SPF ist der DNS-Eintrag, der auflistet, welche Server E-Mails für eine Domain senden dürfen. Fehlt er, ist er doppelt vorhanden oder für alle offen, lassen sich E-Mails der Domain leichter fälschen und werden eher abgelehnt oder landen im Spam.
Was es bedeutet
Empfangende Mailserver fragen den SPF-Eintrag ab, um zu entscheiden, ob eine Nachricht, die angeblich von Ihrer Domain stammt, von einem von Ihnen erlaubten Server gesendet wurde. Eine Domain darf nur einen SPF-Eintrag haben, und er sollte damit enden, alle anderen Server zu markieren (~all) oder abzulehnen (-all).
Was es auslöst
Einmal täglich liest die Prüfung „DNS- & E-Mail-Sicherheit“ die TXT-Einträge der registrierten Domain über öffentliches DNS und betrachtet jene, die mit v=spf1 beginnen. Sie meldet eine von drei Varianten dieses Problems:
- Mehr als ein SPF-Eintrag (Hoch): Empfangende Server behandeln den SPF der Domain dann als fehlerhaft. Inhaber und Admins werden einmalig per E-Mail und Chat benachrichtigt.
- SPF-Eintrag erlaubt jedem das Senden von E-Mails (Hoch): Der Eintrag endet auf +all und autorisiert damit jeden Server im Internet. Inhaber und Admins werden einmalig per E-Mail und Chat benachrichtigt.
- Kein SPF-Eintrag (Mittel): wird nur gemeldet, wenn die Domain MX-Einträge hat, also E-Mails empfängt. Es erscheint in der App und wird nicht per E-Mail verschickt.
Häufige Ursachen
- Ein Newsletter-, CRM- oder Helpdesk-Dienst wurde mit einem eigenen v=spf1-Eintrag eingerichtet, statt in den bestehenden aufgenommen zu werden.
- Ein Eintrag mit +all am Ende wurde aus einer Vorlage kopiert oder hinzugefügt, um Zustellfehler zu vermeiden.
- E-Mail wurde zu einem neuen Anbieter umgezogen, ohne den von ihm verlangten SPF-Eintrag zu veröffentlichen.
So beheben Sie es
- Listen Sie alle Dienste auf, die E-Mails im Namen der Domain versenden: Ihren Postfach-Anbieter, Ihr Newsletter-Tool, Ihre Website, Ihr Helpdesk und Ihre Rechnungssoftware. Die Einrichtungsanleitung jedes Dienstes nennt das zu verwendende include.
- Behalten Sie bei Ihrem DNS-Anbieter einen einzigen TXT-Eintrag, der mit v=spf1 beginnt und alle einschließt, zum Beispiel v=spf1 include:_spf.google.com include:sendgrid.net ~all, und löschen Sie alle anderen.
- Beenden Sie ihn mit ~all oder -all, niemals mit +all, und halten Sie ihn bei höchstens 10 DNS-Abfragen (jedes include zählt), sonst behandeln empfangende Server ihn trotzdem als fehlgeschlagen.
- Sobald SPF stimmt, fügen Sie auch einen DMARC-Eintrag hinzu. Siehe Kein DMARC-Eintrag.
Wann es aufgehoben wird
Das Problem verschwindet nach der nächsten täglichen Prüfung, die es nicht mehr findet, und seine Maßnahme verschwindet 7 Tage später aus dem Maßnahmenplan.
Wenn Sie die Maßnahme als erledigt markieren und das Problem 14 Tage später noch gefunden wird, kehrt sie als „Behebung hat nicht funktioniert“ zurück. Siehe Den Maßnahmenplan nutzen.