SPF PermError: zu viele DNS-Abfragen und wie Sie sie beheben
Warum SPF bei zehn DNS-Abfragen aufhört, was in die Grenze zählt, und fünf Lösungen von der sichersten bis zur riskantesten, dem Flattening.
SPF hat eine harte Grenze, festgelegt in seinem Standard (RFC 7208, Abschnitt 4.6.4): Die Auswertung eines Eintrags darf höchstens zehn DNS-Abfragen auslösen. Eine mehr, und das Ergebnis ist permerror, das Empfänger als Fehler für jede Nachricht werten, auch die legitimen. Der Eintrag sieht gut aus, jeder Dienst hat sein include: verlangt, und trotzdem ist SPF für alle kaputt.
Was zählt
| Zählt als Abfrage | Zählt nicht |
|---|---|
include: (und jede Abfrage im eingebundenen Eintrag) |
ip4: und ip6: |
a, mx |
all |
exists:, ptr |
exp= |
redirect= |
Includes verschachteln sich: include:spf.protection.outlook.com kostet eine Abfrage, plus alles, was dieser Eintrag selbst einbindet. Ein typisches kleines Unternehmen mit Microsoft 365, Newsletter-Tool, CRM und Helpdesk kommt unbemerkt auf elf oder zwölf. Der SPF-Check klappt den ganzen Baum auf und zählt.
Es gibt eine zweite, kleinere Grenze: zwei leere Abfragen. Ein include:, das auf einen nicht mehr existierenden Namen zeigt, zählt als leer; drei davon führen ebenfalls zu permerror.
Fünf Lösungen, die sicherste zuerst
1. Entfernen, was nicht mehr sendet. Der Dienst, den Sie vor zwei Jahren gekündigt haben, der alte Webhoster, die a und mx, die „für alle Fälle“ dastehen. Jedes entfernte Include gibt seinen ganzen Teilbaum zurück. Ihre DMARC-Berichte zeigen, welche Quellen wirklich senden.
2. Includes entfernen, die für DMARC nichts bringen. Viele Newsletter- und CRM-Tools senden mit ihrer eigenen Rücklaufdomain, SPF wird also gegen deren Domain geprüft, nicht gegen Ihre. Ihr include: in Ihrem Eintrag nützt nichts; was ihre E-Mails durch DMARC bringt, ist DKIM mit Ihrer Domain. Sehen Sie auf der Seite zur Domain-Authentifizierung jedes Dienstes nach: Hat er nie verlangt, die Rücklaufadresse zu ändern, kann sein Include meist weg.
3. Massenversand auf eine Subdomain verlegen. Senden Sie Newsletter von news.ihre-domain.de mit eigenem SPF-Eintrag. Jede Subdomain hat ihr eigenes Budget von zehn Abfragen, und die Hauptdomain behält einen kurzen, lesbaren Eintrag.
4. a und mx durch ip4: ersetzen. Hat Ihr eigener Mailserver eine feste Adresse, schreiben Sie ip4:203.0.113.10. Null Abfragen.
5. Flattening, mit Vorsicht. Flattening ersetzt Includes durch die IP-Adressen, auf die sie zeigen. Das löst die Zählung, aber Anbieter ändern ihre Adressen ohne Vorwarnung, und ein abgeflachter Eintrag lehnt dann still ihre neuen Server ab. Flachen Sie nur ab, was Sie automatisch neu prüfen können, und nie von Hand die Includes der großen Anbieter (Microsoft, Google).
Nach der Behebung
Prüfen Sie den Eintrag erneut: ein Eintrag, weniger als zehn Abfragen mit etwas Reserve, Ende auf ~all oder -all. Bestätigen Sie dann in den Berichten der folgenden Woche mit dem DMARC-Berichtsleser, dass DMARC für jeden Dienst weiter besteht. Der SPF-Generator schreibt einen sauberen Eintrag, wenn Sie lieber neu anfangen.