Reicht SPF, um Spoofing zu verhindern?

Nein. SPF prüft den verborgenen Umschlag-Absender, nicht die Absenderadresse (From), die Menschen sehen. Sie brauchen zusätzlich DMARC; es verknüpft SPF und DKIM mit der sichtbaren From-Adresse.

Wie lange dauert eine Änderung an meinem SPF-Eintrag?

Meist wenige Minuten bis einige Stunden, abhängig von der TTL des Eintrags. Führen Sie die Prüfung nach der Änderung erneut aus.

Brauche ich SPF auf einer Domain, die nie E-Mails versendet?

Ja. Veröffentlichen Sie „v=spf1 -all“ und einen DMARC-Eintrag mit p=reject, damit niemand in ihrem Namen Mails versenden kann.

SPF-Eintrag prüfen

Prüfen Sie den SPF-Eintrag jeder Domain. Wir testen die Syntax, zählen die DNS-Abfragen im Vergleich zum Limit von 10 und sagen Ihnen genau, was Sie ändern müssen. DKIM, DMARC und MTA-STS werden im selben Bericht geprüft.

Was ist SPF?

SPF (Sender Policy Framework) ist ein TXT-Eintrag in Ihrem DNS, der auflistet, welche Server E-Mails für Ihre Domain senden dürfen. Empfangende Mailserver vergleichen den sendenden Server mit dieser Liste. Ein Eintrag sieht so aus:

v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all

Die häufigsten SPF-Fehler

Zwei SPF-Einträge. Eine Domain darf nur einen Eintrag haben, der mit v=spf1 beginnt. Bei zwei Einträgen behandeln Empfänger SPF als fehlerhaft. Fassen Sie sie zu einem zusammen.

Mehr als 10 DNS-Abfragen. Jedes include, a, mx und redirect kostet eine Abfrage – auch die innerhalb anderer includes. Über 10 schlägt SPF fehl. Entfernen Sie Dienste, die Sie nicht mehr nutzen, oder fragen Sie Ihren Anbieter nach einem „geflatteten“ include.

+all am Ende. Damit darf jeder Server der Welt in Ihrem Namen senden. Verwenden Sie -all (ablehnen) oder ~all (Soft Fail).

Einen Absender vergessen. Newsletter, Rechnungssoftware und das Kontaktformular Ihrer Website senden oft in Ihrem Namen. Fügen Sie jeden davon hinzu, sonst landen deren Mails im Spam.

~all oder -all?

~all bittet Empfänger, Mails von anderen Servern anzunehmen, aber zu markieren; -all bittet sie, diese abzulehnen. Mit DMARC ist der Unterschied gering, weil DMARC entscheidet, was passiert. Beginnen Sie mit ~all und wechseln Sie zu -all, sobald Sie alle Ihre Absender kennen.

Fragen

Reicht SPF, um Spoofing zu verhindern?: Nein. SPF prüft den verborgenen Umschlag-Absender, nicht die Absenderadresse (From), die Menschen sehen. Sie brauchen zusätzlich DMARC; es verknüpft SPF und DKIM mit der sichtbaren From-Adresse.
Wie lange dauert eine Änderung an meinem SPF-Eintrag?: Meist wenige Minuten bis einige Stunden, abhängig von der TTL des Eintrags. Führen Sie die Prüfung nach der Änderung erneut aus.
Brauche ich SPF auf einer Domain, die nie E-Mails versendet?: Ja. Veröffentlichen Sie „v=spf1 -all“ und einen DMARC-Eintrag mit p=reject, damit niemand in ihrem Namen Mails versenden kann.

OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com