SPF prüfen: Wer darf E-Mails im Namen dieser Domain senden?
SPF ist der DNS-Eintrag, in dem eine Domain die Server auflistet, die ihre E-Mails senden dürfen. Ohne ihn oder mit einem fehlerhaften oder zu offenen Eintrag lassen sich leichter gefälschte E-Mails im Namen dieser Domain versenden. Geben Sie eine Domain, eine E-Mail-Adresse oder einen Link ein, und wir lesen ihren SPF-Eintrag und erklären ihn.
So gehen Sie vor
- Geben Sie die Domain ein, die Sie prüfen möchten, oder fügen Sie eine E-Mail-Adresse oder einen Link ein: Wir verwenden nur die Domain.
- Klicken Sie auf „SPF prüfen“. Wir lesen den SPF-Eintrag und folgen jedem include, wie es ein empfangender Server tun würde.
- Achten Sie darauf, wie der Eintrag endet, und auf die Zahl der Abfragen: Idealerweise sehen Sie „-all“ oder „~all“ und 10 Abfragen oder weniger.
Was jedes Ergebnis bedeutet
- Diese Domain hat kein SPF
- Die Domain gibt nicht an, welche Server ihre E-Mails senden dürfen, daher können sich andere leichter als diese Domain ausgeben. Wenn es Ihre Domain ist, veröffentlichen Sie einen SPF-Eintrag.
- Der SPF-Eintrag enthält Fehler
- Empfangende Server können ihn nicht anwenden, für sie hat die Domain also kein SPF. Die Signale unten zeigen, was nicht stimmt.
- Jeder kann E-Mails im Namen dieser Domain senden
- Der Eintrag endet mit „+all“, was jeden Server der Welt autorisiert. So eingerichtet schützt SPF gar nichts.
- SPF schützt die Domain nicht vollständig
- Der Eintrag legt nicht fest, was mit Servern geschehen soll, die nicht auf seiner Liste stehen, daher werden gefälschte E-Mails im Namen der Domain nicht markiert.
- SPF ist korrekt eingerichtet
- Die Domain listet die Server auf, die ihre E-Mails senden dürfen, und bittet empfangende Server, den Rest zu markieren oder abzulehnen. SPF allein verhindert keinen Identitätsmissbrauch: Erst DMARC sagt empfangenden Servern, was zu tun ist.
Was jedes Signal bedeutet
- Die Domain veröffentlicht keinen SPF-Eintrag.
- Eine Domain (diese oder eine eingebundene) veröffentlicht mehr als einen SPF-Eintrag. Erlaubt ist nur einer, daher werten empfangende Server das als Fehler.
- Der Eintrag enthält einen falsch geschriebenen Ausdruck, daher werten empfangende Server ihn als Fehler.
- Der Eintrag benötigt mit allen seinen includes mehr als 10 DNS-Abfragen. Über 10 werten empfangende Server ihn als Fehler.
- Ein include verweist auf eine Domain ohne SPF-Eintrag, daher werten empfangende Server den Eintrag als Fehler.
- Die includes bilden eine Schleife: Eine Domain bindet am Ende sich selbst ein.
- Er endet mit „+all“: Jeder Server der Welt darf E-Mails im Namen dieser Domain senden.
- Er endet mit „?all“: Er sagt nichts über Server, die nicht aufgeführt sind, und schützt daher nicht.
- Er endet mit „~all“: E-Mails von anderen Servern werden als verdächtig markiert, aber nicht abgelehnt. Das ist die häufigste Einstellung.
- Er hat am Ende kein „all“, daher erhalten nicht aufgeführte Server ein neutrales Ergebnis, und es gibt keinen Schutz.
- Er verwendet „ptr“, einen langsamen Mechanismus, von dem der Standard abrät. Viele empfangende Server überspringen ihn.
- Er verwendet Makros (Ausdrücke mit %), die sich mit jeder Nachricht ändern. Diesem Teil können wir nicht folgen, und die tatsächliche Zahl der Abfragen kann höher sein.
Weitere Werkzeuge
Welche Länder abgedeckt sind
Funktioniert mit Domains aus jedem Land. Wir lesen den Eintrag so, wie empfangende Server es tun (RFC 7208): seine Mechanismen, wie er endet, jedes include und redirect bis zu 30 Abfragen und seine Zahl der DNS-Abfragen im Vergleich zum Limit von 10.
Wir lesen die öffentlichen DNS-Einträge der Domain. Wenn Sie eine E-Mail-Adresse oder einen Link eingeben, verlässt nur die Domain Ihren Browser. Die abgefragte Domain wird nicht gespeichert.
Häufige Fragen
Was ist SPF?
Sender Policy Framework: ein DNS-Eintrag, in dem eine Domain die Server auflistet, die ihre E-Mails senden dürfen. Der Server, der eine Nachricht empfängt, prüft, ob der Server, der sie zugestellt hat, auf dieser Liste steht.
Was ist besser, „-all“ oder „~all“?
„-all“ bittet empfangende Server, E-Mails von nicht aufgeführten Servern abzulehnen; „~all“ bittet sie, diese als verdächtig zu markieren. Beide schützen, und viele Domains nutzen „~all“ und überlassen DMARC die Entscheidung. „+all“ und „?all“ schützen nicht.
Warum ist das Limit von 10 Abfragen wichtig?
Jedes include, a, mx, ptr, exists und redirect lässt den empfangenden Server das DNS abfragen. Braucht der gesamte Eintrag mehr als 10, gilt er als Fehler, und SPF funktioniert nicht mehr. Entfernen Sie Dienste, die Sie nicht mehr nutzen, oder bitten Sie Ihren Anbieter um ein einfacheres include.
Stoppt SPF allein gefälschte E-Mails?
Nein. SPF prüft den verborgenen Umschlag-Absender, nicht die Adresse, die Sie unter „Von“ sehen. Erst DMARC verknüpft beides und bittet empfangende Server, E-Mails, die die Prüfung nicht bestehen, in Quarantäne zu verschieben oder abzulehnen. Prüfen Sie auch das DMARC der Domain.