Einen SPF-Eintrag prüfen oder bauen
SPF fällt lautlos aus. Es funktioniert ein Jahr lang, jemand fügt einen weiteren Dienst hinzu, der Eintrag überschreitet die Grenze von zehn DNS-Lookups, und von da an behandelt ihn jeder Empfänger als kaputt — ohne dass irgendwo eine Fehlermeldung erscheint. Hier siehst du den Zähler.
- Läuft in deinem Browser, nicht auf unserem Server
- Keine Anmeldung
- Kein Wasserzeichen
Werkzeug wird geladen…
So funktioniert es
- Tipp deine Domain ein. Ergänze eine IP, wenn du wissen willst, ob genau dieser Server senden darf.
- Lies das Ergebnis, den Lookup-Zähler und die Befunde; klapp den Baum auf, um zu sehen, was jeder eingebundene Eintrag tatsächlich enthält.
- Bau dir unten mit dem Baukasten aus den Diensten, die du wirklich nutzt, einen korrekten Eintrag zusammen.
Warum nichts hochgeladen wird
Alles, was auf dieser Seite passiert, erledigt Code, der im Tab deines Browsers läuft — mit derselben Engine, die auch Webseiten darstellt. Die Datei wird von der Festplatte in den Speicher des Tabs gelesen, dort umgewandelt und als Download wieder herausgeschrieben. Sie wird nirgendwohin geschickt — weder zu uns noch zu Dritten.
Prüf es selbst nach
- Öffne die Entwicklerwerkzeuge deines Browsers (F12) und wähle den Tab „Netzwerk“.
- Lade deine Datei und starte das Werkzeug.
- Die einzigen Anfragen, die du siehst, holen den Code des Werkzeugs selbst — und bei ein paar schweren Werkzeugen dessen Open-Source-Engine von einem öffentlichen CDN — dazu ein kleines Seitenaufruf-Signal an loreatec.jp (Adresse und Titel der Seite, mehr nicht). Keine davon trägt deine Datei.
Häufige Fragen
Was genau ist die Grenze von zehn Lookups?
Jedes include, a, mx, ptr, exists und redirect kostet einen DNS-Lookup, und die in den eingebundenen Einträgen zählen mit. Der Standard (RFC 7208) deckelt die Summe bei zehn. Ein Empfänger, der den Deckel erreicht, bricht ab und liefert einen Fehler — den die meisten so behandeln, als hättest du gar kein SPF. Die übliche Ursache sind Anbieter, deren einzelnes include drei oder vier weitere Lookups versteckt. Die Lösung: Dienste rauswerfen, die du nicht mehr nutzt, oder Includes durch reine IP-Adressen ersetzen — vorsichtig, denn solche Listen veralten.
Warum ist +all so schlimm?
Weil es jedem Server im Internet erlaubt, als deine Domain zu senden. Das ist schlimmer, als gar nichts zu veröffentlichen: Ohne Eintrag greift ein Empfänger auf andere Signale zurück; mit +all hast du ausdrücklich für den Spammer gebürgt. Es taucht meist auf, wenn jemand ein Beispiel kopiert und das falsche Zeichen ändert.
Soll der Eintrag auf -all oder ~all enden?
-all heißt „alles andere abweisen“, ~all heißt „alles andere mit Misstrauen behandeln“. Fang mit ~all an, solange du noch herausfindest, was alles für dich sendet, und geh dann auf -all. Der Unterschied zählt erst, wenn DMARC steht — DMARC ist die Regel, die greift, wenn diese Prüfungen fehlschlagen, und eine DMARC-Richtlinie auf reject weist auch mit SPF ~all ab. Bleib nicht aus Vorsicht ewig auf ~all; das ist eine Zwischenstation, kein Ziel.
Kann ich zwei SPF-Einträge haben?
Nein. Zwei v=spf1-Einträge auf demselben Namen sind ein dauerhafter Fehler, und Empfänger brechen die Auswertung ab. Das passiert, wenn ein Dienst dich bittet, „diesen Eintrag hinzuzufügen“, und du einen zweiten TXT anlegst, statt seine Einträge in den vorhandenen einzubauen.
Was wird hier an wen geschickt?
Die abgefragten Domainnamen gehen von deinem Browser an den öffentlichen DNS-Dienst, den du ausgewählt hast. Der Server dieser Website ist nicht beteiligt und speichert nichts.