SPF-Checker:
bleibt Ihr Eintrag innerhalb des 10-Lookup-Limits?

Geben Sie oben Ihre Domain ein. Wir holen ihre TXT-Einträge, bestätigen, dass genau einer mit v=spf1 beginnt (zwei sind ein sofortiger Fehlschlag — sie verschmelzen nicht, sie sterben beide), und werten dann jeden Mechanismus nach RFC 7208 aus: Jedes include wird rekursiv zu einem Baum aufgelöst, jeder DNS-Lookup gegen das Budget von 10 gezählt, die abschließende all-Richtlinie bewertet und jeder IP-Bereich, den Ihr Eintrag autorisiert, zu einer Liste summiert. Kostenlos, ohne Registrierung.

Empfänger, die SPF auswerten, führen pro Prüfung höchstens 10 DNS-abfragende Mechanismen aus (RFC 7208 §4.6.4). include, a, mx, ptr, exists und redirect zählen alle mit, auch die, die in den includes Ihrer Anbieter stecken. Bei Lookup #11 bricht die Auswertung mit permerror ab. Auf Ihrer Seite kommt keine Fehlermeldung an; DMARC behandelt Ihre Domain schlicht so, als hätte sie gar kein SPF veröffentlicht. Der Bruch kommt schleichend, eine Anmeldung nach der anderen — und kündigt sich nie an.

-all ist das Ziel: ablehnen, was nicht Ihnen gehört. ~all ist der Weg dorthin: »markieren, nicht zurückweisen«. Es ist die richtige Einstellung, solange Sie noch Absender entdecken — etwa das Rechnungstool, von dem niemand erzählt hat. Es ist außerdem die sichere Wahl, wenn eine verlorene legitime E-Mail Sie mehr kostet als eine gefälschte. Zwei Einschränkungen: Mit DMARC schrumpft der praktische Unterschied, weil DMARC unautorisierte Mail in beiden Fällen scheitern lässt. Und -all am Ende eines Eintrags, der über dem Lookup-Limit liegt, ist Strenge an einem längst toten Eintrag — der permerror gewinnt.

Nein — und der Fehlermodus ist bösartig. RFC 7208 sagt: Mehrere v=spf1-Einträge führen dazu, dass die Prüfung permerror liefert: nicht »der erste gewinnt«, nicht »sie verschmelzen« — beide werden ungültig. Meist passiert es ganz harmlos: ein Website-Plugin, ein Assistent des Mailanbieters oder ein zweiter Administrator »fügt SPF hinzu«, ohne den vorhandenen Eintrag zu bemerken. Die Korrektur ist eine Minute Arbeit: alle Mechanismen in einen einzigen Eintrag zusammenführen, den Rest löschen. Genau deshalb zählt dieses Tool zuerst Ihre Einträge, noch vor allem anderen.

Es beendet Ihren Eintrag mit »…und alle anderen kommen ebenfalls durch«. Jede IP im Internet wird damit zum autorisierten Absender Ihrer Domain: Ein Spammer, der Ihre Adresse fälscht, bekommt ein SPF-pass, und wenn Ihre DMARC-Richtlinie auf SPF-Ausrichtung setzt, kann diese gefälschte Mail auch DMARC bestehen — Ihre Authentifizierung bürgt jetzt für den Angreifer. Das ist tatsächlich schlimmer, als gar kein SPF zu veröffentlichen: »kein Eintrag« macht Empfänger misstrauisch, »+all« macht sie zuversichtlich. In freier Wildbahn taucht es als vermeintliche »Korrektur« für die Zustellbarkeit auf. Wenn dieses Tool eines findet, wird es nicht zimperlich sein.

Allein nicht. SPF prüft den Envelope-Absender (die Adresse aus der SMTP-Konversation), nicht das From:, das Ihr Leser sieht. Ein Fälscher kann SPF auf seiner eigenen Domain bestehen und trotzdem Ihre anzeigen. Diese Lücke zu schließen ist Aufgabe von DMARC: Es verlangt, dass das sichtbare From zu dem passt, was SPF oder DKIM geprüft hat. Und es sagt Empfängern, was zu tun ist, wenn das nicht der Fall ist. Der vollständige Stapel ist SPF + DKIM + DMARC, und dieses Tool stellt sicher, dass das SPF-Standbein steht — denn ein permerror hier nimmt den anderen beiden still die Grundlage.

Nach steigendem Aufwand: entfernen, was nichts sendet — a und mx lassen sich bedenkenlos streichen, wenn Ihr Webserver und Ihre MX-Hosts nie ausgehende Mail versenden. ptr lässt sich immer entfernen. Tote Anbieter streichen — jedes include sollte zu einem Dienst gehören, den Sie noch bezahlen. Nach Subdomain trennen — lassen Sie Newsletter als news.yourdomain.com mit eigenem Eintrag und eigenem Budget senden. Als letztes Mittel Flattening: includes durch ihre festen ip4/ip6-Bereiche zu ersetzen kostet null Lookups. Aber es friert eine Kopie der Netze Ihrer Anbieter ein — wenn die umnummerieren, verrottet Ihr Eintrag stillschweigend. Flattening nur mit Werkzeugen oder einer Überwachung, die das nachprüfen.