domainsecuritycheck

← Record Studio

SPF

SPF (Sender Policy Framework, RFC 7208) listet die Server auf, die E-Mails für Ihre Domain versenden dürfen. Die Policy wird als einzelner TXT-Record unter genau dem Namen veröffentlicht, für den sie gilt — RFC 7208, Abschnitt 3 legt jeden Record „in the DNS tree at the owner name it pertains to, not in a subdomain under the owner name“ ab. Eine Subdomain erbt den Record ihrer übergeordneten Domain nicht; jede Domain, die als Envelope-Absender auftritt, braucht einen eigenen. Empfänger prüfen ihn gegen den Envelope-Absender jeder eingehenden Nachricht.

Eine Domain darf genau einen SPF-Record veröffentlichen. Existiert bereits ein TXT-Record, der mit v=spf1 beginnt, ersetzen Sie ihn oder übernehmen Sie Ihre Mechanismen dort hinein – ein zweiter Record lässt SPF dauerhaft fehlschlagen (Permerror). Der veraltete ptr-Mechanismus sollte nicht mehr veröffentlicht werden und wird hier nie erzeugt.
Die SPF-Auswertung endet oberhalb von 10 DNS-abfragenden Termen mit einem PermError (RFC 7208 §4.6.4): Die Mechanismen a, mx, ptr, exists: und include: sowie der Modifier redirect= zählen alle mit, und include:-/redirect=-Ziele bringen eigene Terme obendrauf. Manche Provider-Includes sind ein einzelner Lookup, andere bringen vier oder mehr mit – prüfen statt schätzen. ip4:, ip6:, all und exp= zählen nicht aufs Limit. Darüber liefern Empfänger einen PermError, SPF besteht dann weder noch schlägt es fehl.

Der Record wird unter genau diesem Namen veröffentlicht — dem, der unten unter „Name/Host“ steht. Nicht unter einem vorangestellten Namen und nicht am Apex, sofern Sie nicht den Apex eingegeben haben: Eine Subdomain erbt den darüberliegenden Record nicht (RFC 7208, Abschnitt 3). Tragen Sie die Domain ein, die tatsächlich in Ihrem Envelope-Absender steht.

~all (Softfail) ist mit DMARC die weiterleitungsfreundlichere Wahl: Weitergeleitete Mail besteht SPF oft nicht, und manche Empfänger weisen bei einem SPF-Hard-Fail ab, bevor DMARC überhaupt ausgewertet wird (RFC 9989 §7.1) – auch dort, wo eine ausgerichtete DKIM-Signatur bestanden hätte. Solche Nachrichten tauchen zudem nie in Ihren Aggregatberichten auf, weil die Verbindung vor DATA endet. Mit DMARC sind beide korrekt; -all ist das stärkere Signal für Empfänger ohne DMARC-Auswertung und die richtige Wahl für nicht versendende/geparkte Domains. Veröffentlichen Sie niemals +all oder ?all – sie autorisieren jeden beliebigen Absender.

Komma- oder leerzeichengetrennt; CIDR-Bereiche sind erlaubt.

Komma- oder leerzeichengetrennt; CIDR-Bereiche sind erlaubt.

Nur anhaken, wenn die Domain wirklich A/AAAA- bzw. MX-Records veröffentlicht. Jeder der beiden verbraucht einen der 10 DNS-abfragenden Terme, ob er etwas findet oder nicht – und eine leer zurückkommende Abfrage ist ein „Void Lookup“, von denen RFC 7208 §4.6.4 höchstens zwei zulassen SOLL, bevor ein PermError entsteht. Zwei leere Häkchen kosten also zwei Terme, autorisieren nichts und lassen für keinen dritten leeren Lookup im übrigen Record mehr Platz.

Komma- oder leerzeichengetrennte Domains; je ein DNS-Lookup, und Includes expandieren rekursiv.

Liest die MX-Records Ihrer Domain, erkennt den Mail-Anbieter und ergänzt dessen include:. MX beschreibt eingehende Mail, SPF autorisiert ausgehende — der Vorschlag deckt Ihren Mailbox-Anbieter ab; Includes für weitere Dienste, die für Sie versenden (Newsletter, CRM, Transaktionsmail), bitte separat ergänzen.

Weitere Versanddienste (Marketing / Transaktion)

Haken Sie jeden Dienst an, der ebenfalls Mail für Ihre Domain versendet — Newsletter, Transaktions-/API-Mail — um dessen include: zu ergänzen. Das sind reine Versender; Ihr Mailbox-Anbieter kommt über die Schaltfläche oben. Bei Diensten mit regionaler Infrastruktur (z. B. CodeTwo) wählen Sie die Rechenzentrums-Region Ihres Tenants — nur der Include dieser Region gehört in den Record. Das Auswahlfeld steht anfangs auf keiner Region: Dieses Formular kann Ihren Tenant nicht kennen, und eine nicht gewählte Region lässt den Include weg, statt einen zu raten. Beachten Sie das 10-Lookup-Limit: jeder Include zählt und expandiert rekursiv.

Records werden in Ihrem Browser erzeugt; „Aktuellen Record laden“ lässt unseren Server das DNS Ihrer Domain abfragen. Record Studio · Ergebnis mit dem Domain-Sicherheitscheck prüfen