{"id":20349,"date":"2020-07-28T04:23:04","date_gmt":"2020-07-28T04:23:04","guid":{"rendered":"https:\/\/easydmarc.com\/blog\/?p=20349"},"modified":"2023-06-09T14:12:25","modified_gmt":"2023-06-09T14:12:25","slug":"wie-kann-man-den-spf-eintrag-optimieren","status":"publish","type":"post","link":"https:\/\/easydmarc.com\/blog\/de\/wie-kann-man-den-spf-eintrag-optimieren\/","title":{"rendered":"Wie kann man den SPF-Eintrag optimieren?"},"content":{"rendered":"
Wenn Sie eine Domain haben, die E-Mails versendet, haben Sie wahrscheinlich einen Standard-SPF-Eintrag, der bereits vom Hosting-Provider eingestellt wurde. Warum also m\u00fcssen Sie den SPF-Eintrag optimieren?<\/span><\/p>\n Dieser Eintrag besteht in der Regel entweder aus A- oder IP4- \/ IP6- und MX-Mechanismen, wenn Sie ein dediziertes Hosting haben, oder aus MX- und INCLUDE-Mechanismen, wenn Sie Shared Hosting nutzen. <\/span><\/p>\n Dieser Standard-SPF-Eintrag stellt sicher, dass E-Mails, die von Ihrer Website oder Ihrem VPS-Rechner bei Ihrem Hosting-Provider gesendet werden, authentifiziert werden. <\/span><\/p>\n Im wirklichen Leben verwenden Unternehmen jedoch auch eine Vielzahl anderer Systeme von Drittanbietern, um E-Mails von ihrer Domain aus zu versenden (z. B. CRM oder Cloud-E-Mail-Anbieter wie G Suite oder Office 365), so dass der Standard-Eintrag ge\u00e4ndert werden muss, um die Server abzudecken, von denen Systeme von Drittanbietern E-Mails senden, damit ihre E-Mails authentifiziert bleiben.<\/span><\/p>\n Sie k\u00f6nnen einen neuen SPF-Eintrag erstellen oder einen bestehenden \u00e4ndern, indem Sie eine der folgenden M\u00f6glichkeiten nutzen:<\/span><\/p>\n Verwenden Sie unseren <\/span>SPF-Eintrag-Generator<\/span><\/a>, um einen neuen SPF-Eintrag zu erstellen oder einen bestehenden zu aktualisieren. Dieses Tool generiert einen syntaktisch korrekten Eintrag und weist gleichzeitig auf die Probleme mit den verwendeten Mechanismen hin, wenn diese bei der Validierung des generierten Eintrags entdeckt werden.<\/span><\/p>\n <\/p>\n Bei der Pflege eines effizient arbeitenden SPF-Eintrags gibt es mehrere versteckte Herausforderungen. Einige davon beziehen sich auf die Syntax des Eintrags, andere auf Beschr\u00e4nkungen, die noch aus der Zeit stammen, als SPF als Standard eingef\u00fchrt wurde (2006).<\/span><\/p>\n Hier ist die Liste der bekanntesten F\u00e4lle:<\/span><\/p>\n Der PRT-Mechanismus verlangt ein DNS-Reverse-Mapping der sendenden IP-Adresse und f\u00fchrt dann eine DNS-Abfrage der zur\u00fcckgegebenen Hostnamen durch, um zu \u00fcberpr\u00fcfen, ob die sendende IP-Adresse zu den aufgel\u00f6sten IP-Adressen geh\u00f6rt. In F\u00e4llen, in denen die IP-Adresse in viele Hostnamen-Eintr\u00e4ge aufgel\u00f6st wird, wie z. B. <\/span>hier<\/span><\/a>, werden mehrere DNS-Abfragen initiiert, was dazu f\u00fchren kann, dass das Limit von 10 DNS-Abfragen erreicht wird, wie in einem der folgenden Punkte beschrieben. Es ist nicht m\u00f6glich, den PTR-Mechanismus w\u00e4hrend der SPF-Eintragspr\u00fcfung zu validieren, da es sich um einen dynamischen Mechanismus handelt, der von der sendenden IP abh\u00e4ngt.<\/span><\/p>\n Wenn Ihre Domain durch ein CDN wie z. B. Cloudflare gesch\u00fctzt ist und DNS A \/ AAAA-Eintr\u00e4ge als Proxy verwendet werden, werden diese Eintr\u00e4ge auf die Proxy-IP und nicht auf die tats\u00e4chliche IP-Adresse des Hosts, der die E-Mails sendet, aufgel\u00f6st. In solchen F\u00e4llen m\u00fcssen Sie den A-Mechanismus durch IP4 \/ IP6 ersetzen und die tats\u00e4chliche IP-Adresse des sendenden Servers angeben.<\/span><\/p>\n „<\/span>SPF zu viele DNS-Abfragen<\/span><\/a>“ ist die h\u00e4ufigste Herausforderung, die auftritt, wenn zus\u00e4tzliche E-Mail-Quellen zum SPF-Eintrag hinzugef\u00fcgt werden. Gem\u00e4\u00df <\/span>RFC7208<\/span><\/a> sollte die maximale Anzahl der erlaubten DNS-Abfragen auf 10 begrenzt werden, um eine unangemessene Belastung des DNS zu vermeiden. Jeder der a-, mx- oder include-Mechanismen sowie der Redirect-Modifier weist den empfangenden Mailserver an, eine DNS-Abfrage durchzuf\u00fchren, um die Hosts in IP-Adressen aufzul\u00f6sen. Wenn der SPF-Eintrag, der vom include-Mechanismus aufgel\u00f6st wurde, einen weiteren include-Mechanismus enth\u00e4lt, erh\u00f6ht sich die Anzahl der DNS-Abfragen um eins usw. Es ist nicht so einfach, die Anzahl der Abfragen zu z\u00e4hlen und die \u00dcberschreitung des Limits festzustellen, ohne ein spezielles <\/span>Abfrage-Tool<\/span><\/a> zu verwenden.<\/span><\/p>\n Der SPF-Eintrag wird von links nach rechts gelesen, daher wird der Mechanismus\/Modifikator, der sich in der Zeichenkette nach der 10. Abfrage befindet, ignoriert und E-Mails, die von der Quelle kommen, die durch diese ignorierten Mechanismen definiert ist, werden bei der SPF-Authentifizierung mit dem Pr\u00fcfergebniscode „permerror“ scheitern.<\/span><\/p>\n Dieser Fall wird im selben Abschnitt von RFC7208 erw\u00e4hnt, in dem die Beschr\u00e4nkung von 10 DNS-Abfragen definiert wird. Wenn der A-, MX-, INCLUDE-Mechanismus im SPF-Eintrag den Hostnamen aufl\u00f6sen kann, die zur\u00fcckgegebene Antwort aber ung\u00fcltig ist (z. B. include:existing-domain-with-no-spf.com) oder ein Hostname nicht aufgel\u00f6st werden kann (z. B. a:non-exising-domain.com), dann spricht man von „ung\u00fcltigen Abfragen“. Es wird empfohlen, die Verarbeitung von SPF-Eintr\u00e4gen zu stoppen, sobald die Anzahl der ung\u00fcltigen Ergebnisse 2 erreicht hat. Ein \u00dcberschreiten dieses Limits sollte ebenfalls einen „Permerror“-Pr\u00fcfergebniscode erzeugen.<\/span><\/p>\n Es ist auch ziemlich schwer, den Fall zu erkennen, dass ein Include-Mechanismus direkte oder indirekte Include-Mechanismen zu sich selbst enth\u00e4lt, was eine Endlosschleife erzeugt und sofort zu einer Einschr\u00e4nkung der DNS-Abfragen f\u00fchrt. Zwei Beispiele f\u00fcr solche Eintr\u00e4ge:<\/span><\/p>\n example.com TXT v=spf1 include:example.com ~all<\/span><\/p>\n ODER<\/span><\/p>\n sub1.example.com TXT v=spf1 include:sub2example.com include:sub3.example.com ~all<\/span><\/p>\n sub3.example.com TXT v=spf1 include:sub1.example.com ~all<\/span><\/p>\n Wenn Sie versehentlich ein zus\u00e4tzliches Leerzeichen im Namen des Mechanismus oder der Domain eingeben (z. B. inclu de:_spf.google.com oder a:so mecrm.com oder ip 4:12.3 4.56.78 ), kann der Rest der Zeichenkette nach dem nicht erkannten Element ignoriert werden, so dass die korrekten Quellen, die nach dem fehlerhaften Element aufgelistet sind, fallen gelassen werden, wenn der empfangende Mailserver eine Suche nach Ihrem Domain SPF-Eintrag durchf\u00fchrt. Au\u00dferdem wird das Leerzeichen im Hostnamen, auf das die Mechanismen A und INCLUDE verweisen, als ung\u00fcltige Abfrage behandelt.<\/span><\/p>\n Sie m\u00fcssen sicherstellen, dass nur ein TXT-Eintrag, der mit „v=spf1“ beginnt, in der Domain-DNS existiert. Mehr als ein TXT-Eintrag, der mit „v=spf1“ beginnt, f\u00fchrt zu unvorhersehbaren Ergebnissen bei der Suche durch den empfangenden Mailserver und die SPF-Validierung kann fehlschlagen.<\/span><\/p>\n Die maximale L\u00e4nge eines einzelnen TXT-Eintrags ist auf 255 Byte begrenzt. Gem\u00e4\u00df <\/span>RFC7208<\/span><\/a> k\u00f6nnen jedoch mehrere Datenstrings mit einer L\u00e4nge von jeweils bis zu 255 Byte zu einem TXT-Eintrag verkettet werden, wenn Sie einen l\u00e4ngeren SPF-Eintrag ben\u00f6tigen. Z.B.TXT <\/span>„v=spf1 …. first string-“ „second string…“<\/span><\/i> wird geparst als TXT <\/span>„v=spf1 …. first string-second string…“<\/span><\/i>.<\/span><\/p>\n <\/p>\n Alle oben genannten F\u00e4lle k\u00f6nnen von unserem Tool zur <\/span>SPF-Eintrag-Abfrage<\/span><\/a> erkannt und angezeigt werden, siehe Screenshot:<\/span><\/p>\n <\/p>\n Nachfolgend finden Sie die Schritte, die Ihnen helfen, den SPF-Eintrag zu optimieren:<\/span><\/p>\n Der SPF-Eintrag wird von links nach rechts gelesen, daher ist es sinnvoll, die wichtigsten oder am h\u00e4ufigsten verwendeten E-Mail-Quellen an den Anfang des Eintrags zu setzen.<\/span><\/p>\n Manchmal m\u00fcssen Sie teuren SPF-Speicherplatz von doppelten Quellen freimachen und neue Quellen hinzuf\u00fcgen, insbesondere wenn Sie kurz davor sind, die Grenze von 10 DNS-Abfragen zu erreichen. Verwenden Sie unser Tool zur <\/span>SPF-Eintrag-Abfrage<\/span><\/a>, um doppelte Quellen in der erweiterten Struktur des SPF-Eintrags zu erkennen.<\/span><\/p>\n Wenn Sie die DMARC-Berichte \u00fcber einen ausreichenden Zeitraum (z. B. 1-2 Monate) analysieren, k\u00f6nnen Sie einige zum SPF-Eintrag hinzugef\u00fcgte Quellen erkennen, die in diesem Zeitraum keine E-Mails versendet haben. Vergewissern Sie sich, ob die zugeh\u00f6rigen Systeme noch in Ihrem Unternehmen verwendet werden, und entfernen Sie sie, wenn sie nicht mehr verwendet werden.<\/span><\/p>\n Jeder INCLUDE-Mechanismus ben\u00f6tigt eine DNS-Abfrage. Wenn der INCLUDE-Mechanismus keine direkt hinzugef\u00fcgten IP4\/IP6-Mechanismen enth\u00e4lt, sondern andere INCLUDEs, die ebenfalls eine DNS-Abfrage erfordern, k\u00f6nnen Sie versuchen, diese INCLUDEs durch IP4\/IP6 zu ersetzen.<\/span><\/p>\n Dies ist jedoch ein sehr heikler Schritt, insbesondere wenn sich INCLUDE auf einen ESP-Dienst einer dritten Partei bezieht. Es kann leicht passieren, dass Sie die SPF-Konformit\u00e4t Ihrer E-Mails verletzen, weil Sie nie wissen werden, ob Ihr ESP eines Tages beschlie\u00dft, E-Mails von neuen IPs zu versenden und sein SPF zu aktualisieren. Au\u00dferdem m\u00fcssen Sie an die empfohlene Begrenzung der Gr\u00f6\u00dfe des SPF-Eintrags denken, die in ein DNS-Abfrage-UDP-Antwortpaket passt (512 Byte).<\/span><\/p>\n Der MX-Mechanismus nimmt eine DNS-Abfrage vom Limit von 10 DNS-Abfragen und l\u00f6st au\u00dferdem eine DNS-Abfrage f\u00fcr Hostnamen aus, auf die Ihre MX-Eintr\u00e4ge verweisen. Diese Nachforschungen werden zwar nicht auf das SPF-DNS-Abfrage-Limit angerechnet, k\u00f6nnen aber die Latenzzeit der E-Mail-Zustellung erh\u00f6hen.<\/span><\/p>\n Es w\u00e4re sinnvoller, stattdessen IP4-\/IP6-Mechanismen zu verwenden und IP-Bereiche einzubeziehen, von denen aus Ihre MX-E-Mails gesendet werden, um die Antwortzeiten auf DNS-Abfragen zu verk\u00fcrzen.<\/span><\/p>\n Die Verwendung von IP4\/IP6-Direktiven ist auch f\u00fcr den A-Mechanismus geeignet.<\/span><\/p>\n Wie Sie wissen, wird die SPF-Pr\u00fcfung anhand der Domain in der Return-path-E-Mail-Adresse (smtp.mailfrom) oder der Domain in smtp.helo (wenn smtp.mailfrom leer ist) durchgef\u00fchrt. Normalerweise sind die Domain in der „Header From“- und „Return-path“-Adresse dieselbe. In Google Mail sehen Sie die „Header From“-Adresse im From-Feld und die „Return-path \/ smtp.helo“-Domain im Mailed-by-Feld.<\/span><\/p>\n Siehe nachstehendes Beispiel:<\/span><\/p>\n <\/p>\n Header From: VMware <vmwareteam@engage.vmware.com><\/span><\/i><\/p>\n Return-Path: <bounce@engage.vmware.com><\/span><\/i><\/p>\n Einige ESPs verwenden jedoch ihre eigene Domain in der Return-Path-E-Mail-Adresse, siehe Beispiel unten:<\/span><\/p>\n <\/p>\n Header From: Booked Scheduler <support@bookedscheduler.com><\/span><\/i><\/p>\n Return-Path: <bounce-mc.us19_134631002.4790858-956d20b353@mail249.suw12.mcsv.net><\/span><\/i><\/p>\n In den Konfigurationshandb\u00fcchern vieler dieser „nicht konformen“ ESPs wird entweder empfohlen oder verlangt, dass Sie deren SPF-Include-String in den SPF-Eintrag Ihrer Domain aufnehmen. Offensichtlich ist dies das Ergebnis mangelnder Kenntnisse \u00fcber die Funktionsweise der SPF-Verifizierung. Einige der bekannten ESPs, die ihre eigene Domain in Return-Path-Adressen verwenden, sind Active Campaign, Aweber, Mailchimp, Marketo und Salesforce.<\/span><\/p>\n Da, wie bereits erw\u00e4hnt, der empfangende Server eine \u00dcberpr\u00fcfung des SPF-Eintrags der Domain durchf\u00fchrt, der in der Return-path-Adresse und nicht in der Header From-Adresse angegeben ist, ist es nicht erforderlich, den SPF-Include-String des ESP in den SPF-Eintrag Ihrer Domain einzuf\u00fcgen. Dies w\u00fcrde nur teuren Speicherplatz belegen und unn\u00f6tige DNS-Abfragen ausl\u00f6sen.<\/span><\/p>\n Wenn aufgrund der Verwendung vieler INCLUDE-Mechanismen das Limit von 10 DNS-Abfragen vollst\u00e4ndig ausgesch\u00f6pft ist, k\u00f6nnen Sie versuchen, einige E-Mail-Quellen so zu rekonfigurieren, dass sie von einer Subdomain und nicht von der Root-Domain gesendet werden (siehe das VMware-E-Mail-Beispiel in Punkt 6), und die INCLUDE-Zeichenfolge dieser Quellen in einen neuen SPF-Eintrag verschieben, der f\u00fcr die Subdomain erstellt wurde.<\/span><\/p>\n Und schlie\u00dflich, wenn Sie die obigen 7 Empfehlungen nicht selbst umsetzen m\u00f6chten, was definitiv viel Zeit f\u00fcr die Optimierung in Anspruch nehmen wird, sowie eine regelm\u00e4\u00dfige \u00dcberpr\u00fcfung der SPF-Eintr\u00e4ge von Drittanbieter-ESPs auf m\u00f6gliche \u00c4nderungen voraussetzt (anwendbar, wenn Sie die Empfehlung #4 umsetzen), k\u00f6nnen Sie unsere EasySPF-L\u00f6sung verwenden, die alle obigen Empfehlungen automatisch f\u00fcr Sie erledigt, ohne jegliches Eingreifen Ihrerseits.<\/span><\/p>\n Sie m\u00fcssen lediglich den EasySPF-Dienst aktivieren und Ihren SPF-Eintrag durch unseren angepassten Eintrag f\u00fcr Smart SPF ersetzen.<\/span><\/p>\n <\/p> Klaviyo SPF- und DKIM-Einrichtung: Schritt f\u00fcr Schritt<\/span><\/a><\/p>\n Shopify SPF-Konfiguration: Schritt f\u00fcr Schritt<\/span><\/a><\/p>\n Simple Mail Transfer Protocol (SMTP) TLS-Berichterstattung<\/span><\/a><\/p>\n SPF Permerror \u2013 SPF zu viele DNS-Abfragen<\/span><\/a><\/p>\n\n
Erstellen eines neuen oder \u00c4ndern eines bestehenden SPF-Eintrags<\/b><\/h3>\n
\n
<\/h3>\n
\u00dcberpr\u00fcfung des SPF-Eintrags auf korrekte Syntax und Einschr\u00e4nkungen<\/b><\/h3>\n
\n
\n
\n
\n
\n
\n
\n
\n
Sie m\u00fcssen auch sicherstellen, dass die DNS-Zonenverwaltungsschnittstelle Ihres Domain Host Providers TXT-Eintr\u00e4ge unterst\u00fctzt, die l\u00e4nger als 255 Bytes sind. Sollte dies nicht der Fall sein, m\u00fcssen Sie in Erw\u00e4gung ziehen, Ihre Domain-DNS-Zone auf ein alternatives System zu verschieben, das lange TXT-Eintr\u00e4ge unterst\u00fctzt, z. B. Cloudflare. Neben dem oben Gesagten gibt es eine weitere wichtige Einschr\u00e4nkung, die speziell f\u00fcr SPF-TXT-Eintr\u00e4ge gilt. Es wird empfohlen, die Eintragsgr\u00f6\u00dfe klein genug zu halten, so dass das Ergebnis der DNS-Abfrageantwort 512 Bytes umfasst. Andernfalls besteht die M\u00f6glichkeit, dass eine im <\/span>DNS-Protokoll<\/span><\/a> festgelegte Grenze f\u00fcr die Gr\u00f6\u00dfe von UDP-Paketen \u00fcberschritten wird. Obwohl diese Beschr\u00e4nkung in <\/span>RFC6891<\/span><\/a> \u00fcberarbeitet wurde, sollte die Unterschreitung von 512 Bytes immer noch F\u00e4lle vermeiden, in denen Parteien mit \u00e4lteren, nicht RFC6891-konformen DNS-Implementierungen E-Mails von Domains mit langen SPF-Eintr\u00e4gen nicht validieren k\u00f6nnen. Tats\u00e4chlich gibt die DNS-Abfrage, die zum Lesen des SPF-Eintrags ausgef\u00fchrt wird, nicht nur den SPF-Eintrag zur\u00fcck, sondern alle TXT-Eintr\u00e4ge, die im Domain-DNS ver\u00f6ffentlicht sind. Da Ihre Domain andere TXT-Eintr\u00e4ge haben kann (und wahrscheinlich auch hat), wie z.B. Google Websites, Microsoft O365 oder andere Systeme, die TXT-Eintr\u00e4ge verifizieren, m\u00fcssen Sie daran denken, diese ebenfalls zu z\u00e4hlen, wenn Sie die verbleibende Gr\u00f6\u00dfe f\u00fcr den SPF-Eintrag berechnen (512 – DNS-Hostname – L\u00e4nge aller anderen TXT-Eintr\u00e4ge) <\/span>Sie k\u00f6nnen den txt-Befehl <\/span>dig example.com <\/span><\/i>unter Linux oder das Online-Tool <\/span>Dig Web Interface<\/span><\/a> verwenden, um zu sehen, wie viele TXT-Eintr\u00e4ge Sie haben und die sichere Gr\u00f6\u00dfe f\u00fcr den SPF-Eintrag zu berechnen:<\/span><\/i><\/b><\/h4>\n
Optimierung des SPF-Eintrags<\/b><\/h3>\n
\n
\n
\n
\n
\n
\n
\n
\n