SPF
SPF schützt Ihre Domain vor gefälschten Absenderadressen. Es legt verbindlich fest, welche Server berechtigt sind, E-Mails in Ihrem Namen zu verschicken.
Was ist SPF?
Ohne SPF kann technisch jeder beliebige Server eine E-Mail mit Ihrer Absenderadresse verschicken. Spammer und Betrüger nutzen das aus, um E-Mails zu versenden, die scheinbar von einer seriösen Domain stammen. SPF (Sender Policy Framework) setzt dem eine Grenze: In den DNS-Einstellungen Ihrer Domain wird hinterlegt, welche Server überhaupt berechtigt sind, in Ihrem Namen E-Mails zu versenden.
Wenn eine E-Mail bei einem Empfänger ankommt, prüft dessen Mailserver ob der sendende Server auf der erlaubten Liste steht. Wenn nicht, wird die E-Mail als verdächtig markiert oder direkt abgelehnt.
Funfact
SPF wurde bereits 2003 als inoffizieller Standard vorgeschlagen und 2014 in RFC 7208 offiziell standardisiert. Trotzdem versenden noch heute viele Domains E-Mails ohne SPF-Eintrag und sind damit eine leichte Zielscheibe für Missbrauch.
Wie SPF funktioniert
SPF wird als TXT-Record in den DNS-Einstellungen einer Domain hinterlegt. Ein typischer Eintrag sieht so aus:
v=spf1 include:spf.chrisign.ch -allDieser Eintrag sagt: E-Mails dürfen von den Servern versendet werden, die chrisign.ch in seiner SPF-Liste definiert. Das -all am Ende bedeutet: alle anderen Server gelten als nicht autorisiert.
Wichtig: SPF prüft nur die technische Absenderadresse im Hintergrund, nicht die sichtbare «Von»-Adresse im E-Mail-Programm. Für eine vollständige Absicherung braucht es zusätzlich DMARC.
Was SPF schützt und was nicht
SPF verhindert, dass fremde Server E-Mails unter Ihrer Domain versenden. Es schützt damit vor einer häufigen Form von Phishing, bei der Betrüger vertrauenswürdige Absenderadressen fälschen.
Was SPF nicht leistet: Es filtert keinen Spam, prüft nicht den Inhalt einer E-Mail und schützt nicht vor kompromittierten Konten. SPF ist eine von mehreren Massnahmen, die zusammenspielen müssen. DKIM ergänzt SPF um eine kryptografische Signatur des E-Mail-Inhalts, DMARC definiert, was mit E-Mails passieren soll, die SPF oder DKIM nicht bestehen. Zu beiden erscheinen hier im Glossar eigene Einträge.
SPF bei chrisign
Für alle von chrisign betreuten Domains richten wir SPF aktiv ein und halten die Einträge aktuell. Gerade wenn eine Domain mehrere Mailsysteme nutzt, etwa ein externes Newslettertool oder einen CRM-Dienst, müssen diese explizit im SPF-Record aufgeführt sein. Fehlt ein Eintrag, landen E-Mails im Spamordner oder werden gar nicht zugestellt.