🛡️ 1. Anatomie eines professionellen SPF-Records
SPF wird als Standard TXT-Record auf der Domäne hinterlegt. Der String beginnt immer zwingend mit v=spf1:
# BIND Zonendatei:
@ IN TXT "v=spf1 mx ip4:188.245.100.5 include:_spf.google.com -all"
# Bedeutung der einzelnen Komponenten:
# 1. v=spf1 -> Kennung als SPF Version 1
# 2. mx -> Eigene MX-Server dürfen senden
# 3. ip4:188.245.100.5 -> Dedizierte Webserver-IP darf senden
# 4. include:_spf.google.com -> Google Workspace Mailserver dürfen senden
# 5. -all -> Alle anderen Server werden strikt abgewiesen!🛑 2. Das gefürchtete 10-Lookup-Limit
RFC 7208 Void-Lookup Limit: Max. 10 DNS-Queries
Jeder include, a und mx Mechanismus löst eine neue DNS-Anfrage aus. Verschachtelte Includes (z.B. Office 365 + Zendesk + Mailchimp) summieren sich schnell auf über 10 Lookups. In diesem Fall verwerfen viele Empfänger-Server die Mail mit SPF PermError!
📑 3. Cheat-Sheet: Die 4 SPF-Qualifier
| Qualifier | Name | Auswirkung beim Empfänger | Empfehlung |
|---|---|---|---|
-all |
HardFail | Mails von ungelisteten IPs werden abgewiesen | Best Practice |
~all |
SoftFail | Wird angenommen, aber als Spam markiert | Nur für Übergangsphase |
?all |
Neutral | Keine Schutzwirkung | Vermeiden |
+all |
Pass | Jeder Server weltweit darf fälschen! | VERBOTEN |