So verwenden Sie es
- Setzen Sie einen Haken bei a: die eigenen Adressen der Domain und mx: die Mailserver der Domain, wenn die Domain selbst Mails sendet.
- Tragen Sie die Netze Ihrer Server unter IPv4-Netze und IPv6-Netze ein und die Domain eines Anbieters unter Diese Domains einbinden.
- Wählen Sie das Ergebnis für andere Absender unter Alle anderen Absender. -all ist die strenge Wahl.
- Kopieren Sie SPF-Eintrag (TXT) und veröffentlichen Sie ihn als TXT-Eintrag unter der Domain. Prüfen Sie, dass DNS-Abfragen (Grenze 10) bei 10 oder weniger bleibt.
So liest ein Empfänger einen SPF-Eintrag
Ein SPF-Eintrag ist ein TXT-Eintrag unter der Domain, die er beschreibt. Er beginnt mit v=spf1 und listet dann Angaben auf: a, mx, ip4, ip6 und include, jeweils mit einem optionalen Kennzeichen. Ein Empfänger prüft sie von links nach rechts, und die erste passende Angabe gibt das Ergebnis: + besteht, - scheitert, ~ weich abgelehnt oder ? neutral. Das + ist der Standard (RFC 7208, Abschnitt 4.6.2).
- all trifft auf jeden anderen Absender zu, und Angaben danach werden ignoriert (RFC 7208, Abschnitt 5.1). Diese Seite schreibt all immer ganz nach hinten.
- Passt keine Angabe und gibt es keine Weiterleitung, ist das Ergebnis neutral, als hätte ?all den Eintrag beendet (Abschnitt 4.7).
Die Grenze von 10 DNS-Abfragen
Die Angaben a, mx, ptr, exists, include und redirect kosten je eine DNS-Abfrage, ebenso die Abfragen, die ein eingebundener Eintrag auslöst. Ein Empfänger, der für eine Prüfung mehr als 10 Abfragen braucht, liefert einen Fehler (RFC 7208, Abschnitt 4.6.4). Die Angaben ip4 und ip6 kosten keine Abfrage; deshalb kann ein Anbieter, der seine Netzbereiche veröffentlicht, als ip4- und ip6-Angaben statt als include eingetragen werden.
Länge und TXT-Zeichenketten
Eine Zeichenkette in einem TXT-Eintrag hat höchstens 255 Zeichen. Ein längerer Eintrag wird als mehrere Zeichenketten geschrieben, und ein Empfänger verbindet sie ohne Leerzeichen (RFC 7208, Abschnitt 3.3). Ein veröffentlichter Eintrag sollte seine Antwort im DNS unter 512 Oktetten halten (Abschnitt 3.4).
Beispiel: eine Domain, die von eigenen Servern und einem Anbieter sendet
Der Eintrag v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all lässt die eigenen Adresseinträge und Mailserver der Domain senden, lässt die beiden Netze senden und die Absender, die der Eintrag von _spf.example.net erlaubt. Alle anderen Absender scheitern (-all).
Die Angaben a, mx und include kosten je eine Abfrage, die beiden Netzangaben keine, daher macht der Eintrag 3 Abfragen. Der Eintrag von _spf.example.net kommt mit seinen eigenen Abfragen hinzu, die diese Seite nicht zählt.
| Messgröße | Wert |
|---|---|
| Eintrag | v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all |
| DNS-Abfragen | 3 von 10 DNS-Abfragen |
| Zeichen | 78 |
Häufig gestellte Fragen
Soll ich -all oder ~all verwenden?
-all sagt Empfängern, jeden Absender scheitern zu lassen, den Ihr Eintrag nicht nennt; das ist die strenge Wahl. ~all markiert andere Absender als weich abgelehnt, was viele Domains nutzen, während sie prüfen, ob ihre Liste vollständig ist. Sind Sie nicht sicher, ob die Liste vollständig ist, beginnen Sie mit ~all.
Warum scheitert ein Eintrag mit mehr als 10 Abfragen?
Ein Empfänger macht für eine Prüfung höchstens 10 DNS-Abfragen, und eine Prüfung, die mehr braucht, liefert einen Fehler (RFC 7208, Abschnitt 4.6.4). Entfernen Sie include-Angaben, die Sie nicht mehr nutzen, oder schreiben Sie die veröffentlichten Bereiche Ihres Anbieters als ip4- und ip6-Angaben, die keine Abfrage kosten.
Muss ein SPF-Eintrag aus einer einzigen Zeichenkette bestehen?
Nein. Eine TXT-Zeichenkette hat höchstens 255 Zeichen; ein längerer Eintrag wird als mehrere Zeichenketten in Anführungszeichen veröffentlicht, die ein Empfänger ohne Leerzeichen verbindet (RFC 7208, Abschnitt 3.3). Die Ausgabe Aufteilen zeigt die Zeichenketten für einen Eintrag, der für eine Zeichenkette zu lang ist.
Was bewirkt include?
include:domain sagt dem Empfänger, den SPF-Eintrag dieser Domain als Teil Ihres Eintrags zu prüfen (RFC 7208, Abschnitt 5.2). Die Abfragen dieses Eintrags zählen zu Ihrer Grenze von 10, daher kostet das include eines Anbieters womöglich mehr als die eine Abfrage, die Sie hier sehen.
Reicht ein SPF-Eintrag, um gefälschte Mails zu stoppen?
Nein. SPF prüft den Server, der die Nachricht gesendet hat; DMARC prüft danach, ob die Domain in der Zeile Von passt (RFC 7489, Abschnitt 3.1). Veröffentlichen Sie außerdem DKIM-Signaturen und eine DMARC-Richtlinie.
Sendet dieser Generator meine Domain an jemanden?
Nein. Der Eintrag wird in Ihrem Browser aus dem gebaut, was Sie eingeben, und nichts wird im Netz abgefragt oder gespeichert.
Quellen
- RFC 7208 (englisch): Sender Policy Framework (SPF)
- RFC 7489 (englisch): DMARC, Abschnitt 3.1 zur Ausrichtung
- RFC 4291 (englisch): IP Version 6 Addressing Architecture
Zahlen und Text zuletzt geprüft: Dienstag, 10. November 2026.