SPF-Eintragsprüfer

Die Funktionsweise von SPF-Einträgen bei der E-Mail-Authentifizierung

Das Sender Policy Framework (SPF) ist ein standardisiertes Verfahren zur E-Mail-Authentifizierung, das das Fälschen von Absenderadressen (E-Mail-Spoofing) verhindern soll. Ein SPF-Eintrag wird als TXT-Eintrag im Domain Name System (DNS) einer Domain hinterlegt. Er definiert autoritativ, welche Mailserver im Namen dieser Domain E-Mails versenden dürfen.

Empfangende Mailserver rufen bei der Zustellung den SPF-Eintrag der im „Return-Path“ angegebenen Domain ab und vergleichen die IP-Adresse des sendenden Servers mit den im Eintrag definierten Regeln. Stimmt die IP-Adresse mit keinem der Mechanismen überein, bestimmt die im SPF-Eintrag festgelegte Richtlinie, wie der Empfänger mit der Nachricht verfahren soll.

Syntax und Kernbestandteile eines SPF-Eintrags

Ein gültiger SPF-Eintrag setzt sich aus einer Versionsangabe, verschiedenen Mechanismen und optionalen Modifikatoren zusammen. Die Auswertung erfolgt von links nach rechts.

• Version (v=spf1): Jeder SPF-Eintrag muss zwingend mit diesem Begriff beginnen. Er deklariert den TXT-Eintrag als SPF-Eintrag der Version 1.
• Mechanismen: Diese definieren die erlaubten IP-Adressen oder verweisen auf andere DNS-Einträge. Zu den wichtigsten Mechanismen gehören:
  • ip4 und ip6: Bestimmen konkrete IPv4- oder IPv6-Adressen beziehungsweise CIDR-Adressbereiche.
  • a und mx: Verweisen auf die A-, AAAA- oder MX-Einträge der aktuellen oder einer explizit genannten Domain.
  • include: Bindet den SPF-Eintrag einer externen Domain ein. Dies wird häufig genutzt, um Drittanbieter wie Newsletter-Dienste oder Cloud-E-Mail-Provider zu autorisieren.
  • exists: Prüft die Existenz einer IP-Adresse über eine DNS-Abfrage.
  • ptr: Verweist auf den Reverse-DNS-Eintrag der IP-Adresse.
  • all: Dieser Mechanismus steht in der Regel am Ende des Eintrags und definiert das Verhalten für alle Absender, die nicht durch die vorherigen Mechanismen erfasst wurden.
• Qualifizierer: Mechanismen können mit einem Präfix versehen werden, das das Ergebnis der Prüfung bestimmt:
  • + (Pass): Der Absender ist autorisiert (Standardwert, wenn kein Qualifizierer angegeben ist).
  • - (Fail): Der Absender ist nicht autorisiert; die E-Mail sollte abgewiesen werden.
  • ~ (SoftFail): Der Absender ist wahrscheinlich nicht autorisiert; die E-Mail wird meist angenommen, aber als potenzieller Spam markiert.
  • ? (Neutral): Es wird keine Aussage über die Autorisierung getroffen.
• Modifikatoren: Optionale Parameter wie redirect leiten die gesamte SPF-Prüfung an eine andere Domain weiter.

Das DNS-Abfragelimit von 10 Begriffen und seine Folgen

Um das Domain Name System vor Denial-of-Service-Angriffen (DoS) durch präparierte SPF-Einträge zu schützen, definiert die Spezifikation ein striktes Limit für DNS-Abfragen. Bei der Auswertung eines SPF-Eintrags dürfen maximal 10 DNS-auslösende Begriffe verarbeitet werden.

Zu den Begriffen, die eine DNS-Abfrage auslösen und somit gegen dieses Limit zählen, gehören include, a, mx, ptr, exists und redirect. Reine IP-Adressangaben über ip4 und ip6 benötigen keine DNS-Abfrage und belasten das Limit nicht.

Wird dieses Limit von 10 DNS-Abfragen während der Auswertung überschritten, müssen SPF-Empfänger die Prüfung abbrechen und das Ergebnis als permanenten Fehler (PermError) behandeln. Dies führt in der Praxis häufig dazu, dass legitime E-Mails vom empfangenden Server abgewiesen oder in den Spam-Ordner verschoben werden, was die E-Mail-Zustellbarkeit drastisch verschlechtert.

Da include- und redirect-Ziele ihrerseits weitere DNS-Abfragen auslösen können (verschachtelte Abfragen), summiert sich die Gesamtzahl über die gesamte Kette hinweg. Eine lokale Prüfung kann diese rekursive Gesamtzahl nicht vollständig ermitteln, da sie nur die direkten Begriffe des ersten Eintrags analysiert.

Erkennung von Syntaxfehlern und Richtlinienrisiken

Ein fehlerhafter SPF-Eintrag kann die E-Mail-Zustellung blockieren oder Sicherheitslücken hinterlassen. Zu den häufigsten Risiken und Fehlern gehören:

• Fehlende oder falsch platzierte Version: Der Eintrag muss zwingend mit v=spf1 beginnen. Ist dies nicht der erste Begriff oder existieren mehrere Versionsangaben, ist der Eintrag ungültig.
• Verwendung von ptr: Der Mechanismus ptr sollte nicht veröffentlicht werden. Er gilt als veraltet, da er langsam und unzuverlässig ist und von vielen Empfängern ignoriert wird.
• Unwirksame Richtlinien durch +all: Der Begriff +all erlaubt explizit jedem Server weltweit, E-Mails im Namen der Domain zu versenden. Dies setzt den Sicherheitszweck von SPF komplett außer Kraft.
• Unklare Richtlinien durch ?all: Ein neutraler Abschluss mit ?all bietet Empfängern keine klare Orientierung zur Durchsetzung von Richtlinien und erschwert den Schutz vor Missbrauch.
• Fehlender Abschluss: Enthält ein Eintrag weder all noch redirect, erhalten nicht übereinstimmende Absender standardmäßig ein neutrales Ergebnis, was die Schutzwirkung minimiert.
• Unerreichbare Begriffe: Alle Begriffe, die nach dem Mechanismus all platziert sind, werden bei der Auswertung niemals erreicht und sind somit wirkungslos. Zudem erschwert mehr als ein all-Mechanismus die Lesbarkeit und Prüfung der Richtlinie.
• Ungültige IP-Adressen: Fehlerhafte Formatierungen bei IPv4- oder IPv6-Adressen sowie fehlerhafte CIDR-Netzmasken führen zu unmittelbaren Syntaxfehlern.

Lokale Prüfung versus vollständige DNS-Abfrage

Der SPF-Eintragsprüfer führt eine lokale Syntaxprüfung durch und schätzt die DNS-Abfragen des ersten Eintrags. Es ist wichtig, den Unterschied zu einer Live-DNS-Abfrage zu verstehen:

Die lokale Prüfung eignet sich hervorragend zur Vorbereitung und Validierung neuer SPF-Einträge vor deren Veröffentlichung im DNS, um syntaktische Fehler und eine Überschreitung des Abfragelimits im Basis-Eintrag von vornherein auszuschließen.

Datenschutz bei der Nutzung des Tools

Beim SPF-Eintragsprüfer wird Datensicherheit durch das Verarbeitungsprinzip gewährleistet: Ihr SPF-Eintrag bleibt in Ihrem Browser. BroBroGo lädt den eingegebenen Text nicht hoch und speichert ihn nicht. Da die Seite keine DNS-Abfragen durchführt, keine Provider-Einträge erweitert und keine Verbindung zu externen Mailservern herstellt, werden keine Daten über Ihre Infrastruktur an Dritte übertragen.

Häufig gestellte Fragen (FAQ)

Wie wird die Anzahl der SPF-DNS-Abfragen geschätzt?

Die Schätzung zählt die Begriffe include, a, mx, ptr, exists und redirect im eingefügten Eintrag. Eingebundene und umgeleitete Einträge können weitere Abfragen verursachen, daher kann eine lokale Prüfung die endgültige rekursive Gesamtzahl nicht ermitteln.

Was passiert, wenn SPF mehr als 10 DNS-Abfragen benötigt?

SPF-Empfänger müssen eine Auswertung, die das Limit von 10 DNS-Abfragebegriffen überschreitet, als dauerhaften Fehler behandeln. Das Limit gilt für die gesamte include- und redirect-Kette, nicht nur für den ersten Eintrag.

Beweist ein fehlerfreies Ergebnis, dass meine SPF-Konfiguration funktioniert?

Nein. Diese Seite prüft nur den eingefügten Text. Sie fragt DNS nicht ab, erweitert keine Anbietereinträge, testet keine Absender-IP und bestätigt nicht, was ein empfangender Mailserver zurückgibt.

Können in Anführungszeichen gesetzte TXT-Einträge geprüft werden?

Ja. In Anführungszeichen gesetzte DNS-TXT-Abschnitte werden vom Tool vor der Analyse automatisch zusammengefügt, sodass auch kopierte Rohdaten aus DNS-Zonendateien problemlos verarbeitet werden können.