Ein SPF-Eintrag, der auf ~all endet, ist ein Softfail: Post von nicht gelisteten Servern wird trotzdem zugestellt, nur als verdächtig markiert. Das ist ein sicherer Standard, während Sie Ihren Eintrag aufbauen, doch der stärkere Endzustand ist -all (Hardfail), das Empfänger anweist, nicht autorisierte Absender direkt abzulehnen.
Der letzte Mechanismus in einem SPF-Eintrag entscheidet, was mit nicht gelisteten Absendern geschieht. ~all (Softfail) = annehmen, aber markieren. -all (Hardfail) = ablehnen. ?all (neutral) und +all (alles zulassen) bieten praktisch keinen Schutz und sollten in der Produktion nie verwendet werden.
Direkt auf -all umzustellen, bevor jeder legitime Absender gelistet ist, lässt echte Post bouncen. ~all erlaubt Ihnen, einen funktionierenden Eintrag zu veröffentlichen und Ihre DMARC-Aggregatberichte zu beobachten, um zu bestätigen, dass nichts Legitimes fehlschlägt, bevor Sie verschärfen.
Setzen Sie DMARC parallel zu SPF durch — DMARC mit p=reject blockiert Spoofing tatsächlich und funktioniert auch, wenn Sie ~all beibehalten. Sobald Ihre Berichte zeigen, dass alle echten Absender SPF bestehen und ausgerichtet sind, wechseln Sie von ~all zu -all für zusätzliche Tiefenverteidigung.
Schauen Sie sich den letzten Mechanismus in Ihrer Akte an:
$ dig TXT yourdomain.com +shortPrüfen Sie jetzt Ihren SPF-Eintrag
Kostenlosen SPF-Checker öffnen →Nein — es ist eine vernünftige, gängige Einstellung. Sie ist nur nicht die stärkste. Mit DMARC bei p=reject ist ~all weiterhin gut geschützt; -all fügt eine zweite Schicht hinzu.
Nicht vollständig. SPF bricht bei Weiterleitung und prüft nur den Envelope-Absender. DMARC bindet die Authentifizierung an die sichtbare Von-Adresse und setzt eine Richtlinie durch.
