SPF (Sender Policy Framework, RFC 7208) ist ein Verfahren zur E-Mail-Authentifizierung: Eine Domain veröffentlicht im DNS, welche Mail-Server in ihrem Namen E-Mails versenden dürfen. Empfänger können damit prüfen, ob eine eingehende Nachricht wirklich von einem autorisierten Server kommt — ein wichtiger Baustein gegen E-Mail-Spoofing.
Beim Versand einer E-Mail über SMTP nennt der sendende Server den Absender im Umschlag (Envelope-Sender, Return-Path). Der Empfänger fragt für diese Domain den TXT-Record im DNS ab; dort steht, welche IP-Adressen senden dürfen. Passt die sendende IP nicht zur Liste, entscheidet der Qualifier am Ende des Records, wie die Nachricht behandelt wird.
So sieht ein SPF-Record aus
example.com IN TXT "v=spf1 ip4:192.0.2.10 include:_spf.example.net -all"Der Record beginnt mit v=spf1, listet Mechanismen (ip4, ip6, a, mx, include) und endet mit einem all-Mechanismus samt Qualifier: +all (erlaubt, Standard), ~all (Softfail, als verdächtig markieren) oder -all (Hardfail, ablehnen). Viele Dienste wie Google oder Microsoft stellen eigene include-Records bereit, über die Absender-Server eingebunden werden.
Grenzen von SPF
- SPF prüft nur den Envelope-Absender, nicht den sichtbaren From-Header — ein Angreifer kann die Anzeige trotzdem fälschen.
- Das RFC-7208-Limit erlaubt maximal zehn DNS-Lookups pro Prüfung; verschachtelte include-Records stoßen schnell an diese Grenze.
- Weiterleitungen ändern den Envelope-Sender, wodurch die SPF-Prüfung fehlschlagen kann.
Deshalb ist SPF nur ein Baustein: Zusammen mit DKIM (digitale Signatur) und DMARC (Policy und Reporting) ergibt sich die Standard-Kombination gegen Spoofing und Phishing.