[Schnelle Antwort]
SPF (Sender Policy Framework) ist ein DNS TXT Eintrag, der die Mailserver und Dienste auflistet, die E-Mails für Ihre Domain senden dürfen. Empfänger vergleichen die IP des sendenden Servers mit dieser Liste. Sie ist in RFC 7208 definiert und ist eine der drei Prüfungen, Gmail und Yahoo erfordern.
Wichtige Fakten
- ›Wird als TXT Eintrag in der Stammdomäne veröffentlicht, beginnend mit v=spf1.
- ›Nur ein SPF Eintrag pro Domain; Zwei Datensätze verursachen einen PermError.
- ›Maximal 10 DNS-Abfragemechanismen (einschließlich A, MX, PTR, Exists, Redirect).
- ›Endet mit ~all ( softfail ) oder -all (fail).
- ›SPF prüft den Absender des Umschlags ( Return-Path ), nicht die sichtbare Absenderadresse. DMARC fügt diesen Link hinzu.
Bewertet vom EmailAuth Forschungsteam
SPF (Sender Policy Framework) ist ein in RFC 7208 definierter E-Mail-Authentifizierungsstandard, der es einem Domänenbesitzer ermöglicht, die Liste der Mailserver zu veröffentlichen, die E-Mails im Namen dieser Domäne senden dürfen. Wenn ein empfangender Server eine Nachricht erhält, vergleicht er die IP-Adresse des sendenden Servers mit dem veröffentlichten SPF Eintrag der Domäne im DNS . Wenn die IP autorisiert ist, ist SPF erfolgreich. Ist dies nicht der Fall, kann der Empfänger die Nachricht als verdächtig einstufen oder ablehnen. SPF ist neben DKIM und DMARC einer der drei Kernstandards, die eine Domain vor Spoofing schützen.
So funktioniert SPF Schritt für Schritt
SPF wird während der SMTP Konversation ausgeführt, bevor der Nachrichtentext vollständig akzeptiert wird. Die Prüfung erfolgt anhand der Domäne im Return-Path (dem Absender des Umschlags) und nicht anhand der sichtbaren Absenderadresse. Dies ist eine Unterscheidung, die für DMARC Ausrichtung wichtig ist. Der empfangende Server liest den SPF Eintrag, löst die darin enthaltenen Mechanismen auf und vergleicht die Verbindungs-IP mit den autorisierten Bereichen.
- Ein sendender Server stellt eine Verbindung her und gibt seine Umschlag-Absenderdomäne bekannt.
- Der Empfänger fragt DNS nach dem SPF TXT Eintrag dieser Domäne ab.
- Der Empfänger wertet jeden Mechanismus der Reihe nach aus, bis einer übereinstimmt.
- Ein Match gibt je nach Qualifikationsmerkmal „Bestanden“, „Nicht bestanden“, softfail “ oder „Neutral“ zurück.
- Der Empfänger wendet seine eigene Richtlinie an und DMARC verwendet das Ergebnis zur Ausrichtung.
Das 10- DNS -Lookup-Limit
RFC 7208 begrenzt SPF -Bewertung auf 10 DNS Suchvorgänge pro Prüfung. Mechanismen wie „include“, „a“, „mx“, „ptr“ und „exists“ verbrauchen jeweils Suchvorgänge, und jeder Include kann weitere verschachtelte Suchvorgänge innerhalb des Datensatzes des Drittanbieters auslösen. Beliebte Absender wie Google Workspace , Microsoft 365 , Salesforce und SendGrid fügen jeweils ihre eigenen Ketten hinzu, sodass eine Domain mit einer Handvoll Anbietern die Grenze schnell überschreiten kann. Wenn die Auswertung 10 Suchvorgänge überschreitet, gibt der Empfänger einen permerror zurück, den die meisten Systeme als Fehler behandeln.
Warum die Grenze beißt
Kreuzen Sie 10 Suchvorgänge an und SPF gibt permerror zurück. Bei seriösen E-Mails von Ihren eigenen zugelassenen Anbietern kann die Authentifizierung dann fehlschlagen, ohne dass für Sie ein Fehler erkennbar ist.
Wo SPF aufhört und DKIM und DMARC beginnen
SPF überprüft den Verbindungsserver, sodass er die Weiterleitung nicht überlebt. Wenn ein Postfach eine Nachricht weiterleitet, ist die neue Verbindungs-IP die Weiterleitung, nicht Ihr Server, und SPF wird unterbrochen. DKIM signiert den Nachrichteninhalt mit einem kryptografischen Schlüssel, der mit der E-Mail übertragen wird, sodass er die Weiterleitung übersteht. DMARC verbindet beides miteinander, indem es verlangt, dass entweder SPF oder DKIM bestanden werden und sich an der sichtbaren From-Domäne ausrichten, und es teilt den Empfängern mit, was zu tun ist, wenn sie fehlschlagen. Seit den Google- und Yahoo -Regeln von 2024 müssen sich Massenversender mit SPF und DKIM authentifizieren und DMARC veröffentlichen.
Lookup-Überlauf mit SmartSPF beheben
EmailAuth SmartSPF löst das 10-Lookup-Limit durch dynamisches Flattening auf. Es erweitert Ihre vollständige Include-Kette, fasst sie zu einem optimierten Datensatz zusammen und synchronisiert die Absender-IP-Bereiche von Drittanbietern für Salesforce , SendGrid , Microsoft 365 und Google Workspace , wenn diese Anbieter ihre Infrastruktur ändern. Ein kostenloser Domain-Scan erweitert Ihre Include-Kette und zählt Ihre aktuellen Suchvorgänge, sodass Sie genau sehen können, wo Sie stehen.
Häufig gestellte Fragen
Wofür steht SPF ?
SPF steht für Sender Policy Framework. Dabei handelt es sich um einen in RFC 7208 definierten E-Mail-Authentifizierungsstandard, der es einer Domain ermöglicht, zu veröffentlichen, welche Mailserver in ihrem Namen senden dürfen. Empfangsserver nutzen es, um gefälschte Absender zu erkennen.
Stoppt SPF jegliches E-Mail-Spoofing?
Nein. SPF prüft nur die Absenderdomäne des Umschlags anhand autorisierter IPs und bricht ab, wenn E-Mails weitergeleitet werden. Um die sichtbare Absenderadresse vollständig zu schützen, benötigen Sie außerdem DKIM und eine DMARC Richtlinie, die die Ausrichtung erzwingt.
Wie hoch ist das SPF 10- DNS -Lookup-Limit?
RFC 7208 erlaubt maximal 10 DNS Suchen, wenn ein Empfänger einen SPF Eintrag auswertet. Mechanismen wie include, a und mx verbrauchen jeweils Suchvorgänge, und verschachtelte Lieferantendatensätze fügen weitere hinzu. Bei einem Wert über 10 wird ein permerror zurückgegeben, der als Fehler behandelt wird.
Ist SPF im Jahr 2024 und darüber hinaus noch erforderlich?
Ja. Seit 2024 verlangen Google und Yahoo von Massenversendern die Authentifizierung von E-Mails, und SPF ist neben DKIM und DMARC ein zentraler Bestandteil davon. Wenn Sie es überspringen, besteht die Gefahr, dass Ihre E-Mails gefiltert oder abgelehnt werden.
Was ist ein SPF Eintrag?
Ein DNS TXT -Eintrag, der die Server auflistet, die zum Senden von E-Mails für Ihre Domain berechtigt sind, zum Beispiel v=spf1 include:_spf.google.com ~all .
Wie füge ich mehrere SPF Einträge hinzu?
Sie können nicht. Fassen Sie alle Absender in einem einzigen Datensatz zusammen: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Wie erstelle ich einen SPF Eintrag?
Listen Sie jeden Dienst auf, der E-Mails für Sie sendet, fügen Sie das Include oder die IP jedes Anbieters hinzu und enden Sie mit ~all oder -all . Ein SPF -Generator erstellt es für Sie.
Wie hoch ist das SPF 10-Suchlimit?
SPF Auswertung kann höchstens 10 DNS Suchvorgänge durchführen. Bei Überschreitung wird PermError zurückgegeben und SPF schlägt fehl. Entfernen Sie nicht verwendete Includes oder reduzieren Sie den Datensatz.
Was bedeutet v=spf1 include:_spf.google.com ~all ?
Es autorisiert Google Workspace -Server, für Ihre Domain zu senden, und führt zu einem Softfailing für alles andere.
[ SPF Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung