Zum Inhalt springen
← Tools

SPF-Record prüfen

SPF-Record einer Domain prüfen: Mechanismen parsen, DNS-Lookup-Limit (max. 10 nach RFC 7208) zählen, kaputte Includes und Konfigurations-Risiken aufdecken.

Methodik & Funktionsweise

Was wird geprüft?

Prüft den SPF-Record einer Domain auf Vorhandensein, Mechanismen, kaputte Includes und das DNS-Lookup-Limit nach RFC 7208.

Wie funktioniert es?

Liest den v=spf1-Record aus dem TXT, parst alle Mechanismen (ip4, ip6, a, mx, include, exists, ptr, all, redirect) mit Qualifier (+, -, ~, ?) und löst include-/redirect-Ketten rekursiv auf. Jeder a/mx/include/exists/ptr/redirect-Mechanismus zählt als 1 DNS-Lookup; bei mehr als 10 werten Empfänger den Record als PERMERROR (RFC 7208 §4.6.4). Includes ohne eigenen SPF-Record, deprecated ptr-Mechanismen, "+all" (offen), "?all" (neutral) und mehrere SPF-Records nebeneinander werden als Issues gemeldet.

Beispiel-Ergebnis

salesforce.com → v=spf1 include:_spf.google.com include:_spf.salesforce.com exists:%{i}._spf.corp.salesforce.com ~all (4 DNS-Lookups, softfail, keine kaputten Includes)

Hinweise

Die Lookup-Zählung deckt nicht nur die direkt im Record sichtbaren Mechanismen ab, sondern auch alle Lookups in rekursiv aufgelösten Include-Ziel-Records — das spiegelt wider, wie ein empfangender Mailserver SPF wirklich auswertet.

Was prüft der SPF Checker?

Der SPF Checker liest den v=spf1-TXT-Record einer Domain und parst alle Mechanismen (ip4, ip6, a, mx, include, exists, ptr, all) mit ihren Qualifiern. Entscheidend ist das DNS-Lookup-Limit nach RFC 7208: Empfangende Mailserver dürfen maximal 10 DNS-Queries bei der Auswertung machen. Der Checker zählt die Lookups rekursiv über alle include:-Ketten und meldet Ueberschreitung als PERMERROR. Visualisiert wird der komplette Include-Baum mit Records, Mechanismen und einzelnen Lookup-Beiträgen pro Knoten. Häufige Befunde: mehrere SPF-Records, kaputte Includes, "+all" (offen), deprecated ptr-Mechanismus.

SPF richtig aufsetzen

  • 1Nutzen Sie -all (strict) statt ~all (softfail), sobald alle legitimen Sender abgedeckt sind.
  • 2Bei drohender 10-Lookup-Grenze: SPF-Flattening oder unbenutzte includes entfernen.
  • 3Niemals zwei v=spf1-TXTs nebeneinander.
  • 4Vermeiden Sie ptr.