Was ist SPF?

Einfach erklärt

SPF ist eine öffentliche Liste: Welche Server dürfen E-Mails im Namen Ihrer Firma verschicken? Man kann es sich wie eine Liste am Empfang vorstellen. Wer nicht draufsteht, wird genauer angesehen. Kommt eine Mail mit Ihrer Adresse an, schaut der empfangende Server nach, ob sie von einem Server stammt, den Sie freigegeben haben.

Woran Sie merken, dass es fehlt oder falsch ist

Ihre Mails landen bei Kunden häufiger im Spam, oder einzelne Programme kommen gar nicht an, etwa der Versand von Rechnungen aus der Buchhaltung. Gefälschte Mails mit Ihrer Adresse fallen schwerer auf.

Was Sie tun können

Ihr IT-Dienstleister oder Mailanbieter richtet den Eintrag ein. Wichtig ist, dass jeder Dienst auf der Liste steht, der für Sie Mails verschickt. Das ist mehr als das Postfach: Newsletter, Rechnungsprogramm, Onlineshop, Kontaktformular der Website, Ticketsystem. Fragen Sie bei jedem neuen Dienst, ob er in SPF eingetragen werden muss.

Was SPF nicht kann

SPF prüft nicht die Absenderadresse, die Ihre Kunden im Postfach sehen, sondern eine technische Adresse im Hintergrund. Allein schützt es Ihre sichtbare Adresse deshalb nicht vor Fälschungen. Das leistet erst DMARC zusammen mit SPF und DKIM. Außerdem scheitert SPF bei weitergeleiteten Mails, weil dann ein fremder Server die Mail zustellt.

Funktionsweise

SPF ist ein TXT-Eintrag direkt auf der Domain, beginnend mit v=spf1. Der empfangende Server prüft die sendende IP-Adresse gegen die Mechanismen des Eintrags, und zwar für die Domain aus MAIL FROM (Umschlag-Absender, Return-Path), bei leerem MAIL FROM für den HELO-Namen. Das Ergebnis ist pass, fail, softfail, neutral, none, temperror oder permerror.

ihre-firma.de.  IN  TXT  "v=spf1 include:spf.protection.outlook.com include:_spf.example-newsletter.net -all"

Abschluss: -all oder ~all

Der letzte Mechanismus legt fest, was mit allen übrigen Servern geschieht: -all (fail), ~all (softfail) oder ?all (neutral). +all erlaubt jedem Server der Welt, für Sie zu senden, und macht den Eintrag wertlos.

Beide gängigen Varianten sind vertretbar. Mit einer DMARC-Richtlinie entscheidet am Ende DMARC. Manche Empfänger lehnen bei -all aber schon vor der DMARC-Prüfung ab. Das kann weitergeleitete Mails treffen, die über eine gültige DKIM-Signatur DMARC noch bestanden hätten.

Typische Fehler

• Zwei SPF-Einträge auf derselben Domain. Das ergibt nach RFC 7208 Abschnitt 4.5 permerror. Mehrere Dienste gehören in einen einzigen Eintrag.
• Mehr als zehn DNS-Abfragen. include, a, mx, ptr, exists und redirect zählen mit, auch verschachtelt in den eingebundenen Einträgen. Ab der elften ist das Ergebnis permerror (Abschnitt 4.6.4). ip4 und ip6 zählen nicht.
• Mehr als zwei leere Abfragen. Verweise auf Namen ohne Eintrag (void lookups) sollen ab der dritten ebenfalls zu permerror führen.
• Kein Abschluss oder +all. Ohne all endet die Prüfung mit neutral.
• Dienst vergessen. Ein neuer Versanddienst sendet mit Ihrer Domain im Umschlag, steht aber nicht im Eintrag.

Prüfen

dig +short TXT ihre-firma.de | grep spf1

Zusammenspiel mit DMARC

Für DMARC zählt SPF nur, wenn die geprüfte Domain zur Domain im From: passt (Alignment). Viele Versanddienste verwenden im Umschlag ihre eigene Domain. Dann besteht SPF, hilft DMARC aber nicht weiter. In diesem Fall braucht der Dienst eine eigene Umschlag-Domain unter Ihrer Domain oder eine DKIM-Signatur mit Ihrer Domain.