SPF-Syntaxprüfer

Aufbau eines SPF-Eintrags verstehen

Sender Policy Framework (SPF) legt fest, welche Server E-Mails für eine Domain versenden dürfen. Die Richtlinie steht in einem TXT-Eintrag, der mit v=spf1 beginnt und anschließend Mechanismen sowie Modifikatoren enthält. Diese Seite erklärt, was der Validator untersucht und wie Sie die API-Antwort lesen.

Anatomie einer SPF-Richtlinie

Ein SPF-Eintrag besteht aus durch Leerzeichen getrennten Begriffen. Jeder Begriff kann mit einem Qualifizierer (+, -, ~, ?) beginnen und anschließend einen Mechanismus (ip4, mx, include …) oder einen Modifikator (redirect=, exp=) enthalten.

v=spf1 ip4:203.0.113.0/24 include:_spf.example.net -all

Unverzichtbare Bestandteile

v=spf1 — der Versionshinweis muss vorhanden sein und am Anfang stehen.
Mechanismen — mindestens ein Mechanismus (ip4, ip6, mx, include …) definiert die autorisierten Absender.
Abschließende Direktive — ein letzter Mechanismus (-all, ~all, ?all oder +all) schließt die Richtlinie ab und bestimmt, wie nicht passende Mails behandelt werden.

Optionale Modifikatoren

include: bindet einen weiteren SPF-Eintrag ein und löst zusätzliche DNS-Abfragen aus.
redirect= überträgt die Auswertung auf eine andere Domain. Der Begriff muss am Ende stehen und darf nicht mit all kombiniert werden.
exp= verweist auf einen erklärenden TXT-Eintrag. Der Modifikator gilt als veraltet und liefert nur Hinweise.

Häufige Fehler, die das Tool meldet

Zu langer Eintrag. Richtlinien mit mehr als 450 Zeichen werden abgelehnt.
Unbekannte oder doppelte Begriffe. Falsch geschriebene Mechanismen und wiederholte Modifikatoren führen zu Fehlern.
Ungültige IP-Präfixe oder Domains. Der Validator prüft die Syntax von CIDR-Netzen und Hostnamen.
Lookup-Grenzen überschritten. Nach zehn DNS-Abfragen (durch include, mx, a, ptr, exists) stoppt die Auswertung.
Zu laxe Richtlinien. Der Qualifizierer ? und +all schwächen die Absicherung und erscheinen als Warnungen.

Gute Vorbereitung vor der Veröffentlichung

Halten Sie die Richtlinie schlank und entfernen Sie ungenutzte Mechanismen, um Lookup-Grenzen einzuhalten.
Verwenden Sie bevorzugt ip4- und ip6-Netze, die Sie oder Ihr Anbieter kontrollieren.
Dokumentieren Sie jede include-Kette und überprüfen Sie delegierte Domains regelmäßig.
Testen Sie den finalen Eintrag mit diesem Validator und kontrollieren Sie anschließend die DNS-Antworten nach der Veröffentlichung.

Eine frühzeitige Syntaxprüfung senkt das Risiko fehlerhafter SPF-Richtlinien und spart Zeit bei der Fehlersuche, falls Mails abgelehnt werden.