüfung markiert. Beginnen Sie mit ~all während der Testphase und wechseln Sie dann zu -all, sobald Sie bestätigt haben, dass alle legitimen Absender enthalten sind.

Wie füge ich Google Workspace zu meinem bestehenden SPF Record hinzu?

Fügen Sie include:_spf.google.com vor dem all-Mechanismus in Ihrem bestehenden Record hinzu. Wenn Ihr aktueller Record beispielsweise v=spf1 ip4:203.0.113.5 -all ist, ändern Sie ihn zu v=spf1 ip4:203.0.113.5 include:_spf.google.com -all.

Was passiert, wenn ich das 10-DNS-Lookup-Limit überschreite?

Die SPF-Auswertung gibt einen permanenten Fehler (permerror) zurück. Die meisten empfangenden Server behandeln dies als SPF-Fehler, was bedeutet, dass Ihre E-Mails als Spam markiert oder direkt abgelehnt werden können -- besonders wenn Sie auch eine strenge DMARC-Richtlinie haben. Verwenden Sie den SPF Record-Längenprüfer, um Ihre Lookup-Anzahl zu prüfen.

Sollte ich den a- oder mx-Mechanismus verwenden?

Der a-Mechanismus autorisiert die IP-Adresse, auf die der A-Eintrag Ihrer Domain verweist. Der mx-Mechanismus autorisiert die IP-Adressen Ihrer MX-Einträge. Beide verbrauchen jeweils einen DNS-Lookup. Wenn dieselben IPs bereits durch ip4-Mechanismen abgedeckt sind, verzichten Sie auf a und mx, um Lookups zu sparen. Sie sind am nützlichsten, wenn sich die IP Ihres sendenden Servers häufig ändert und immer in Ihren A- oder MX-Einträgen widergespiegelt wird.

Wie hängen SPF, DKIM und DMARC zusammen?

SPF, DKIM und DMARC arbeiten zusammen als mehrschichtiges E-Mail-Authentifizierungssystem. SPF prüft, ob der sendende Server autorisiert ist. DKIM verifiziert, dass der Nachrichteninhalt nicht manipuliert wurde, mittels einer kryptografischen Signatur. DMARC verbindet beide, indem es eine Richtlinie für Nachrichten definiert, die beide Prüfungen nicht bestehen, und Domain-Ausrichtung voraussetzt. Sie benötigen alle drei für eine robuste E-Mail-Authentifizierung.

Verwandte Tools

• SPF Record-Längenprüfer - SPF Record-Länge und Lookup-Grenzen prüfen
• DKIM TXT Record Formatter - DKIM Records mit korrekter Quotierung formatieren
• DMARC Record Builder - DMARC Records mit allen Richtlinien-Tags erstellen
• DNS Record Set Deduper - Doppelte DNS-Einträge finden und entfernen
• Zone File Linter - Zone-Dateien auf Syntaxfehler und Duplikate prüfen