SPF-Mechanismen verstehen: a, mx, ip4 und include

SPF definiert in RFC 7208 §5 acht Mechanismen: all, include, a, mx, ptr, ip4, ip6 und exists. Die vier, die Sie in 95 % der Fälle verwenden werden, sind ip4 (autorisiert eine bestimmte IPv4-Adresse oder einen CIDR-Bereich), a (autorisiert die A/AAAA-Einträge der Domain), mx (autorisiert die MX-Einträge der Domain) und include (delegiert die Auswertung an den SPF-Eintrag einer anderen Domain).

„Die SPF-Syntax ist täuschend einfach“, sagt Adam Lundrigan, CTO von DuoCircle. „v=spf1 gefolgt von Mechanismen und einem Qualifizierer sieht unkompliziert aus, aber die Auswertungssemantik ist überraschend komplex – die Reihenfolge der Mechanismen ist entscheidend, der erste Treffer gewinnt, und der Unterschied zwischen ~all und -all hat echte Auswirkungen auf die Zustellung. Wir sehen jede Woche Einträge, bei denen ein falsch platzierter Mechanismus die beabsichtigte Richtlinie stillschweigend außer Kraft setzt.“

Einen ausführlichen Überblick über jeden SPF-Mechanismus, Qualifizierer und Modifikator finden Sie in unserem vollständigen Leitfaden zur SPF-Eintragssyntax.

Jeder Mechanismus hat eine bestimmte DNS-Lookup-Kosten, die auf das 10-Lookup-Limit von RFC 7208 angerechnet werden:

• ip4 / ip6 – 0 Lookups (literale IP, kein DNS erforderlich)
• a – 1 Lookup
• mx – 1 Lookup plus 1 pro zurückgegebenem MX-Host (kann bei Domains mit vielen MX-Einträgen das Budget stillschweigend sprengen)
• include – 1 Lookup plus alles, was der eingebundene SPF-Eintrag rekursiv verbraucht
• exists – 1 Lookup
• ptr – 1+ Lookups (und RFC 7208 §5.5 rät ausdrücklich davon ab, ihn zu verwenden)

Dieser Leitfaden führt Sie durch jeden der vier häufig verwendeten Mechanismen mit exakter Syntax, den Sonderfällen (A-Einträge mit mehreren IPs, MX-Hosts mit vielen A-Einträgen, rekursive Includes) und der Frage, wie Sie zwischen a/mx/ip4/include wählen, wenn Sie mehrere Optionen für dieselbe Gruppe sendender IPs haben. Falls Ihnen die manuelle Pflege mühsam erscheint, sehen Sie sich die Funktionsweise von AutoSPF an, um sie zu automatisieren.

Der Mechanismus „a“

Der Mechanismus „a“ in SPF teilt den empfangenden Mailservern mit, dass eine E-Mail als legitim gelten soll, wenn der A- oder AAAA-Eintrag einer bestimmten Domain auf die IP-Adresse verweist, von der die E-Mail gesendet wird.

Im Grunde gilt: Wenn eine E-Mail von einer IP kommt, die in den A- (ip4) oder AAAA- (ip6) Einträgen der Domain aufgeführt ist, und Sie den Mechanismus „a“ eingebunden haben, dann besteht SPF.

Zum Beispiel: v=spf1 a -all

Wann sollten Sie den Mechanismus „a“ verwenden?

Verwenden Sie ihn, wenn:

• Ihr E-Mail-Server dieselbe IP-Adresse wie Ihre Domain nutzt (z. B. Website und Mailserver auf demselben Server gehostet).

• Sie ein kleines, einfaches Setup betreiben und Ihre sendende IP direkt an den A/AAAA-Eintrag Ihrer Domain gebunden ist.

• Sie sicher sind, dass der A-Eintrag der Domain immer die IP Ihres Mailservers widerspiegelt (das ist entscheidend).

Wann sollten Sie den Mechanismus „a“ vermeiden?

Verzichten Sie auf den Mechanismus „a“, wenn:

• Sie nicht wissen oder kontrollieren, worauf der A-Eintrag verweist (z. B. weil Sie Drittanbieter-Hosting oder CDNs nutzen).

• Ihre Website und Ihr Mailserver getrennt auf unterschiedlichen IP-Adressen gehostet werden.

• Sie möchten, dass Ihr SPF-Eintrag explizit und wartbar ist, und verwenden dafür „ip4“ oder „include“ zur Klarheit.

Wenn sich der A-Eintrag Ihrer Domain zudem jemals ändert (etwa bei einer Servermigration), könnten Sie unbeabsichtigt SPF für Ihre ausgehenden E-Mails beschädigen, ohne es zu bemerken.

Der Mechanismus „mx“

In SPF teilt der Mechanismus „mx“ den empfangenden Servern mit, dass jeder im MX-Eintrag der sendenden Domain aufgeführte Server E-Mails im Namen des Domaininhabers senden darf. Er löst im Grunde den MX-Eintrag der Domain auf, um die Hostnamen zu ermitteln. Anschließend löst er die Hostnamen in IP-Adressen auf. Wenn die IP-Adresse des Absenders Ihrer E-Mail mit einer der aufgeführten IP-Adressen übereinstimmt, besteht die SPF-Prüfung.

Wann sollten Sie den Mechanismus „mx“ verwenden?

Verwenden Sie den Mechanismus „mx“, wenn Ihre E-Mails über dieselben Mailserver gesendet werden, die auch E-Mails für Ihre Domain empfangen, d. h., Ihre eingehenden und ausgehenden Mailserver sind identisch.

Häufige Fälle:

• Sie nutzen den E-Mail-Dienst Ihres Webhosts oder Domainanbieters (wie GoDaddy- oder Bluehost-E-Mail).

• Sie haben einen lokalen Mailserver (wie Microsoft Exchange), der sowohl ein- als auch ausgehende E-Mails verarbeitet.

• Ihr Unternehmen nutzt ein Setup, bei dem derselbe Anbieter sowohl den ein- als auch den ausgehenden Mailfluss abwickelt.

Wann sollten Sie den Mechanismus „mx“ vermeiden?

Es ist nicht ideal, den Mechanismus „mx“ zu verwenden, wenn Ihre ausgehenden E-Mails nicht über Ihre MX-Server laufen. Hier sind die Fälle, in denen das häufig vorkommt:

• Sie nutzen einen Drittanbieter-E-Mail-Versanddienst (wie Mailchimp, Google Workspace, Zoho, Salesforce usw.).

• Ihre Domain empfängt E-Mails über einen Server (MX), sendet sie aber über einen anderen (SMTP-Relay oder API-basierter Absender).

• Sie sind sich nicht sicher, worauf Ihre MX-Einträge tatsächlich verweisen.

Bitte beachten Sie, dass Ihre MX-Einträge gut gepflegt sein sollten, wenn Sie den Mechanismus „mx“ verwenden. Überprüfen Sie außerdem regelmäßig die IPs, in die sie aufgelöst werden, da einige Dienste diese häufig rotieren oder CDNs bzw. Load Balancer nutzen. Daher besteht die Gefahr eines defekten MX-Eintrags.

Der Mechanismus „ip4“

Der Mechanismus „ip4“ wird verwendet, um eine IPv4-Adresse (oder einen Bereich) ausdrücklich zu autorisieren, E-Mails im Namen Ihrer Domain zu senden.

Beispiel:

v=spf1 ip4:192.0.2.0/24 -all

Dies teilt den Mailservern mit: „Hey, wenn eine E-Mail von einer beliebigen IP im Bereich 192.0.2.0/24 kommt, ist sie für diese Domain legitim.“

Wann sollten Sie den Mechanismus „ip4“ verwenden?

Der Mechanismus „ip4“ wird am besten verwendet, wenn:

• Sie Ihren eigenen Mailserver verwalten und dessen IP kennen.

• Sie einen Dienst nutzen (etwa einen Webhost oder ein CRM-Tool), der Ihnen eine feste sendende IP bereitstellt.

• Sie bekannte, statische IPs manuell auf die Positivliste setzen möchten, anstatt den Mechanismus include zu verwenden.

• Sie einen Drittanbieter-Absender individuell autorisieren müssen, der nicht von einem bekannten SPF-„include“ abgedeckt ist.

Als zusätzlicher Vorteil hilft er auch, zusätzliche DNS-Lookups zu vermeiden.

Wann sollten Sie den Mechanismus „ip4“ vermeiden?

Es ist besser, vorsichtig zu sein:

• Wenn die IP-Adresse dynamisch ist oder sich häufig ändert, könnten Sie die E-Mail-Zustellung beschädigen, da SPF sich nicht automatisch aktualisiert.

• Wenn Sie große Drittanbieter-Plattformen wie Google Workspace oder Mailchimp nutzen, stellen diese bereits „include“-Einträge bereit.

Beachten Sie außerdem, dass das Hinzufügen mehrerer „ip4“-Einträge in einem einzigen Eintrag Ihren SPF-Eintrag zu lang und schwerer wartbar machen kann.

Der Mechanismus „include“

Mit dem Mechanismus „include“ können Sie andere Domains autorisieren, E-Mails in Ihrem Namen zu senden.

Wann sollten Sie den Mechanismus „include“ verwenden?

Verwenden Sie ihn, wenn ein Drittanbieterdienst E-Mails über Ihre Domain versendet. Dazu gehören:

• E-Mail-Marketing-Plattformen (Mailchimp, SendGrid, Klaviyo usw.)

• Transaktions-E-Mail-Dienste (Amazon SES, Postmark usw.)

• CRM-Tools oder Helpdesks (HubSpot, Intercom, Freshdesk)

• Sicherheitsdienste (wie Proofpoint oder Mimecast, sofern sie ausgehende E-Mails verarbeiten)

Wann sollten Sie den Mechanismus „include“ vermeiden?

Sie müssen den Mechanismus „include“ nicht vermeiden; berücksichtigen Sie jedoch die folgenden Punkte, damit Sie ihn nicht übermäßig einsetzen:

• Jedes „include“ zählt zu Ihrem Limit von 10 DNS-Lookups, und dessen Überschreitung löst einen Fehler wegen zu vieler DNS-Lookups aus.

• Verschachtelte „include“-Anweisungen anderer Domains können das Limit stillschweigend überschreiten.

• Binden Sie niemals Domains ein, die Sie nicht vollständig kontrollieren oder denen Sie nicht vertrauen.

Wenn Sie zu viele „include“-Anweisungen verwendet haben und Ihr SPF-Eintrag das DNS-Lookup-Limit bereits überschritten hat, dann nutzen Sie unser automatisches SPF-Flattening-Tool. Es ersetzt sie durch die IP-Adressen, wodurch der Bedarf an Lookups minimiert wird. Neugierig, welcher Ansatz zu Ihrer Domain passt? Lesen Sie unsere Einschätzung zu Makros versus Flattening. Kontaktieren Sie uns, um mehr über das Tool zu erfahren oder Hilfe bei anderen SPF-bezogenen Problemen zu erhalten.