SPF Records: Einfache technische Erklärung

Der Absender einer E-Mail wird im Header definiert. Den Header wiederum definiert der Versender. Damit besteht bei E-Mails die Gefahr, dass der Ersteller einer E-Mail diese im Namen einer anderen E-Mail-Adresse bzw. Domain versendet. Hier kommt der SPF-Record ins Spiel: Dieser definiert in den DNS Einträgen einer Domain, welche Server berechtigt sind, für diese Domain E-Mails zu versenden. Erfahre im folgenden mehr darüber, wie das funktioniert.

Was ist ein SPF-Record?

SPF steht für „Sender Policy Framework“. Es handelt sich um einen DNS-Eintrag, der festlegt, welche Server berechtigt sind, E-Mails im Namen deiner Domain zu senden. Wenn eine E-Mail von einem Server verschickt wird, überprüft der Empfänger den SPF-Record deiner Domain, um festzustellen, ob der sendende Server tatsächlich autorisiert ist, E-Mails in deinem Namen zu versenden.

Wie funktioniert ein SPF-Record?

Der SPF-Record enthält eine Liste von IP-Adressen und/oder Domains, die autorisiert sind, E-Mails von deiner Domain zu versenden. Wenn eine E-Mail empfangen wird, überprüft der Empfänger, ob der sendende Server in dieser Liste enthalten ist. Wenn ja, wird die E-Mail akzeptiert. Andernfalls wird sie als verdächtig betrachtet oder abgelehnt.

Wie ist der SPF Record aufgebaut?

Die Erstellung eines SPF-Records erfordert normalerweise einige Kenntnisse im Umgang mit DNS-Einträgen. Du kannst deinen SPF-Record in der DNS-Konfiguration deines Domain-Hosting-Anbieters hinzufügen. Der genaue Eintrag hängt von den Servern und Diensten ab, die zum Versenden von E-Mails im Namen deiner Domain autorisiert sind.

Wichtig ist hierbei, dass du dir sicher bist, was du tust. Ein falscher SPF Record kann dazu führen, dass die versendeten E-Mails deiner Domain nicht mehr zugestellt werden können.

Hier ist ein einfaches Beispiel für einen SPF-Record:

v=spf1 mx -all

In diesem Beispiel:

• v=spf1 gibt an, dass es sich um einen SPF-Record handelt und dass die folgenden Regeln für die SPF-Prüfung gelten.
• mx autorisiert die Server, die als MX-Records für die Domain festgelegt sind. Die MX-Records definieren die Mail-Server, die für den Empfang von E-Mails für die Domain verantwortlich sind. Wenn ein Server als MX-Server für die Domain konfiguriert ist, wird er automatisch durch den SPF-Record autorisiert, E-Mails im Namen dieser Domain zu senden.
• -all zeigt an, dass alle anderen Server, die nicht als MX-Server für die Domain definiert sind, keine Berechtigung haben, E-Mails im Namen der Domain zu senden. E-Mails von nicht autorisierten Servern werden abgelehnt.

Dieser SPF-Record ist ein durchaus gängiges Setup, bei dem E-Mails von dem oder den MX-Servern der Domain als legitim angesehen werden, während E-Mails von anderen Quellen blockiert werden. Zu beachten ist jedoch, dass die genaue Konfiguration von SPF-Records je nach den Anforderungen und der E-Mail-Infrastruktur deines Unternehmens oder deines Hosting Providers variieren kann.

Umfangreicheres Beispiel für einen SPF Record

v=spf1
  ip4:192.168.1.1
  ip6:2001:0db8:85a3:0000:0000:8a2e:0370:7334
  a:mailserver.example.com
  include:_spf.example.net
  mx
  -all

In diesem Beispiel:

• v=spf1 gibt an, dass es sich um einen SPF-Record handelt und dass die folgenden Regeln für die SPF-Prüfung gelten.
• ip4:192.168.1.1 autorisiert den IPv4-Server mit der Adresse „192.168.1.1“, E-Mails im Namen der Domain zu senden.
• ip6:2001:0db8:85a3:0000:0000:8a2e:0370:7334 autorisiert den IPv6-Server mit der Adresse „2001:0db8:85a3:0000:0000:8a2e:0370:7334“, E-Mails im Namen der Domain zu senden.
• a:mailserver.example.com autorisiert den Server „mailserver.example.com“, E-Mails im Namen der Domain zu senden.
• include:_spf.example.net weist den SPF-Checker an, den SPF-Record aus _spf.example.net ebenfalls zu berücksichtigen. Dadurch können die autorisierten Server in diesem Record ebenfalls E-Mails im Namen der Domain senden.
• mx autorisiert die Server, die als MX-Records für die Domain festgelegt sind. Die MX-Records definieren die Mail-Server, die für den Empfang von E-Mails für die Domain verantwortlich sind.
• -all zeigt an, dass alle anderen Server keine Berechtigung haben, E-Mails im Namen der Domain zu senden. E-Mails von nicht autorisierten Servern werden abgelehnt.