SPF-Record-Laengen-Pruefung

Der SPF Record-Längenprüfer validiert Ihren SPF Record gegen die zwei kritischen Grenzen gemäß RFC 7208: das 255-Zeichen-TXT-String-Limit und das 10-DNS-Lookup-Limit. Fügen Sie einen Record wie v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all ein und sehen Sie sofort die Zeichenanzahl, die Lookup-Aufschlüsselung und ob Sie innerhalb sicherer Schwellenwerte liegen.

SPF-Grenzen verstehen

SPF Records haben zwei harte Grenzen, die bei Überschreitung dazu führen, dass die E-Mail-Authentifizierung stillschweigend fehlschlägt. Das Frustrierende ist, dass Sie einen SPF Record veröffentlichen können, der vollkommen gültig aussieht, ein weiteres include für eine neue Marketing-Plattform hinzufügen, und plötzlich beginnen Ihre legitimen E-Mails die Authentifizierung nicht mehr zu bestehen -- ohne offensichtliche Fehlermeldung in Ihrem Posteingang. Die Fehler zeigen sich nur in DMARC-Aggregationsberichten oder wenn Empfänger sich beschweren, dass Ihre Nachrichten im Spam landen.

Die erste Grenze ist das 10-DNS-Lookup-Limit. Jedes Mal, wenn die SPF-Auswertung auf einen Mechanismus trifft, der eine DNS-Abfrage erfordert -- include, a, mx, ptr, exists oder redirect -- zählt dies gegen dieses Limit. Das kritische Detail, das die meisten Administratoren überrascht, ist, dass die Zählung über verschachtelte Records kumulativ ist. Wenn Sie include:_spf.google.com schreiben, ist das 1 Lookup für das Include selbst, aber Googles SPF Record enthält 3 weitere Includes, was 3 weitere Lookups hinzufügt. Eine Zeile in Ihrem Record kostet Sie 4 Lookups von Ihren 10. Fügen Sie ein paar weitere Dienste hinzu und Sie überschreiten das Limit, bevor Sie es merken.

Die zweite Grenze ist die 255-Zeichen-String-Grenze für DNS TXT-Einträge. Diese wird seltener erreicht, da die meisten DNS-Anbieter die String-Aufteilung automatisch handhaben, aber sie kann bei bestimmten Anbietern oder beim manuellen Bearbeiten von Zone-Dateien Probleme verursachen. Ein 2048-Bit DKIM-Schlüssel in derselben Zone strapaziert dieses Limit bereits, sodass komplexe SPF Records mit vielen IP-Bereichen es leicht überschreiten können. Dieser Prüfer validiert beide Einschränkungen und zeigt Ihnen genau, wo Sie stehen.

So prüfen Sie die SPF Record-Länge und Lookup-Anzahl

1. Fügen Sie Ihren vollständigen SPF Record ein, beginnend mit v=spf1
2. Der Prüfer zählt die Gesamtzeichen und ermittelt, ob eine Multi-String-Formatierung erforderlich ist
3. Jeder DNS-abfragende Mechanismus wird gezählt: include, a, mx, ptr, exists, redirect
4. IP-basierte Mechanismen (ip4, ip6) werden als nicht zählend identifiziert
5. Überprüfen Sie die Aufschlüsselung, die zeigt, welche Mechanismen DNS-Lookups verbrauchen
6. Beheben Sie eventuelle Warnungen zu überschrittenen oder grenznahen Schwellenwerten

Beispiele zur SPF-Lookup-Anzahl

Mechanismen, die als DNS-Lookups zählen

include:  -> 1 lookup (plus nested lookups from the included record)
a         -> 1 lookup
mx        -> 1 lookup
ptr       -> 1 lookup (deprecated, avoid using)
exists:   -> 1 lookup
redirect= -> 1 lookup

Mechanismen, die NICHT zählen

ip4:203.0.113.0/24  -> 0 lookups
ip6:2001:db8::/32   -> 0 lookups
all                 -> 0 lookups

Wann Sie den SPF-Längenprüfer verwenden sollten

• Nach dem Hinzufügen eines neuen E-Mail-Dienstes um zu überprüfen, dass Sie das 10-Lookup-Limit nicht überschritten haben
• Fehlerbehebung bei "too many DNS lookups"-Fehlern in E-Mail-Authentifizierungsberichten (DMARC-Aggregationsberichte)
• Übernahme einer komplexen SPF-Konfiguration von einem vorherigen Administrator, um den aktuellen Stand zu prüfen
• Vor dem Ausrollen von SPF-Änderungen in die Produktion, um unbeabsichtigte Zustellungsprobleme zu vermeiden
• SPF Records optimieren indem Sie identifizieren, welche Includes die meisten verschachtelten Lookups beitragen
• Während des DMARC-Rollouts um sicherzustellen, dass SPF gesund ist, bevor Sie Ihre DMARC-Richtlinie verschärfen

Wie SPF-Lookup-Grenzen funktionieren

Die 10-Lookup-Regel

RFC 7208 begrenzt die SPF-Auswertung auf 10 DNS-Mechanismen, um Denial-of-Service-Angriffe durch rekursive DNS-Abfragen zu verhindern. Wenn das Limit überschritten wird, gibt die SPF-Prüfung einen permanenten Fehler (permerror) zurück, den die meisten empfangenden Server als SPF-Fehler interpretieren.

Verschachtelte Lookups sind kumulativ

Das 10-Lookup-Limit umfasst alle verschachtelten Lookups. Betrachten Sie diese Kette:

Your record:     v=spf1 include:_spf.google.com include:spf.example.com -all
                 -> 2 direct lookups

_spf.google.com: v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all
                 -> 3 more lookups

Total:           2 + 3 = 5 lookups (before resolving spf.example.com)

Jedes include in Googles Record zählt gegen die Gesamtzahl Ihrer Domain. Wenn spf.example.com 6 weitere Lookups hinzufügt, würden Sie 11 erreichen und einen permerror auslösen.

Typische Lookup-Kosten pro Dienst

Diese Zahlen können sich ändern, wenn Anbieter ihre Infrastruktur aktualisieren. Überprüfen Sie die aktuellen Werte stets mit diesem Prüfer.

Das 255-Zeichen-String-Limit

DNS TXT-Einträge speichern Daten in Strings von jeweils bis zu 255 Zeichen. Ein einzelner TXT-Eintrag kann mehrere Strings enthalten, die beim Abruf zusammengefügt werden. Wenn Ihr SPF Record 255 Zeichen überschreitet, muss er aufgeteilt werden:

"v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.0/24 "
"include:_spf.google.com include:spf.protection.outlook.com -all"

Die meisten DNS-Anbieter handhaben diese Aufteilung automatisch, einige erfordern jedoch manuelle Formatierung.

So reduzieren Sie die SPF-Lookup-Anzahl

Wenn Sie am oder nahe dem 10-Lookup-Limit sind, gibt es mehrere Strategien, um die Anzahl zu senken. Der effektivste Ansatz ist SPF-Abflachung, bei der Sie include-Mechanismen durch die ip4- und ip6-Adressen ersetzen, zu denen sie aufgelöst werden. Wenn beispielsweise include:mail.example.com zu einer einzelnen IP aufgelöst wird, können Sie es durch ip4:203.0.113.5 ersetzen und so einen Lookup sparen. Der Nachteil ist, dass bei einer Änderung der IP-Adressen durch den Anbieter Ihr Record veraltet und legitime E-Mails die SPF-Prüfung nicht bestehen. Automatisierte Abflachungsdienste lösen dies, indem sie regelmäßig prüfen und Ihren Record aktualisieren.

Eine weitere gängige Optimierung ist das Entfernen von Mechanismen, die Sie nicht mehr benötigen. Im Laufe der Zeit sammeln Organisationen Includes für Dienste an, die sie nicht mehr nutzen -- eine ehemalige Marketing-Plattform, ein stillgelegter Helpdesk, ein veralteter transaktionaler E-Mail-Anbieter. Prüfen Sie Ihre Includes gegen die Dienste, die heute tatsächlich E-Mails versenden, und entfernen Sie alle, die nicht mehr aktiv sind. Sie sollten auch ptr-Mechanismen entfernen, die durch RFC 7208 veraltet sind, unzuverlässig funktionieren und einen Lookup verschwenden.

• include durch ip4/ip6 ersetzen: Eingebundene Domains zu ihren tatsächlichen IP-Bereichen abflachen (erfordert Wartung bei IP-Änderungen der Anbieter)
• Ungenutzte Dienste entfernen: Prüfen, welche Dienste noch aktiv E-Mails für Ihre Domain versenden
• ptr-Mechanismen entfernen: Sie sind durch RFC 7208 veraltet und verschwenden einen Lookup
• SPF Record-Abflachungsdienste nutzen: Automatisierte Tools, die Includes zu IPs auflösen und aktuell halten
• Redundante a und mx entfernen: Wenn diese IPs bereits durch ip4-Mechanismen abgedeckt sind
• Eine dedizierte SPF-Richtlinien-Domain verwenden: Komplexe SPF-Logik auf eine Subdomain verlagern mittels redirect=

Häufig gestellte Fragen

Was passiert, wenn Sie das 10-DNS-Lookup-Limit überschreiten?

Die SPF-Prüfung gibt einen permanenten Fehler (permerror) zurück. Die meisten empfangenden Mailserver behandeln dies als SPF-Fehler. In Kombination mit einer strengen DMARC-Richtlinie kann dies dazu führen, dass legitime E-Mails in Quarantäne gestellt oder vollständig abgelehnt werden. Das Gefährliche ist, dass es keinen sofort sichtbaren Fehler gibt -- der Fehler erscheint nur in DMARC-Berichten oder wenn Empfänger Ihnen mitteilen, dass Ihre Post im Spam landet.

Zählen ip4- und ip6-Mechanismen zum Lookup-Limit?

Nein. Nur Mechanismen, die eine DNS-Abfrage erfordern, zählen: include, a, mx, ptr, exists und redirect. Literale IP-Adress-Mechanismen (ip4, ip6) werden lokal ausgewertet und verbrauchen null Lookups. Deshalb ist das Abflachen von Includes zu IP-Adressen eine effektive Optimierung.

Wie erfahre ich, wie viele Lookups Google Workspace oder Microsoft 365 verbraucht?

Googles _spf.google.com wird derzeit zu 3 verschachtelten Includes aufgelöst und verbraucht insgesamt 4 Lookups (1 für das Include selbst plus 3 verschachtelte). Microsofts spf.protection.outlook.com verwendet typischerweise 2 Lookups insgesamt. Diese Zahlen können sich ändern, wenn Anbieter ihre Infrastruktur aktualisieren, prüfen Sie daher regelmäßig mit diesem Tool.

Kann ich mehr als 10 Lookups haben, wenn ich auf Subdomains aufteile?

Jeder SPF Record einer Domain hat sein eigenes 10-Lookup-Limit. Wenn Ihre Hauptdomain am Limit ist, können Sie es nicht durch Aufteilung erhöhen. Wenn jedoch verschiedene Subdomains unabhängig E-Mails versenden, wird der SPF jeder Subdomain separat gegen das eigene Limit ausgewertet. Der redirect=-Mechanismus kann auf eine dedizierte Richtlinien-Domain verweisen, aber die Lookups aus dem weitergeleiteten Record zählen weiterhin gegen das 10-Lookup-Limit der ursprünglichen Auswertung.

Warum funktioniert mein SPF Record bei einigen Empfängern, aber nicht bei anderen?

Verschiedene empfangende Server handhaben das Lookup-Limit unterschiedlich. Einige Server stoppen die Auswertung bei genau 10 Lookups, während andere 11 oder 12 zulassen, bevor sie einen permerror zurückgeben. Wenn Ihr Record genau an der Grenze liegt, kann er bei einigen Servern bestehen und bei anderen fehlschlagen, was zu inkonsistenter Zustellung führt.

Verwandte Tools

• SPF Record Builder - SPF Records mit korrekter Syntax erstellen
• DKIM TXT Record Formatter - DKIM Records mit korrekter Quotierung formatieren
• DMARC Record Builder - DMARC Records mit allen Richtlinien-Tags erstellen
• DNS Record Set Deduper - Doppelte DNS-Einträge finden und entfernen
• Zone File Linter - Zone-Dateien auf Syntaxfehler und Duplikate prüfen