Was SPF macht

So funktioniert es

SPF (Sender Policy Framework) ist ein Eintrag im DNS deiner Domain, ein sogenannter TXT-Record. Er listet die Server auf, die in deinem Namen Mails senden dürfen. Kommt eine Mail an, vergleicht der Empfänger die Adresse des einliefernden Servers mit dieser Liste.

Ein einfacher Record sieht so aus:

v=spf1 mx include:_spf.dein-newsletter-anbieter.example ~all

• mx erlaubt die Mailserver deiner Domain.
• include: übernimmt die Liste eines Dienstes, über den du sendest, etwa ein Newsletter-Tool, ein Shop oder ein CRM.
• ip4: und ip6: erlauben einzelne Adressen oder Netze.
• ~all am Ende sagt: Alles andere ist verdächtig. -all sagt: Alles andere ablehnen.

Worauf es ankommt

• Genau ein SPF-Record. Zwei Records machen SPF ungültig. Fasse mehrere zu einem zusammen.
• Höchstens 10 DNS-Abfragen. Jedes include, a, mx und redirect kostet eine Abfrage, verschachtelte zählen mit. Entferne Dienste, die du nicht mehr nutzt.
• Ein klares Ende. Mit +all oder ohne all schützt der Record nicht.
• Alle Versandwege. Rechnungen aus dem Shop, Tickets aus dem Helpdesk und Formulare der Website senden oft über eigene Server.

So richtest du es ein

1. Sammle alle Systeme, die mit deiner Domain als Absender senden.
2. Trage für jedes den Eintrag ein, den der Anbieter nennt, alle zusammen in einem TXT-Record direkt an deiner Domain. Das machst du in der DNS-Verwaltung deines Domain-Anbieters oder lässt es deine Agentur machen.
3. Starte mit ~all. Wechsle auf -all, wenn die DMARC-Berichte ein paar Wochen lang keine eigenen Mails mehr als fehlerhaft zeigen.