SPF-Flattening: wann es hilft und was schiefgehen kann

Was das bedeutet

Ein SPF-Eintrag darf höchstens 10 DNS-Abfragen auslösen. Jedes include: zählt, und die darin versteckten Includes ebenfalls. Mit mehreren Diensten kommst du schnell auf 11 oder mehr, und SPF gibt einen Fehler zurück (permerror).

Flattening heißt, die Includes durch die IP-Adressen zu ersetzen, auf die sie verweisen. Zum Beispiel:

Before: v=spf1 include:_spf.example-provider.com ~all
After:  v=spf1 ip4:198.51.100.0/24 ip4:203.0.113.0/24 ~all

Einträge mit ip4: und ip6: kosten keine Abfrage, also liegt der Eintrag jetzt deutlich unter der Grenze.

Warum das wichtig ist

Flattening löst das Abfrageproblem, bringt aber neue Risiken:

• Anbieter ändern ihre IP-Adressen. Google, Microsoft und Newsletter-Tools fügen regelmäßig Server hinzu. Eine geflattete Kopie zieht nicht mit. Neue Server bestehen SPF nicht, ohne jede Warnung.
• Einträge werden lang. Große Anbieter haben Dutzende Adressbereiche. Ein sehr langer SPF-Eintrag muss in mehrere Zeichenketten aufgeteilt werden und kann die Größengrenzen des DNS überschreiten.
• Niemand erinnert sich. Ein Jahr später weiß niemand mehr, woher die IP-Adressen kamen oder welche entfernt werden kann.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF-, DMARC- und MX-Einträge zu lesen, ohne etwas zu senden.

Die SPF-Zeile im Bericht und der Scanner zeigen dir, ob dein Eintrag gültig ist oder mehr als 10 Abfragen braucht.

So behebst du es

1. Probier zuerst die einfachen Lösungen

• Entferne Includes für Dienste, die du nicht mehr nutzt.
• Entferne Doppeltes, zum Beispiel a und mx, wenn sie auf Server zeigen, die keine E-Mails senden.
• Prüfe, ob ein Tool wirklich ein Include braucht. Viele Newsletter-Tools nutzen ihre eigene Return-Path-Domain, dann wird SPF dort geprüft, nicht auf deiner Hauptdomain.
• Verlege Massenversender auf eine Subdomain wie news.yourdomain.com mit eigenem SPF-Eintrag.

2. Wenn du doch flatten musst, dann nur teilweise

Behalte die Includes für große Anbieter, die sich oft ändern (deinen Postfach-Anbieter), und flatte nur kleine, stabile Dienste, deren Adressen sich selten ändern, zum Beispiel deinen eigenen Server.

3. Nutze lieber einen automatischen Dienst

Manche DNS- oder DMARC-Dienste bieten „dynamisches“ Flattening an: Sie prüfen die IP-Adressen der Anbieter jeden Tag und aktualisieren den Eintrag für dich. Wenn du von Hand flattest, stell dir eine monatliche Erinnerung, um deine Liste mit der aktuellen Liste des Anbieters zu vergleichen.

4. Halte DKIM am Laufen

Selbst wenn SPF nach einer Änderung kaputtgeht, sorgt eine gültige DKIM-Signatur dafür, dass DMARC weiter besteht. Stell sicher, dass jeder Dienst mit DKIM für deine Domain signiert.

Prüfe, ob es behoben ist

Starte den Domain-Scanner erneut: Dein SPF-Eintrag sollte gültig sein und unter 10 Abfragen liegen. Sende dann von jedem Dienst eine Test-E-Mail an eine neue Delivmail-Testadresse und prüfe, dass SPF besteht. Wiederhole diese Tests alle paar Monate, wenn du von Hand geflattet hast.