[Schnelle Antwort]
Ein SPF Eintrag ist ein einzelner TXT Eintrag in Ihrer Domain, der v=spf1, autorisierte Absender mit Mechanismen wie include:, ip4: und ip6:, auflistet und mit einem All-Qualifizierer endet. Beispiel: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Wichtige Fakten
- ›Mechanismen: ip4, ip6, a, mx, include, exist; Modifikator: umleiten.
- ›Qualifizierer: + bestanden, ~ softfail , - nicht bestanden, ? neutral.
- ›Halten Sie maximal 10 DNS Suchvorgänge und 255 Zeichen pro Zeichenfolge ein.
- ›Vermeiden Sie ptr und +all .
Bewertet vom EmailAuth Forschungsteam
Ein SPF Eintrag ist ein einzelner DNS TXT Eintrag, der alle Server und Dienste auflistet, die zum Senden von E-Mails für Ihre Domain berechtigt sind. Es beginnt mit dem Versions-Tag v=spf1, enthält eine Reihe von Mechanismen, die autorisierte Quellen definieren, und endet mit einem All-Mechanismus, der die Standardantwort für alles festlegt, was nicht aufgeführt ist. Empfangende Mailserver lesen diesen Datensatz, um zu entscheiden, ob ein Verbindungsserver als Ihre Domain senden darf.
Beispiel für SPF Eintrag
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Die Mechanismen erklärt
Jeder Mechanismus beschreibt eine Möglichkeit, einen Absender zu autorisieren. Der Empfänger wertet sie von links nach rechts aus und stoppt beim ersten Treffer. Einige Mechanismen lösen DNS Suchvorgänge aus und werden auf das in RFC 7208 festgelegte Limit von 10 Suchvorgängen angerechnet.
- include: Ruft SPF Eintrag einer anderen Domain ab, was bei Anbietern wie _spf.google.com üblich ist, und zählt als Suche.
- ip4: Autorisiert eine bestimmte IPv4 -Adresse oder einen bestimmten IPv4-Bereich ohne Kosten DNS Suche.
- ip6: Autorisiert eine bestimmte IPv6 -Adresse oder einen bestimmten IPv6-Bereich ohne Kosten DNS Suche.
- a: Autorisiert die IPs im A-Eintrag der Domäne und zählt als Suche.
- mx: Autorisiert die Mailserver in den MX Einträgen der Domäne und zählt als Suche.
- all: Das Catch -all am Ende entscheidet, was mit nicht gelisteten Quellen passiert.
Hardfail versus softfail : -all und ~all
Das Qualifikationsmerkmal vor allen ändert, wie streng Ihr Rekord ist. Verwenden Sie -all (Hardfail), um den Empfängern mitzuteilen, dass ein nicht aufgeführter Server nicht autorisiert ist und die Nachricht abgelehnt oder als fehlerhaft behandelt werden sollte. Verwenden Sie ~all ( softfail ), um anzugeben, dass nicht aufgeführte Server wahrscheinlich nicht autorisiert sind, aber akzeptiert und markiert werden sollten, was beim Testen nützlich ist. Ein Hardfail ist die stärkere Haltung, wenn Sie sicher sind, dass jeder legitime Absender einbezogen wird. Vermeiden Sie +all , das alle autorisiert und den Zweck zunichte macht.
Softfail beim Testen
Beginnen Sie mit ~all , um die Ergebnisse zu beobachten, ohne E-Mails zu blockieren, und wechseln Sie dann zu -all sobald jeder Absender bestätigt ist.
Ein Datensatz, achten Sie auf Ihre Suchvorgänge
Eine Domain muss genau einen SPF Eintrag veröffentlichen. Zwei SPF TXT Einträge verursachen einen permerror . Wenn Sie Anbieter hinzufügen, erweitert sich jeder Eintrag um weitere Suchvorgänge, und beliebte Dienste stapeln sich schnell. Wenn Sie 10 Suchvorgänge durchlaufen, schlägt der Datensatz für legitime E-Mails stillschweigend fehl. EmailAuth SmartSPF vereinfacht Ihre Include-Ketten in einem optimierten Datensatz und sorgt dafür, dass Anbieter-IP-Bereiche für Microsoft 365 , Google Workspace , Salesforce und SendGrid automatisch synchronisiert werden. Ein kostenloser Domain-Scan zeigt Ihre aktuellen Mechanismen und die Anzahl der Suchanfragen. Koppeln Sie SPF mit DKIM und DMARC , damit die Ausrichtung auch dann erhalten bleibt, wenn E-Mails weitergeleitet werden.
Häufig gestellte Fragen
Was ist der Unterschied zwischen -all und ~all in einem SPF Eintrag?
-all ist ein Hardfail, das Empfänger anweist, jeden Server, der nicht im Datensatz aufgeführt ist, abzulehnen oder ausfallen zu lassen. ~all ist ein softfail , das nicht gelistete Absender akzeptiert, sie aber als verdächtig markiert. Verwenden Sie ~all beim Testen und -all , sobald alle legitimen Absender enthalten sind.
Kann ich mehr als einen SPF Eintrag haben?
Nein. Eine Domain muss genau einen SPF TXT Eintrag veröffentlichen. Zwei oder mehr SPF Einträge verursachen einen permerror und unterbrechen die Authentifizierung. Führen Sie alle Quellen in einem einzigen Datensatz zusammen, beginnend mit v=spf1.
Zählen IP4- und IP6-Mechanismen zum 10-Suchlimit?
Nein. IP4 und IP6 autorisieren Adressen direkt und erfordern keine DNS Auflösung, sodass sie keine Suchvorgänge verbrauchen. Mechanismen wie „include“, „a“, „mx“, „ptr“ und „exists“ zählen zum Grenzwert von 10.
Was macht der Include-Mechanismus?
Der Include-Mechanismus importiert SPF Eintrag einer anderen Domain. Auf diese Weise autorisieren Sie Drittanbieter-Absender wie Google Workspace oder SendGrid . Jedes Include zählt als mindestens eine DNS Suche, und alle darin enthaltenen verschachtelten Includes fügen weitere hinzu.
Wie überprüfe ich meinen SPF Eintrag?
Verwenden Sie einen SPF Prüfer. Es ruft den Datensatz ab, erweitert jedes Include und zählt DNS Suchvorgänge auf das 10-Limit an.
Wie kombiniere ich SPF Einträge?
Führen Sie die Mechanismen beider Datensätze in einem v=spf1 -Datensatz zusammen und behalten Sie am Ende einen einzigen Datensatz bei.
Sollte ich ~all oder -all verwenden?
Verwenden Sie ~all , während Sie jeden Absender bestätigen, und dann -all . Mit DMARC bei p=reject, da DMARC die endgültige Entscheidung trifft.
[ SPF Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung