Zählt jeden DNS-Lookup im Eintrag

Kostenloses Tool

SPF-Check

Prüfen Sie den SPF-Eintrag jeder Domain und wie nah er am Lookup-Limit liegt

Kostenlose SPF-Prüfung für jede Domain. Wir lösen den vollständigen Eintrag aus Ihrem Browser heraus auf, folgen jedem include und redirect wie ein empfangender Mailserver und zeigen Ihnen die Zahl der DNS-Lookups von 10, die Void Lookups, die Standardrichtlinie und jeden IP-Bereich, den der Eintrag freigibt.

Geben Sie eine beliebige Domain ein. Ein Konto oder Zugriff auf ihr DNS ist nicht nötig.

Die Prüfung läuft in Ihrem Browser über DNS-over-HTTPS, der SPF-Eintrag erreicht Sie also, ohne unsere Server zu durchlaufen. Den Namen jeder geprüften Domain erhalten wir, und dieser Name löst eine unabhängige Prüfung von unseren eigenen Servern aus, deren Ergebnis wir speichern, einschließlich des SPF-Eintrags selbst, um unseren öffentlichen Domain-Index aktuell zu halten.

So nutzen Sie diesen SPF-Check

Drei Schritte vom Domainnamen zu einer belastbaren Aussage über die SPF-Einrichtung.

  1. 1

    Domain eingeben

    Geben Sie eine beliebige Domain in das Formular oben ein. Sie müssen die Domain weder besitzen noch Zugriff auf ihr DNS haben.

  2. 2

    Wir lösen den gesamten Eintrag auf

    Ihr Browser fragt die TXT-Records der Domain über DNS-over-HTTPS ab und folgt anschließend jedem gefundenen include-, redirect-, a-, mx- und exists-Term, genau wie es ein empfangender Mailserver täte.

  3. 3

    Zähler und Ergebnis ablesen

    Sie erhalten die Gesamtzahl der DNS-Lookups von 10, die Zahl der Void Lookups von 2, die Standardrichtlinie aus dem all-Mechanismus, jeden Syntaxfehler und jeden freigegebenen IP-Bereich, gruppiert nach dem include, aus dem er stammt.

Was Ihnen eine SPF-Prüfung verrät

Ein SPF-Eintrag kann syntaktisch einwandfrei sein und im Betrieb trotzdem scheitern. Nutzen Sie diese Prüfung, um:

  • zu bestätigen, dass ein neuer Absender nach der Anbindung von Google Workspace, Microsoft 365, SendGrid oder Mailchimp korrekt eingetragen wurde.
  • zu sehen, wie viel Spielraum bis zum Limit von 10 Lookups bleibt, bevor Sie ein weiteres include ergänzen.
  • einen permerror aufzuklären, der DMARC scheitern lässt, obwohl die E-Mails legitim sind.
  • einen Void Lookup zu finden, den ein abgeschalteter Host oder ein gekündigter Dienstleister hinterlassen hat.
  • zu prüfen, ob der Eintrag auf -all, ~all, ?all oder auf gar nichts endet.
  • den SPF-Eintrag eines Lieferanten oder einer zugekauften Domain zu prüfen, bevor Sie ihn in Ihrem Namen versenden lassen.

SPF verstehen

Das Limit von 10 DNS-Lookups

RFC 7208 Abschnitt 4.6.4 verlangt von Empfängern, nach 10 Termen abzubrechen, die während einer einzelnen SPF-Auswertung eine DNS-Abfrage auslösen. Diese Terme sind die Mechanismen include, a, mx, ptr und exists sowie der Modifikator redirect. Die Mechanismen ip4, ip6 und all kosten nichts, und der Modifikator exp ist ausgenommen, weil seine Abfrage erst nach Abschluss der Auswertung erfolgt. Wird das Limit überschritten, lautet das Ergebnis permerror, das Empfänger als SPF-Fehler für jede Nachricht der Domain werten. Die Zählung ist rekursiv: Jedes include bringt die Lookups des Eintrags mit, auf den es zeigt, sodass vier include-Terme leicht fünfzehn Lookups kosten.

Void Lookups, und warum die Obergrenze zwei ist

Ein Void Lookup ist eine DNS-Abfrage während der SPF-Auswertung, die nichts zurückgibt: entweder NXDOMAIN oder NOERROR mit leerem Antwortabschnitt. RFC 7208 Abschnitt 4.6.4 empfiehlt Implementierungen, Void Lookups auf zwei zu begrenzen, und nennt zwei als Standardwert; darüber hinaus lautet das Ergebnis permerror. Void Lookups lohnt es sich auch dann zu beheben, wenn die Gesamtzahl der Lookups noch bequem ist, denn jeder einzelne bedeutet, dass der Eintrag weiterhin einen abgeschalteten Host oder ein abgeschaltetes include nennt.

-all, ~all, ?all und +all

Der all-Mechanismus steht am Ende eines Eintrags und trifft auf jeden Absender zu, den kein vorheriger Term erfasst hat (RFC 7208 Abschnitt 5.1). Sein Qualifizierer entscheidet über das Ergebnis. -all bedeutet fail: die ausdrückliche Aussage, dass der Absender nicht sendeberechtigt ist. ~all bedeutet softfail: Die Domain hält den Absender für wahrscheinlich nicht sendeberechtigt, behauptet es aber nicht, und Empfänger sollen allein deswegen nicht abweisen. ?all ist neutral, und Abschnitt 8.2 verlangt von Empfängern, es genau wie einen fehlenden Eintrag zu behandeln. +all gibt jeden Host im Internet frei und hebt den Sinn eines SPF-Eintrags auf. Ein Eintrag ohne all-Mechanismus und ohne redirect endet ebenfalls neutral. Streben Sie -all an, sobald Ihre DMARC-Berichte zeigen, dass alle legitimen Absender erfasst sind.

SPF-Makros

Makros (RFC 7208 Abschnitt 7) erlauben es einem Eintrag, den abgefragten DNS-Namen aus der geprüften Nachricht zusammenzubauen, geschrieben als Prozentzeichen und ein Buchstabe in geschweiften Klammern. Das Makro i steht für die sendende IP-Adresse, s für die vollständige MAIL-FROM-Adresse, l für deren lokalen Teil, o und d für Domainnamen und h für den HELO-Namen. Große Plattformen kombinieren sie mit dem Mechanismus exists, damit ein einziger Eintrag pro Kunde oder pro IP antworten kann, ohne Tausende Einträge zu veröffentlichen. Makros sind legitim, und dieses Tool löst auf, was es kann. Ein Makro bedeutet aber, dass die tatsächliche Antwort von der Nachricht abhängt, sodass keine statische Prüfung sie vollständig vorhersagen kann. Zu vermeiden ist das Makro p: Es erzwingt eine Reverse-DNS-Abfrage, aus demselben Grund, aus dem RFC 7208 Abschnitt 5.5 vom ptr-Mechanismus abrät.

SPF-Flattening

Flattening ersetzt include-, a- und mx-Terme durch die ip4- und ip6-Bereiche, auf die sie aktuell auflösen. Von Hand eingetragen kostet der Eintrag null DNS-Lookups; ein verwalteter Dienst veröffentlicht ihn hinter einem einzigen gehosteten include, also einem Lookup. So oder so ist das der einzige verlässliche Weg, einen Eintrag mit vielen Absendern wieder unter das Limit von 10 zu bringen. Der Preis dafür: Er friert eine Momentaufnahme ein. Ändert ein Anbieter die Bereiche hinter seinem include, gibt ein von Hand geglätteter Eintrag weiterhin die alten frei und lässt E-Mails scheitern, die Sie tatsächlich versendet haben. Flattening ist deshalb nur sicher, wenn etwas den Eintrag regelmäßig neu auflöst. Geglättete Einträge sind außerdem lang, und ein TXT-Record über 255 Zeichen muss als mehrere Zeichenketten hinterlegt werden, die Empfänger wieder zusammensetzen (RFC 7208 Abschnitt 3.3).

Häufige Fragen

Was ist ein SPF-Eintrag?
SPF (Sender Policy Framework, RFC 7208) ist ein TXT-Record im DNS einer Domain, der auflistet, welche Server E-Mails mit dieser Domain in der SMTP-Adresse MAIL FROM versenden dürfen. Ein empfangender Server liest den Eintrag, gleicht ihn mit der verbindenden IP-Adresse ab und liefert pass, fail, softfail, neutral, none, temperror oder permerror zurück. DMARC nutzt dieses Ergebnis anschließend weiter, sofern die MAIL-FROM-Domain zur Domain im sichtbaren From-Header passt.
Was ist das SPF-Limit von 10 DNS-Lookups?
RFC 7208 Abschnitt 4.6.4 verlangt von Empfängern, nach 10 Termen abzubrechen, die während der Auswertung eines SPF-Eintrags eine DNS-Abfrage auslösen. Die Mechanismen include, a, mx, ptr und exists sowie der Modifikator redirect zählen alle mit; ip4, ip6 und all kosten nichts. Das Limit gilt rekursiv: Jedes include bringt auch die Lookups des Eintrags mit, auf den es zeigt. Deshalb reißt ein Eintrag mit nur vier oder fünf include-Termen das Limit regelmäßig.
Was passiert, wenn ein SPF-Eintrag mehr als 10 Lookups braucht?
Der Empfänger bricht die Auswertung ab und liefert permerror. Das gilt als SPF-Fehler für jede Nachricht, auch für E-Mails von Ihren eigenen Servern. Tragen diese Nachrichten keine passende DKIM-Signatur, scheitert auch DMARC, und die E-Mail kann als Spam markiert oder abgewiesen werden. Für den Absender bleibt das lautlos: In Ihrem DNS ändert sich nichts, der Eintrag kann das Limit also an dem Tag reißen, an dem ein Anbieter seinem eigenen include einen Bereich hinzufügt.
Was ist ein Void Lookup bei SPF?
Ein Void Lookup ist eine DNS-Abfrage während der SPF-Auswertung, die leer zurückkommt: entweder NXDOMAIN oder eine NOERROR-Antwort ohne Antwortdatensätze. RFC 7208 Abschnitt 4.6.4 empfiehlt Implementierungen, Void Lookups auf zwei zu begrenzen, und nennt zwei als Standardwert; darüber hinaus lautet das Ergebnis permerror. In der Praxis bedeutet ein Void Lookup, dass der Eintrag noch einen Host oder ein include nennt, das es nicht mehr gibt.
Sollte mein SPF-Eintrag auf -all oder auf ~all enden?
-all (fail) ist der Zielzustand. Er sagt Empfängern, dass der Absender nicht sendeberechtigt ist, und erst dadurch schränkt SPF überhaupt etwas ein. ~all (softfail) ist ein Übergangsqualifizierer: Die Domain hält den Absender für wahrscheinlich nicht sendeberechtigt, bittet Empfänger aber, allein deswegen nicht abzuweisen. Beginnen Sie mit ~all, solange Sie anhand Ihrer DMARC-Berichte prüfen, ob alle legitimen Absender erfasst sind, und wechseln Sie danach auf -all. ?all ist neutral und muss laut RFC 7208 Abschnitt 8.2 genau so behandelt werden, als gäbe es gar keinen Eintrag.
Was ist SPF-Flattening, und ist es sicher?
Flattening ersetzt include-, a- und mx-Terme durch die ip4- und ip6-Bereiche, auf die sie aktuell auflösen. Von Hand eingetragen kostet der Eintrag null DNS-Lookups; ein verwalteter Dienst veröffentlicht ihn hinter einem einzigen gehosteten include, also einem Lookup. Es ist der einzige verlässliche Weg, einen Eintrag mit vielen Absendern wieder unter das Limit von 10 zu bringen. Einmal von Hand ausgeführt, ist es unsicher: Der Eintrag friert eine Momentaufnahme ein und gibt alte Bereiche weiterhin frei, nachdem ein Anbieter seine geändert hat. Sicher ist es nur, wenn etwas den Eintrag regelmäßig neu auflöst und erneut im DNS hinterlegt.
Ist dieser SPF-Check kostenlos?
Ja, und eine Registrierung ist nicht nötig. Die Abfrage läuft in Ihrem Browser über öffentliche DNS-over-HTTPS-Resolver, der SPF-Eintrag erreicht Sie also, ohne unsere Server zu durchlaufen. Den Namen jeder geprüften Domain erhalten wir allerdings. Dieser Name löst eine unabhängige Prüfung von unseren eigenen Servern aus, deren Ergebnis wir speichern, einschließlich des SPF-Eintrags selbst, um unseren öffentlichen Domain-Index aktuell zu halten. Ein SPF-Eintrag ist ein öffentlicher DNS-Datensatz, den jeder abfragen kann.