SPF endet mit +all oder ?all (zu freizügig)

Was das bedeutet

Ein SPF-Eintrag listet die Server auf, die für deine Domain E-Mails senden dürfen, und endet mit einer Regel für alle anderen Server. Dieser letzte Teil ist der Mechanismus all, und das Zeichen davor entscheidet, was passiert:

• -all (Fail): Andere Server sind nicht erlaubt.
• ~all (Softfail): Andere Server sind verdächtig.
• ?all (Neutral): keine Meinung zu anderen Servern.
• +all (Pass) oder einfach all: Jeder Server der Welt ist erlaubt.

Dieser Eintrag zum Beispiel sieht auf den ersten Blick gut aus, erlaubt aber allen das Senden:

v=spf1 include:_spf.google.com +all

Warum das wichtig ist

• Mit +all besteht der Server eines Spammers SPF für deine Domain. Dein Eintrag schützt dich nicht mehr, und Empfänger sehen darin ein Zeichen schlampiger Einrichtung.
• Mit ?all liefert SPF für unbekannte Server kein nützliches Ergebnis und bringt also nichts gegen Spoofing.
• Manche Spamfilter vergeben Punkte für E-Mails von Domains mit diesen Endungen.

Diese Endungen werden meist hinzugefügt, „damit es funktioniert“, wenn eine E-Mail bei SPF durchgefallen ist. Die echte Lösung ist, den fehlenden Absender aufzunehmen.

So prüfst du es

Scanne deine Domain unter /domain-scanner, um deinen SPF-Eintrag zu sehen. Oder sende eine Test-E-Mail an deine Adresse auf der Startseite (/): Der Abschnitt SPF zeigt den genutzten Eintrag.

So behebst du es

1. Liste alle Dienste auf, die E-Mails für dich senden: deinen Postfach-Anbieter, dein Newsletter-Tool, deinen Onlineshop, dein CRM, dein Rechnungstool, das Kontaktformular deiner Website, deine eigenen Server.
2. Stell sicher, dass jeder davon im Eintrag steht, mit dem include:-Wert aus seinen Hilfeseiten oder einem ip4: für deinen eigenen Server.
3. Ersetze das Ende bei deinem DNS-Anbieter. Bearbeite den bestehenden TXT-Eintrag; lege keinen zweiten SPF-Eintrag an.

Sicherer Ausgangspunkt:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Sobald du sicher bist, dass die Liste vollständig ist:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com -all

Welches soll ich wählen?

• ~all ist eine gute Wahl, solange du noch alle deine Absender zusammensuchst, und funktioniert gut mit DMARC.
• -all ist am strengsten. Nutze es, sobald deine DMARC-Berichte zeigen, dass all deine echten Absender bestehen.
• Für eine Domain, die nie E-Mails sendet: v=spf1 -all.

Achte nach der Änderung auf Probleme

Wenn sich ein vergessener Dienst auf +all verlassen hat, fallen seine E-Mails jetzt bei SPF durch. DMARC-Sammelberichte sind der einfachste Weg, das zu erkennen: Sie zeigen jede IP, die mit deiner Domain sendet, und ob sie bestanden hat. Das DMARC-Monitoring im kostenpflichtigen Dashboard liest diese Berichte für dich.

Prüfe, ob es behoben ist

Warte, bis das DNS aktualisiert ist, meist ein paar Minuten bis ein paar Stunden. Starte /domain-scanner erneut: Der Eintrag sollte mit ~all oder -all enden. Sende dann von jedem deiner Versanddienste einen Test an die Adresse auf der Startseite und prüfe, dass SPF für alle weiterhin besteht.