SPF-Einträge prüfen und verstehen – OpenSPF ist Geschichte

Der frühere OpenSPF-Dienst war einmal eine bekannte Anlaufstelle rund um Sender Policy Framework. Für aktuelle Mail-Konfigurationen sollte man sich jedoch nicht mehr auf alte OpenSPF-Anleitungen verlassen. Entscheidend ist der veröffentlichte SPF-TXT-Record der eigenen Domain und dessen tatsächliche DNS-Auflösung.

Was SPF macht

SPF legt fest, welche Mailserver im Namen einer Domain E-Mails versenden dürfen. Empfangende Systeme lesen den SPF-Eintrag im DNS und vergleichen ihn mit dem Server, der die Nachricht tatsächlich zugestellt hat.

Ein typischer SPF-Eintrag

Ein einfacher Record kann beispielsweise so aussehen:

v=spf1 include:spf.example.net -all

Die konkrete Konfiguration darf aber nie blind aus einem Beispiel kopiert werden. Sie muss zu den tatsächlich verwendeten Maildiensten passen.

Häufige Fehler

Mehrere separate SPF-Records für dieselbe Domain.
Ein alter Versanddienst bleibt im Record stehen, obwohl er nicht mehr verwendet wird.
Ein neuer Newsletter- oder SMTP-Dienst wird nicht ergänzt.
include-Ketten werden so komplex, dass DNS-Grenzen erreicht werden.
Man verwechselt SPF mit DKIM oder DMARC – alle drei lösen unterschiedliche Aufgaben.

So prüfe ich einen SPF-Record

TXT-Records der Domain per DNS abfragen.
Prüfen, ob genau ein gültiger SPF-Record mit v=spf1 existiert.
Jeden verwendeten Versanddienst mit der realen Mail-Infrastruktur abgleichen.
include-Einträge und Weiterleitungen nachvollziehen.
Nach Änderungen die DNS-Verteilung berücksichtigen.
Anschließend eine echte Testmail senden und die Authentication-Results im Header prüfen.

SPF allein reicht nicht

Für eine belastbare Absenderauthentifizierung gehört SPF heute in der Regel mit DKIM und DMARC zusammen. SPF bewertet den sendenden Server; DKIM versieht Nachrichten kryptografisch mit einer Domain-Signatur; DMARC verbindet die Ergebnisse mit einer Richtlinie und Reporting.

Fazit

Statt alte OpenSPF-Webseiten anzupingen oder deren Erreichbarkeit zu testen, sollte man direkt den DNS-Record und reale Mail-Header prüfen. Das liefert die Informationen, die für die Zustellbarkeit tatsächlich relevant sind.

Weiterlesen: ALL-INKL: Domain, Website, DNS und E-Mail sicher umziehen.

Weiterführend: Microsoft Learn dokumentiert SPF als Teil der E-Mail-Authentifizierung und beschreibt die Konfiguration über DNS-TXT-Records.