SPF-Fehler: zu viele DNS-Lookups (permerror)

Was das bedeutet

Dein SPF-Eintrag ist eine Liste erlaubter Absender. Manche Elemente dieser Liste, wie include:, a, mx und redirect=, zwingen den empfangenden Server, weitere DNS-Einträge abzufragen. Jedes Include kann außerdem weitere Includes enthalten.

Die SPF-Regeln setzen eine feste Grenze: insgesamt 10 Lookups. Darüber hören Empfänger auf und melden einen „permerror“, also einen „permanenten Fehler“. Dein SPF gilt dann als kaputt.

Warum das wichtig ist

Ein kaputtes SPF ist fast so schlimm wie gar kein SPF. Deine echten E-Mails können bei SPF durchfallen, wodurch auch DMARC scheitern kann, und sie landen im Spam oder werden abgelehnt. Das passiert oft schleichend: Jedes Mal, wenn du ein neues Tool hinzufügst (Newsletter, CRM, Helpdesk), kommt ein Include dazu, bis du eines Tages über 10 liegst.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die SPF-Zeile zeigt „permerror“, wenn die Grenze überschritten ist.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Der Domain-Scanner zeigt außerdem, wie viele Lookups dein Eintrag braucht, zum Beispiel „12/10 DNS lookups“.

So behebst du es

1. Entferne Dienste, die du nicht mehr nutzt. Alte Newsletter-Tools und frühere Hoster sind die häufigsten Übeltäter.
2. Entferne Doppelte. Dasselbe Include, zweimal geschrieben, zählt auch zweimal.
3. Entferne a und mx, wenn du sie nicht brauchst. Sie sind nur wichtig, wenn dein Webserver oder dein Server für eingehende E-Mails auch E-Mails sendet. Mit Google Workspace oder Microsoft 365 deckt das Include das bereits ab.
4. Ersetze, wo möglich, durch IP-Adressen. Einträge mit ip4: und ip6: kosten null Lookups. Mach das nur für Server, die du selbst kontrollierst und deren IP-Adressen sich nicht ändern.
5. Verschiebe manche Absender auf eine Subdomain. Marketing-E-Mails kannst du von news.yourdomain.com senden, mit eigenem SPF-Eintrag und eigenen 10 Lookups.

Beispiel

Vorher (zu viele Lookups):

v=spf1 a mx include:_spf.google.com include:spf.protection.outlook.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com include:spf.oldtool.example ~all

Nachher (die Firma hat Microsoft 365 und das alte Tool verlassen, ihre E-Mails laufen über Google):

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com ~all

Ein Wort zum „SPF-Flattening“

Manche Tools bieten an, dein SPF zu „flatten“, also Includes durch lange Listen von IP-Adressen zu ersetzen. Das funktioniert, aber wenn dein Anbieter seine IP-Adressen ändert, wird dein SPF unbemerkt falsch. Probier lieber zuerst die Schritte oben.

Andere Ursachen für permerror

• Ein Tippfehler, etwa v=spf1 als v=spf geschrieben, oder include: ohne Wert.
• Zwei SPF-Einträge auf derselben Domain (siehe die Anleitung zu mehreren SPF-Einträgen).

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner erneut: Die Zahl der Lookups sollte bei 10 oder weniger liegen und der Eintrag gültig sein. Sende dann eine Test-E-Mail über die Startseite und prüfe, dass SPF bestanden ist.