SPF Validator

Warum SPF-Syntax vor der Veröffentlichung validieren?

Ein fehlerhafter SPF-Eintrag (Sender Policy Framework) kann sofortige Folgen haben: abgelehnte E-Mails, deaktivierte Authentifizierung oder schlimmer noch, ein falsches Gefühl von Sicherheit. Die Syntaxvalidierung erkennt diese Probleme bevor sie Ihre Zustellbarkeit beeinträchtigen.

Drei Hauptanwendungsfälle:

• Neuer SPF -> Struktur vor der ersten Veröffentlichung validieren
• SPF-Änderung -> Überprüfen, dass Änderungen keine Fehler einführen
• Zustellbarkeitsdiagnose -> Bestätigen, dass die Syntax nicht die Ablehnungen verursacht

So verwenden Sie den Validator in 3 Schritten

Schritt 1: SPF-Eintrag kopieren

Rufen Sie Ihren Eintrag ab von:

• Ihrer DNS-Schnittstelle (IONOS, Cloudflare, Route 53, etc.)
• Einem DNS-Lookup-Tool
• Direkt aus Ihrem Texteditor, wenn Sie ihn schreiben

Erwartetes Format:

v=spf1 ip4:203.0.113.0/24 include:_spf.google.com -all

Schritt 2: In den Validator einfügen

Fügen Sie den vollständigen Eintrag in das obige Formular ein. Das Tool analysiert automatisch:

• ✅ Basisstruktur (v=spf1)
• ✅ Mechanismen (ip4, ip6, mx, a, include, exists, ptr)
• ✅ Modifikatoren (redirect, exp)
• ✅ Qualifizierer (+, -, ~, ?)
• ✅ Abschlussdirektive (all)

Schritt 3: Korrigieren und veröffentlichen

Der Bericht zeigt:

• Fehler (rot): Blockierende Probleme zu beheben
• Warnungen (orange): Sicherheitsrisiken oder Best Practices
• Informationen (blau): Details zur analysierten Struktur

Beheben Sie die Fehler und veröffentlichen Sie dann im DNS.

Was ist SPF-Syntax?

Ein SPF-Eintrag ist eine Zeichenkette, die in einem DNS-TXT-Eintrag veröffentlicht wird. Seine Syntax folgt einer präzisen Struktur, die durch RFC 7208 definiert ist:

v=spf1 [Qualifizierer]Mechanismus [Modifikator] ... Abschlussdirektive

Komponenten:

Was analysiert der Validator genau?

Syntaxfehler

Sicherheitswarnungen

DNS-Limits

Konkrete Anwendungsfälle

Fall 1: Neue Domain, erster SPF

Situation: Sie richten E-Mail für captaindns.com mit Google Workspace ein.

Aktion: Vor der Veröffentlichung validieren:

v=spf1 include:_spf.google.com -all

Erwartetes Ergebnis:

• ✅ Gültige Syntax
• ✅ 1 DNS-Lookup (unter dem Limit von 10)
• ✅ Strikte Abschlussdirektive (-all)

Fall 2: Neuen Marketing-Dienst hinzufügen

Situation: Sie fügen Mailchimp zu Ihrem bestehenden SPF hinzu.

Aktueller SPF:

v=spf1 include:_spf.google.com -all

Modifizierter SPF:

v=spf1 include:_spf.google.com include:servers.mcsv.net -all

Validierung: Bestätigen Sie, dass die Ergänzung 10 Lookups nicht überschreitet und die Syntax gültig bleibt.

Fall 3: "permerror" in der Produktion

Symptom: Ihre E-Mails schlagen mit SPF permerror fehl.

Diagnose: Fügen Sie den Eintrag in den Validator ein.

Erkannter Fehler:

v=spf1 ip4:192.168.1.1 include: -all

Fehler: mechanism_missing_value - include: ohne Domain.

Korrektur:

v=spf1 ip4:192.168.1.1 include:_spf.captaindns.com -all

Fall 4: Zu viele DNS-Lookups

Symptom: Der Validator zeigt lookup_limit_exceeded.

Diagnose: Ihr SPF hat zu viele includes:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com include:amazonses.com include:_spf.salesforce.com include:sendgrid.net include:mailchimp.com -all

Lösungen:

1. Ersetzen Sie einige includes durch direkte ip4/ip6
2. Verwenden Sie eine dedizierte Subdomain (z.B. marketing.captaindns.com)
3. Entfernen Sie ungenutzte Dienste
4. Verwenden Sie unseren SPF Flattener, um Includes automatisch in IPs aufzulösen

FAQ - Häufig gestellte Fragen

F: Was ist ein SPF-Eintrag?

A: SPF (Sender Policy Framework) ist ein DNS-TXT-Eintrag, der Server auflistet, die berechtigt sind, E-Mails für Ihre Domain zu senden. Format: v=spf1 gefolgt von Mechanismen (ip4, mx, include) und einer Abschlussdirektive (-all, ~all).

F: Warum sollte man die SPF-Syntax vor der Veröffentlichung validieren?

A: Ein fehlerhafter SPF-Eintrag erzeugt einen permanenten Fehler (permerror), der alle Ihre E-Mails ablehnen oder die SPF-Überprüfung vollständig deaktivieren kann. Die Validierung vor der Veröffentlichung verhindert Dienstunterbrechungen.

F: Was ist das DNS-Lookup-Limit für SPF?

A: RFC 7208 begrenzt die SPF-Auswertung auf 10 DNS-Lookups. Jedes include, a, mx, ptr und exists zählt. Das Überschreiten dieses Limits erzeugt einen permerror und kann die Authentifizierung fehlschlagen lassen.

F: Was bedeutet der Qualifizierer -all vs ~all?

A:

• -all (hard fail): Lehnt nicht autorisierte E-Mails ab
• ~all (soft fail): Markiert als verdächtig, akzeptiert aber

Beginnen Sie mit ~all zum Testen, wechseln Sie dann zu -all in der Produktion für maximalen Schutz.

F: Wie behebe ich den Fehler "too many DNS lookups"?

A:

1. Ersetzen Sie includes durch direkte ip4/ip6
2. Entfernen Sie ungenutzte Mechanismen
3. Verwenden Sie Subdomains mit eigenem SPF
4. Vermeiden Sie ptr (veraltet und teuer in Lookups)

F: Kann ich mehrere SPF-Einträge haben?

A: Nein. Die RFC erfordert einen einzigen SPF-Eintrag pro Domain. Mehrere Einträge erzeugen einen permerror. Führen Sie Ihre Richtlinien in einem TXT zusammen, der mit v=spf1 beginnt.

F: Validiert das Tool die included Domains?

A: Der Validator prüft die Syntax der durch include und redirect referenzierten Domains. Für eine vollständige Analyse mit DNS-Auflösung und rekursiver Lookup-Zählung verwenden Sie den SPF-Inspektor.

Ergänzende Tools

Nützliche Ressourcen

• RFC 7208 - Sender Policy Framework (offizielle SPF-Spezifikation)
• Google - SPF einrichten (Google Workspace-Anleitung)
• Microsoft - SPF für Microsoft 365 (Outlook/M365-Anleitung)