DNS-Lookup-Limit (SPF)

Was ist das DNS-Lookup-Limit (SPF)?

Das DNS-Lookup-Limit bei SPF bezeichnet die Regel, dass eine SPF-Auswertung höchstens 10 DNS-abfragende Mechanismen und Modifikatoren pro Prüfung ausführen darf. Diese Obergrenze verhindert übermäßige oder rekursive DNS-Abfragen, die die Zustellung verlangsamen oder Missbrauchsrisiken schaffen könnten. Erfordert eine SPF-Richtlinie mehr als 10 Lookups, schlägt die SPF-Verarbeitung mit dem Ergebnis „permerror“ fehl, und empfangende Mailserver behandeln die Nachricht in der Regel so, als hätte sie SPF nicht bestanden.

Diese Beschränkung beeinflusst den Aufbau Ihres v=spf1-Eintrags. Bestimmte Mechanismen lösen DNS-Abfragen aus, andere nicht. Sorgfältige Planung hält Ihren Eintrag innerhalb des Limits und sorgt für zuverlässige Authentifizierungsergebnisse bei allen Postfachanbietern.

So funktioniert das DNS-Lookup-Limit

Während der SPF-Auswertung expandiert der empfangende Server Ihre v=spf1-Richtlinie. Jedes Mal, wenn die Expansion eine externe DNS-Abfrage erfordert, zählt sie zum Limit von 10. Die Zählung summiert sich über Includes und Redirects hinweg, nicht nur auf der obersten Ebene.

Mechanismen und Modifikatoren, die DNS-Lookups auslösen:

• a
• mx
• ptr
• exists
• include
• redirect

Mechanismen, die keine DNS-Lookups auslösen:

• all
• ip4
• ip6
• exp

Zusätzlich gibt es ein separates Limit für Void-Lookups. Liefern zwei oder mehr DNS-abfragende Mechanismen keine Daten oder NXDOMAIN, kann die Auswertung mit einem permerror abbrechen. Das schützt empfangende Mailserver vor aufwendigen oder missbräuchlichen Richtlinien.

Beispiel einer Richtlinie, die das Limit zu überschreiten droht:

Selbst wenn die oberste Ebene weniger als 10 Lookups zu enthalten scheint, kann jedes Include selbst weitere include-, a- oder mx-Mechanismen enthalten. Die Gesamtzahl über den gesamten expandierten Baum darf 10 nicht überschreiten.

Warum das Limit für Zustellbarkeit und Sicherheit wichtig ist

Überschreitet Ihre SPF-Richtlinie das Limit von 10 Lookups, können empfangende Mailserver einen permerror zurückgeben und die Nachricht behandeln, als wäre SPF fehlgeschlagen. Je nach DMARC-Richtlinie und Alignment kann dieser Fehler die Platzierung im Posteingang verschlechtern oder bei geschützten Domains zur direkten Ablehnung führen.

Zu den operativen Risiken beim Erreichen des Limits gehören:

• Sporadische SPF-Fehler, wenn Anbieter ihre Includes ändern
• Schwer zu diagnostizierende Zustellprobleme bei verschiedenen empfangenden Mailservern
• Unerwartete DMARC-Fehler durch fehlendes SPF-Alignment
• Höhere Anfälligkeit beim Hinzufügen neuer Versanddienste

Eine Richtlinie innerhalb des Limits sorgt für stabile Authentifizierungsergebnisse, reduziert den Support-Aufwand und erhält die Domain-Reputation. Sie schützt zudem davor, dass Angreifer Richtlinien konstruieren, die den Resolvern der Empfänger teure Abfragen aufzwingen.

Praktische Wege, unter dem Limit zu bleiben

Gestalten Sie SPF-Richtlinien so, dass DNS-Lookups minimiert werden, ohne an Genauigkeit zu verlieren. Wirksame Ansätze sind:

• Bevorzugen Sie ip4 und ip6, wo möglich, um bekannte Adressbereiche direkt einzutragen
• Konsolidieren Sie sich überschneidende Anbieter-Includes und entfernen Sie ungenutzte Dienste
• Vermeiden Sie ptr und nutzen Sie a und mx nur, wenn nötig
• Verwenden Sie, wenn verfügbar, aggregierte Includes des Anbieters statt mehrerer markenspezifischer Includes in Reihe
• Flatten Sie vorsichtig, indem Sie Includes zu IPs auflösen, wenn die Adressbereiche stabil sind, mit einem Prozess zur Neuprüfung bei Anbieteränderungen
• Nutzen Sie redirect einmal für eine saubere Vererbung statt mehrerer verschachtelter Redirects
• Überwachen Sie Void-Lookups und korrigieren Sie Tippfehler oder stillgelegte Hostnamen

Ein schlankes Beispiel, das das Limit einhält:

DNS-Lookup-Limit und DMARCeye

DMARCeye wertet Ihre SPF-Richtlinie mit vollständiger Expansion aus, um die Gesamtzahl der DNS-Lookups abzuschätzen und Richtlinien hervorzuheben, die sich dem Limit nähern oder es überschreiten. Die Plattform verfolgt, welche Mechanismen am meisten zur Zählung beitragen, und zeigt riskante Ketten aus include und redirect auf.

DMARCeye markiert außerdem Void-Lookups, veraltete ptr-Nutzung und Fehlkonfigurationen, die Ihren Eintrag nach einem Anbieter-Update über die Schwelle bringen könnten. Mit klaren Empfehlungen und Änderungsverfolgung können Teams ihre SPF-Richtlinien vereinfachen, die 10-Lookup-Regel einhalten und konstante DMARC-Bestehensraten sichern.

Prüfen Sie Ihren eigenen SPF-Eintrag:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.