Einen SPF-Eintrag prüfen, jedes include auflösen und DNS-Abfragen gegen das Limit von 10 zählen
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Eine SPF-Prüfung liest den TXT-Eintrag, der festlegt, welche Server Mail für eine Domain senden dürfen, folgt jedem include und redirect und zählt die DNS-Abfragen. RFC 7208 erlaubt höchstens 10 Abfragen und 2 leere; ein Eintrag über einer der beiden Grenzen scheitert bei jedem Empfänger, so korrekt er auch aussieht.
Diese Seite wurde maschinell aus dem englischen Original übersetzt. Die Übersetzung wurde noch von keinem Menschen geprüft; maßgeblich ist die englische Fassung. Englisches Original lesen
Geben Sie die Domain, etwa example.com, in das Feld Domain ein.
Drücken Sie SPF prüfen, um den Eintrag zu lesen und jedem include zu folgen.
Lesen Sie unter dem Ergebnis die Zahl der DNS-Abfragen von 10 und wie der Eintrag endet.
Lesen Sie Aufgelöst, jede Abfrage nummeriert, um zu sehen, welches include die meisten Abfragen verursacht.
Drücken Sie Baum kopieren, um den aufgelösten Eintrag zu behalten.
Geben Sie eine Domain ein, und die Seite fragt einen öffentlichen DNS-over-HTTPS-Resolver (Cloudflare oder Google, nach Ihrer Wahl) nach ihren TXT-Einträgen, wählt den aus, der mit v=spf1 beginnt, und liest ihn Term für Term. Jedem include: und redirect= wird gefolgt, und die Einträge, auf die sie zeigen, werden ebenso gelesen, sodass der ganze Baum erlaubter Netze auf einem Bildschirm steht.
Entscheidend ist die Zahl der DNS-Abfragen. RFC 7208 Abschnitt 4.6.4 begrenzt eine Prüfung auf 10 Terme, die DNS brauchen: include, a, mx, ptr, exists und redirect zählen jeweils eins, wo immer sie im Baum stehen, während ip4, ip6 und all nichts zählen. Jeder gezählte Term ist im Baum nummeriert, sodass Sie bei einer Überschreitung sehen, welches include den Eintrag darüber gebracht hat. Abfragen, die nichts finden, sogenannte Void-Abfragen, sind auf 2 begrenzt, und ein Name, der nicht mehr existiert, wird als void angezeigt.
Das Ergebnis nennt, was Empfänger tatsächlich tun: Zwei SPF-Einträge unter einem Namen sind ein permanenter Fehler, +all lässt jeden im Namen der Domain senden, ?all oder ein fehlendes all liefert für nicht aufgeführte Server keine Antwort, ptr wird nicht empfohlen, und Terme nach all werden nie gelesen. ~all bittet Empfänger, Mail von nicht aufgeführten Servern zu markieren; -all bittet sie, sie scheitern zu lassen. Jede Zeile nennt den Abschnitt von RFC 7208, aus dem sie stammt.
Was sie nicht tut: Sie prüft den Eintrag, nicht eine Nachricht. Terme mit Makros wie %{i} werden aus der Absenderadresse jeder Nachricht gefüllt, daher werden sie gezählt, aber nicht abgefragt. Sie kann nicht sagen, ob die Adresse eines bestimmten Servers abgedeckt ist, es sei denn, diese Adresse steht im Eintrag.
Der Generator-Tab schreibt aus Ihren Auswahlen einen Eintrag, mit den von Google Workspace und Microsoft 365 dokumentierten includes, und zeigt, wie viele Abfragen er vor denen der Anbieter selbst verbraucht.
Die Domain, die Sie eingeben, wird an den von Ihnen gewählten Resolver gesendet, weil eine Abfrage sie braucht. Nichts anderes verlässt Ihr Gerät.
RFC 7208 erlaubt einem Empfänger bei der Prüfung eines SPF-Eintrags höchstens 10 DNS-Abfragen und zählt dabei jedes include, a, mx, ptr, exists und redirect im ganzen Baum. Über 10 ist das Ergebnis ein permanenter Fehler, und SPF scheitert für jede Nachricht, selbst von Servern, die der Eintrag aufführt.
Beides ist gültig. Ein Eintrag mit -all bittet Empfänger, Mail von nicht aufgeführten Servern scheitern zu lassen; ~all bittet sie, sie anzunehmen, aber als verdächtig zu markieren. Viele Domains beginnen mit ~all, solange sie jeden Absender ermitteln, und wechseln dann zu -all. Ein Ende mit +all oder ganz ohne all bietet keinen Schutz.
Nein. RFC 7208 schreibt vor, dass eine Domain genau einen TXT-Eintrag veröffentlicht, der mit v=spf1 beginnt. Bei zweien können Empfänger nicht wählen und liefern einen permanenten Fehler, sodass SPF für alle Mail scheitert. Führen Sie sie zu einem Eintrag zusammen und behalten Sie jedes include und jede Adresse aus beiden.
Ein ip4- oder ip6-Term enthält den Adressbereich bereits, seine Prüfung braucht also keine DNS-Abfrage. Include, a, mx, exists, ptr und redirect brauchen mindestens eine Abfrage, um herauszufinden, wofür sie stehen. Ein stabiles include durch seine Adressbereiche zu ersetzen, ist der übliche Weg, unter 10 zu kommen.
Ja, der Domainname geht an den öffentlichen DNS-Resolver, den Sie wählen, Cloudflare oder Google, weil eine DNS-Abfrage ihn braucht. Der Resolver sieht die abgefragten Namen und Ihre IP-Adresse, wie bei jeder DNS-Abfrage. Nichts anderes verlässt Ihr Gerät, und diese Website speichert nichts über die Prüfung.
Eine Void-Abfrage ist eine DNS-Abfrage, die nichts findet: Der Name existiert nicht, oder er existiert ohne Eintrag des abgefragten Typs. RFC 7208 bittet Empfänger, höchstens 2 zuzulassen, weil ein Eintrag voller toter Namen ein häufiger Angriff auf Empfänger ist. Entfernen Sie Namen, die nicht mehr existieren.
Kommen Sie nicht weiter? Fragen Sie zu SPF-Prüfung und jeder, der es weiß, kann antworten. Kein Konto nötig.