Warum SPF-Syntax vor der Veröffentlichung validieren?
Ein fehlerhafter SPF-Eintrag (Sender Policy Framework) kann sofortige Folgen haben: abgelehnte E-Mails, deaktivierte Authentifizierung oder schlimmer noch, ein falsches Sicherheitsgefühl. Die Syntaxvalidierung erkennt diese Probleme bevor sie Ihre Zustellbarkeit beeinträchtigen.
Drei Hauptanwendungsfälle:
- Neuer SPF → Struktur vor der ersten Veröffentlichung validieren
- SPF-Änderung → Überprüfen, dass Änderungen keine Fehler einführen
- Zustellbarkeitsdiagnose → Bestätigen, dass die Syntax nicht die Ablehnungen verursacht
So verwenden Sie den Validator in 3 Schritten
Schritt 1: SPF-Eintrag kopieren
Rufen Sie Ihren Eintrag ab von:
- Ihrer DNS-Schnittstelle (IONOS, Cloudflare, Route 53, etc.)
- Einem DNS-Lookup-Tool
- Direkt aus Ihrem Texteditor, wenn Sie ihn schreiben
Erwartetes Format:
v=spf1 ip4:203.0.113.0/24 include:_spf.google.com -all
Schritt 2: In den Validator einfügen
Fügen Sie den vollständigen Eintrag in das obige Formular ein. Das Tool analysiert automatisch:
- ✅ Basisstruktur (v=spf1)
- ✅ Mechanismen (ip4, ip6, mx, a, include, exists, ptr)
- ✅ Modifikatoren (redirect, exp)
- ✅ Qualifizierer (+, -, ~, ?)
- ✅ Abschlussdirektive (all)
Schritt 2b: IP testen (optional)
Geben Sie eine IP-Adresse in das dedizierte Feld ein, um zu prüfen, ob sie von der SPF-Richtlinie autorisiert ist:
- Pass (grün): Die IP ist explizit autorisiert
- Fail (rot): Die IP wird explizit abgelehnt
- Softfail (orange): Die IP ist nicht autorisiert, wird aber nicht strikt abgelehnt
- Neutral (grau): Keine Übereinstimmung oder keine Aussage
Das Tool wertet die Mechanismen von links nach rechts aus, in der Reihenfolge, in der sie im Eintrag stehen, und hält beim ersten Treffer an, gemäß RFC 7208 §4.6.2.
Schritt 3: Korrigieren und veröffentlichen
Der Bericht zeigt:
- Fehler (rot): Blockierende Probleme zu beheben
- Warnungen (orange): Sicherheitsrisiken oder Best Practices
- Informationen (blau): Details zur analysierten Struktur
Beheben Sie die Fehler und veröffentlichen Sie dann im DNS.
Was ist SPF-Syntax?
Ein SPF-Eintrag ist eine Zeichenkette, die in einem DNS-TXT-Eintrag veröffentlicht wird. Seine Syntax folgt einer präzisen Struktur, die durch RFC 7208 definiert ist:
v=spf1 [Qualifizierer]Mechanismus [Modifikator] ... Abschlussdirektive
Komponenten:
| Element | Beispiele | Rolle |
|---|---|---|
| Version | v=spf1 | Erforderlich, immer zuerst |
| Qualifizierer | +, -, ~, ? | Bestimmt die Aktion (pass, fail, softfail, neutral) |
| Mechanismus | ip4:, mx, include:, a: | Definiert autorisierte Absender |
| Modifikator | redirect=, exp= | Zusätzliche Optionen |
| Abschlussdirektive | -all, ~all, ?all | Standardaktion für Nicht-Übereinstimmungen |
Was analysiert der Validator genau?
Syntaxfehler
| Fehlercode | Beschreibung | Auswirkung |
|---|---|---|
not_spf_record | Fehlendes v=spf1 | SPF ignoriert (permerror) |
unknown_mechanism | Nicht erkannter Mechanismus | Ungültiger SPF |
mechanism_missing_value | include: ohne Domain | Ungültiger SPF |
mechanism_invalid_value | Fehlerhafte IP oder CIDR | Ungültiger SPF |
duplicate_modifier | Zwei redirect= | Ungültiger SPF |
multiple_all | Mehrere all-Direktiven | Ungültiger SPF |
Sicherheitswarnungen
| Code | Beschreibung | Risiko |
|---|---|---|
policy_neutral_all | ?all (neutral) | Kein Schutz |
policy_pass_all | +all | Autorisiert jeden |
policy_soft_fail | ~all ohne Übergang zu -all | Teilweiser Schutz |
DNS-Limits
| Code | Beschreibung | RFC-Limit |
|---|---|---|
lookup_limit_exceeded | Mehr als 10 DNS-Lookups | 10 max |
void_lookup_limit_exceeded | Zu viele leere Antworten | 2 max |
lookup_cycle | Referenzschleife | Verboten |
Konkrete Anwendungsfälle
Fall 1: Neue Domain, erster SPF
Situation: Sie richten E-Mail für captaindns.com mit Google Workspace ein.
Aktion: Vor der Veröffentlichung validieren:
v=spf1 include:_spf.google.com -all
Erwartetes Ergebnis:
- ✅ Gültige Syntax
- ✅ 1 DNS-Lookup (unter dem Limit von 10)
- ✅ Strikte Abschlussdirektive (-all)
Fall 2: Neuen Marketing-Dienst hinzufügen
Situation: Sie fügen Mailchimp zu Ihrem bestehenden SPF hinzu.
Aktueller SPF:
v=spf1 include:_spf.google.com -all
Modifizierter SPF:
v=spf1 include:_spf.google.com include:servers.mcsv.net -all
Validierung: Bestätigen Sie, dass die Ergänzung 10 Lookups nicht überschreitet und die Syntax gültig bleibt.
Fall 3: "permerror" in der Produktion
Symptom: Ihre E-Mails schlagen mit SPF permerror fehl.
Diagnose: Fügen Sie den Eintrag in den Validator ein.
Erkannter Fehler:
v=spf1 ip4:203.0.113.42 include: -all
Fehler: mechanism_missing_value - include: ohne Domain.
Korrektur:
v=spf1 ip4:203.0.113.42 include:_spf.captaindns.com -all
Fall 4: Zu viele DNS-Lookups
Symptom: Der Validator zeigt lookup_limit_exceeded.
Diagnose: Ihr SPF hat zu viele includes:
v=spf1 include:_spf.google.com include:spf.protection.outlook.com include:amazonses.com include:_spf.salesforce.com include:sendgrid.net include:mailchimp.com -all
Lösungen:
- Ersetzen Sie einige includes durch direkte ip4/ip6
- Verwenden Sie eine dedizierte Subdomain (z. B.
marketing.captaindns.com) - Entfernen Sie ungenutzte Dienste
- Verwenden Sie unseren SPF Flattener, um Includes automatisch in IPs aufzulösen
IP gegen die SPF-Richtlinie testen
Warum eine IP gegen einen SPF-Eintrag testen?
Wenn eine E-Mail empfangen wird, prüft der Empfängerserver, ob die IP des Absenders durch den SPF der Domain autorisiert ist. Ist die IP nicht abgedeckt, kann die E-Mail abgelehnt oder als verdächtig markiert werden.
Häufige Anwendungsfälle:
- Neuer Mailserver → Prüfen Sie vor dem ersten Versand, dass die IP abgedeckt ist
- Drittanbieter-Dienst (Mailchimp, SendGrid, SES) → Bestätigen Sie, dass das include die IPs des Anbieters abdeckt
- Diagnose von "SPF fail" → Identifizieren Sie genau, welcher Mechanismus die IP ablehnt
- Server-Migration → Testen Sie neue IPs vor der Abschaltung der alten
Wie funktioniert der IP-Test?
Das Tool wertet den SPF-Eintrag Mechanismus für Mechanismus aus, von links nach rechts, in der Reihenfolge, in der Sie sie geschrieben haben. Der erste passende Mechanismus bestimmt das Ergebnis: dort endet die Auswertung. Die folgenden werden nie geprüft. Bei v=spf1 include:_spf.google.com ip4:203.0.113.10 -all wird das ip4: nie erreicht, wenn der Include bereits passt. Deshalb gehören die Mechanismen nach vorn, die den Großteil Ihres Verkehrs abdecken.
Jeder Mechanismus-Typ wird auf eigene Weise geprüft:
- ip4 / ip6: Direkte IP- oder CIDR-Übereinstimmung
- a: DNS-Auflösung der Domain, Vergleich mit der IP
- mx: Auflösung der MX-Server, dann ihrer IPs
- include: Rekursive Auswertung des SPF der eingebundenen Domain
- all: Universelle Übereinstimmung (Ergebnis abhängig vom Qualifizierer)
Stimmt kein Mechanismus überein und gibt es keine all-Direktive, ist das Ergebnis "neutral".
FAQ - Häufig gestellte Fragen
F: Was ist ein SPF-Eintrag?
A: SPF (Sender Policy Framework) ist ein DNS-TXT-Eintrag, der Server auflistet, die berechtigt sind, E-Mails für Ihre Domain zu senden. Format: v=spf1 gefolgt von Mechanismen (ip4, mx, include) und einer Abschlussdirektive (-all, ~all).
F: Warum sollte man die SPF-Syntax vor der Veröffentlichung validieren?
A: Ein fehlerhafter SPF-Eintrag erzeugt einen permanenten Fehler (permerror), der alle Ihre E-Mails ablehnen oder die SPF-Überprüfung vollständig deaktivieren kann. Die Validierung vor der Veröffentlichung verhindert Dienstunterbrechungen.
F: Was ist das DNS-Lookup-Limit für SPF?
A: RFC 7208 begrenzt die SPF-Auswertung auf 10 DNS-Lookups. Jedes include, a, mx, ptr, redirect und exists zählt. Das Überschreiten dieses Limits erzeugt einen permerror und kann die Authentifizierung fehlschlagen lassen.
F: Was bedeutet der Qualifizierer -all vs ~all?
A:
-all(hard fail): Lehnt nicht autorisierte E-Mails ab~all(soft fail): Markiert als verdächtig, akzeptiert aber
Beginnen Sie mit ~all zum Testen, wechseln Sie dann zu -all in der Produktion für maximalen Schutz.
F: Wie behebe ich den Fehler "too many DNS lookups"?
A:
- Ersetzen Sie includes durch direkte
ip4/ip6 - Entfernen Sie ungenutzte Mechanismen
- Verwenden Sie Subdomains mit eigenem SPF
- Vermeiden Sie
ptr(veraltet und teuer in Lookups)
F: Kann ich mehrere SPF-Einträge haben?
A: Nein. Die RFC erfordert einen einzigen SPF-Eintrag pro Domain. Mehrere Einträge erzeugen einen permerror. Führen Sie Ihre Richtlinien in einem TXT zusammen, der mit v=spf1 beginnt.
F: Validiert das Tool die eingebundenen Domains?
A: Der Validator prüft die Syntax der durch include und redirect referenzierten Domains. Für eine vollständige Analyse mit DNS-Auflösung und rekursiver Lookup-Zählung verwenden Sie den SPF-Inspektor.
Ergänzende Tools
| Tool | Zweck |
|---|---|
| SPF-Generator | Einen gültigen SPF-Eintrag aus Ihren E-Mail-Anbietern erstellen |
| SPF-Inspektor | Veröffentlichten SPF mit vollständiger DNS-Auflösung analysieren |
| SPF Flattener | SPF vereinfachen und unter dem 10-Lookup-Limit bleiben |
| DKIM-Inspektor | Ihre DKIM-Signatur validieren |
| DMARC-Inspektor | Ihre DMARC-Richtlinie konfigurieren und testen |
| DMARC Validator | Die Syntax eines DMARC-Eintrags vor der DNS-Veröffentlichung prüfen |
| E-Mail-Header-Analyzer | SPF/DKIM/DMARC bei einer empfangenen E-Mail diagnostizieren |
Nützliche Ressourcen
- RFC 7208 - Sender Policy Framework (offizielle SPF-Spezifikation)
- Google - SPF einrichten (Google Workspace-Anleitung)
- Microsoft - SPF für Microsoft 365 (Outlook/M365-Anleitung)