Include (SPF-Mechanismus)

Was ist Include (SPF)?

Der include-Mechanismus in SPF (Sender Policy Framework) erlaubt es einer Domain, beim Festlegen autorisierter Mailserver auf den SPF-Eintrag einer anderen Domain zu verweisen. Er kommt häufig zum Einsatz, wenn Drittanbieter im Namen Ihrer Organisation E-Mails versenden, etwa Marketing-Plattformen, CRM-Tools oder Cloud-Maildienste. Die include-Anweisung vereinfacht die SPF-Verwaltung: Sie übernehmen die Autorisierungsregeln einer anderen Domain, statt jede IP-Adresse manuell zu kopieren.

Nutzt Ihr Unternehmen beispielsweise einen externen Dienst wie SendGrid oder Microsoft 365 für den legitimen Mailversand, können Sie dessen SPF-Eintrag in Ihren eigenen einbinden. Damit teilen Sie empfangenden Mailservern mit, dass die Infrastruktur des Anbieters in Ihrem Namen senden darf.

So funktioniert der Include-Mechanismus

Trifft eine SPF-Auswertung auf eine include-Anweisung, führt sie einen rekursiven DNS-Lookup durch, um den SPF-Eintrag der referenzierten Domain abzurufen und zu verarbeiten. Stimmt eine der dort gelisteten IP-Adressen mit dem sendenden Server überein, besteht die SPF-Prüfung. Andernfalls fährt die Auswertung mit dem nächsten Mechanismus in der ursprünglichen Richtlinie fort.

Beispiel eines SPF-Eintrags mit Includes:

In diesem Beispiel autorisiert die Domain den Mailversand über Google Workspace und Microsoft 365, indem sie deren SPF-Konfigurationen importiert. Jede E-Mail, die von den in diesen eingebundenen Einträgen gelisteten IP-Adressen gesendet wird, besteht die SPF-Validierung für die Domain.

Mehrere Includes sind erlaubt, aber jeder zählt zum DNS-Lookup-Limit von 10 in SPF. Zu viele Includes können zu SPF-Permerrors führen, wenn bei der Auswertung zu viele DNS-Abfragen ausgelöst werden.

Best Practices für den Einsatz von Include in SPF

Der include-Mechanismus ist praktisch, muss aber sorgfältig eingesetzt werden, damit die SPF-Konfiguration gültig und effizient bleibt.

Empfohlene Best Practices:

• Verwenden Sie Includes nur für vertrauenswürdige Drittanbieter, die gepflegte SPF-Einträge veröffentlichen
• Begrenzen Sie die Anzahl der Includes, um unter dem Limit von 10 Lookups zu bleiben
• Vermeiden Sie verkettete Includes mehrerer Anbieter (Include-in-Include-Szenarien)
• Überprüfen Sie regelmäßig, ob sich eingebundene SPF-Einträge unerwartet geändert haben
• Flatten Sie Ihren SPF-Eintrag (wandeln Sie Includes in IP-Adressen um), wenn es aus Performance-Gründen nötig ist
• Definieren Sie mit Mechanismen wie -all oder ~all klar die Standard-Richtlinie für nicht gelistete Absender

Mit einer einfachen Struktur und ohne unnötige Verschachtelung sorgen Sie für eine schnellere Auflösung und weniger falsche SPF-Fehlschläge.

Der Include-Mechanismus und DMARCeye

DMARCeye analysiert die SPF-Einträge Ihrer Domains und erkennt potenzielle Risiken durch übermäßige oder veraltete include-Anweisungen. Die Plattform expandiert jeden Verweis und zeigt, welche IP-Adressen und Dienste unter Ihrer SPF-Richtlinie autorisiert sind.

Diese Transparenz hilft Ihnen, Abhängigkeiten von externen Anbietern zu erkennen, defekte oder veraltete Includes zu finden und innerhalb der SPF-Lookup-Limits zu bleiben. Mit der detaillierten DNS-Analyse und dem Reporting von DMARCeye verwalten Sie Drittanbieter-Absender zuverlässig und halten Ihre SPF-Konfiguration sauber und regelkonform.

Prüfen Sie Ihren eigenen SPF-Eintrag:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.