SPF ~all oder -all: Welches Ende solltest du wählen?

Was das bedeutet

Ein SPF-Eintrag listet die Server auf, die E-Mails für deine Domain senden dürfen. Sein letzter Teil, der „all“-Mechanismus, sagt, was mit allen anderen Servern passieren soll:

• ~all (Softfail): „Andere Server gehören wahrscheinlich nicht zu mir, behandle die E-Mail mit Misstrauen.“
• -all (Hardfail): „Andere Server dürfen nicht für mich senden.“
• ?all (neutral): „Ich mache keine Aussage.“ Das bietet fast keinen Schutz.
• +all: „Jeder darf für mich senden.“ Nutze das niemals.

v=spf1 include:_spf.google.com ~all
v=spf1 include:_spf.google.com -all

Warum das wichtig ist

• Mit DMARC ist der Unterschied klein. Die meisten großen Postfächer wie Gmail und Outlook entscheiden anhand deiner DMARC-Richtlinie, nicht allein anhand des SPF-Endes. Ein Fail und ein Softfail zählen für DMARC beide als „SPF nicht bestanden“.
• Ohne DMARC lehnen manche Server -all-Fehler sofort ab, während sie ~all-Fehler nur als verdächtig markieren.
• Wenn du einen Versanddienst in deiner Liste vergessen hast, kann -all dazu führen, dass seine E-Mails abgelehnt werden, vor allem wenn sie weitergeleitet werden oder kein DKIM haben.
• -all sagt der Welt klar, dass deine Liste vollständig ist, und hilft so, deine Domain gegen Spoofing zu schützen.

So prüfst du es

• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deinen SPF-Eintrag und sein Ende zu lesen.
• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht. Die SPF-Zeile zeigt „pass“, „softfail“ oder „fail“ für den Server, der sie gesendet hat.

So wählst du

Nutze ~all, wenn

• du gerade alles einrichtest und noch nicht sicher bist, dass jeder Dienst aufgeführt ist.
• manche deiner E-Mails nicht mit DKIM signiert sind.
• deine E-Mails oft weitergeleitet werden (zum Beispiel an Uni-Adressen oder alte Provider-Adressen) und du kein DKIM hast, das sie rettet.

Nutze -all, wenn

• du jeden Dienst aufgeführt hast, der für dich sendet, und jeden mit einer Test-E-Mail geprüft hast.
• alle mit DKIM auf deiner Domain signieren.
• du DMARC hast und seine Berichte keine legitime Quelle zeigen, die scheitert.
• die Domain überhaupt keine E-Mails sendet: Dann nutze v=spf1 -all.

So wechselst du sicher

1. Fang mit ~all an und veröffentliche einen DMARC-Eintrag mit einer rua-Adresse, um Berichte zu bekommen.
2. Lies die Berichte zwei bis vier Wochen lang. Das kostenpflichtige Dashboard von Delivmail enthält ein DMARC-Monitoring, das sie in eine lesbare Liste von Absendern verwandelt.
3. Füge jeden fehlenden Dienst zu SPF hinzu und richte DKIM für ihn ein.
4. Ändere das Ende auf -all bei deinem DNS-Anbieter. Bearbeite den bestehenden Eintrag; füge keinen zweiten SPF-Eintrag hinzu.
5. Behalte die Berichte noch ein paar Wochen im Auge.

Denk daran: Der echte Schutz kommt von DMARC mit einer quarantine- oder reject-Richtlinie. Das SPF-Ende ist im Vergleich dazu ein Detail.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner erneut, um das neue Ende zu sehen, und sende dann eine Test-E-Mail von jedem deiner Versanddienste. Jeder Bericht sollte SPF als bestanden zeigen.