SPF (Sender Policy Framework)
Das Sender Policy Framework (SPF) ist ein Verfahren, dass den Missbrauch von Email-Absendern erschweren bzw. verhindern soll.
Bei SPF trägt der Inhaber einer Domain in seinem DNS ein, welche Server (IP-Adressen) Mails für diese Domain versenden dürfen.
Bei einer falschen Konfiguration erhalten Sender die Fehlermeldung "Emailempfang wegen SPF (Sender Policy Framework) verweigert."
Weitere Infos zum Thema sind hier: SPF, dann DKIM und dann DMARC.
Ohne SPF-Eintrag
Jeder kann die Domain in Emails für Return-Path/MAIL-FROM verwenden.
Häufig wird aber der Emailempfang (falls auch DKIM fehlt) als Spamschutz verweigert.
Mit SPF
Man muss sicherstellen das alle Sende-Quellen erwähnt sind.
Typischerweise werden Webserver oder auch Newsletter-Server vergessen, die ebenfalls Emails versenden können.
Falls man neben unseren Servern zusätzlich auch Microsoft 365 (ehemals Office 365) oder Gmail verwendet, müssen diese im SPF DNS-Eintrag ebenfalls erwähnt werden.
Empfehlung bei Benutzung...
unserer Mail- und virtuellen Webserver:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 ~all
und zusätzlichen Servern:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 ip4:x.x.x.x ~all
Dabei entspricht x.x.x.x der IP des zusätzlichen Servers und kann mehrfach eingegeben werden.
und zusätzlicher Dienstleister:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 include:Empfehlung-des-Hosters.com ~all
Dabei entspricht "Empfehlung-des-Hosters.com" dem vom externen Hoster empfohlen include Eintrag.
und zusätzlich unserem Email-Redirect (Weiterleitung):
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 ip4:62.116.130.8 ~all
Empfehlung bei Benutzung unserer Mail- und virtuellen Webserver:
und zusätzlich Microsoft 365:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 include:spf.protection.outlook.com ~all
und zusätzlich Gmail:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 include:_spf.google.com ~all
und zusätzlich Squarespace:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 include:squarespace-mail.com ~all
und zusätzlich Dailypoint:
@ TXT v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 ip4:185.98.184.0/24 ip4:80.82.206.0/26 ~all
Testen
Testen Sie am Schluss ob der Eintrag korrekt ist: https://mxtoolbox.com/spf.aspx
Beachten
- Erstellen Sie zuerst SPF, dann DKIM und dann DMARC.
- Stellen Sie sicher das alle Email-Ersteller die Emails über ein Konto des Mailserver versenden!
Z.B. ein Kontaktformular des Webservers, ein Newsletter usw. - Wenn der Mailserver mehrere Domains benutzt (Mailserver-Alias), so muss im DNS-Server jeder dieser Domains der gleiche SPF-Eintrag erstellt werden.
- Es darf nur 1 SPF-Eintrag (pro Domain oder Subdomain) erstellt werden.
- Wir empfehlen den SPF-Eintrag mit ~all zu benutzen, um Probleme mit einigen Mailserver mit -all zu umgehen (Stand 2025).
- Ein Wildcard-Eintrag "* TXT v=spf1...." scheint zwar auf den ersten Blick gut zu sein und besteht den SPF-Test. Dies erzeugt jedoch ungültige Antworten z.B. bei DMARC-Abfragen und ist daher zu unterlassen.
- SPF-Einträge müssen für jede Subdomain erstellt werden.
- SPF-Einträge dürfen nur eine beschränkte Anzahl von Namen enthalten. Testen Sie daher den Eintrag am Schluss!
