netlupaSPF-Eintrag einer Domain prüfen
SPF legt fest, welche Server E-Mails für deine Domain senden dürfen. Gib sie ein, um die Syntax und die verbrauchten DNS-Abfragen zu prüfen.
So liest man einen SPF-Eintrag
Ein SPF ist ein TXT-Eintrag, der mit „v=spf1“ beginnt und eine Liste von Mechanismen enthält, die von links nach rechts ausgewertet werden. Zum Beispiel:
- v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Das heißt: Die Server von Google und die IP 203.0.113.10 sind autorisiert, alles andere wird abgelehnt. Vor jedem Mechanismus kann ein Qualifier stehen: + (erlauben, Standard), - (ablehnen), ~ (Softfail) oder ? (neutral).
Die wichtigste Grenze sind die 10 DNS-Abfragen: include, a, mx, ptr, exists und redirect verbrauchen je eine, auch innerhalb von include. Wird sie überschritten, schlägt SPF fehl, als gäbe es ihn nicht. Das Tool zählt alle für dich.
Jeder Eintrag im Detail
Häufige Fragen
Wie füge ich einen neuen Anbieter zu meinem SPF hinzu?
Ergänze dessen include im bestehenden Eintrag vor dem abschließenden „all“, zum Beispiel: v=spf1 include:_spf.google.com include:sendgrid.net ~all. Lege keinen zweiten SPF-Eintrag an: Mit zweien schlägt er fehl.
Was tun, wenn ich 10 Abfragen überschreite?
Entferne include von Diensten, die du nicht mehr nutzt, ersetze, was geht, durch ihre ip4/ip6-Blöcke oder nutze für Massenversand eine eigene Subdomain mit eigenem SPF.
Was ist mein DKIM-Selektor?
Öffne eine E-Mail, die du gesendet hast, sieh dir den Quelltext oder die Originalheader an und suche DKIM-Signature: Der Wert von „s=“ ist der Selektor, der von „d=“ die Domain. Google Workspace nutzt meist „google“, Microsoft 365 „selector1“ und „selector2“.
Ist „~all“ oder „-all“ besser?
Mit DMARC ist der praktische Unterschied klein, weil die DMARC-Richtlinie entscheidet. „-all“ ist strenger; „~all“ ist nachsichtiger bei Weiterleitungen und vergessenen Diensten. Ohne DMARC schützt „-all“ mehr.
Ich habe das DNS geändert und das Tool sieht es nicht. Warum?
DNS-Einträge werden so lange zwischengespeichert, wie ihre TTL angibt (oft eine Stunde). Warte diese Zeit ab und prüfe erneut. Prüfe auch, ob der Eintrag am richtigen Namen hängt (zum Beispiel _dmarc.deinedomain.de für DMARC).
Brauche ich SPF und DMARC für eine Domain, die keine E-Mails sendet?
Ja, das ist sehr empfehlenswert: Veröffentliche „v=spf1 -all“ und „v=DMARC1; p=reject;“, damit niemand diese Domain für gefälschte E-Mails nutzen kann.
Speichert ihr die Domains, die ich prüfe?
Nein. Wir fragen das öffentliche DNS im Moment der Prüfung mit unserem eigenen Resolver ab und speichern weder die Domain noch das Ergebnis.