Sicherheit

Mehrere SPF-Records auf der Domain (PermError)

Üblicher Schweregrad: mittel · Aufwand: gering

Woran du es erkennst

Die Apex veröffentlicht zwei oder mehr TXT-Records mit v=spf1 — zum Beispiel den alten Record eines Anbieters neben einem neuen.

Warum es zählt

RFC 7208 §4.5 erlaubt genau einen SPF-Record. Bei zwei endet die Auswertung im PermError, und viele Empfänger behandeln die Domain, als gäbe es gar kein SPF — der Spoofing-Schutz ist hinfällig, egal wie streng jeder einzelne Record ist.

So behebst du es

  1. Führe alle Versender in EINEM v=spf1-Record zusammen (include:/ip4:/a:/mx: aneinanderreihen, genau ein all-Qualifier am Ende).
  2. Lösche die übrigen v=spf1-TXT-Records der Apex; der Record eines zweiten Anbieters wird zum include: innerhalb des einen Records.
  3. Achte nach dem Zusammenführen auf das Limit von 10 DNS-Lookups; ungenutzte Includes entfernen.
  4. Prüfe mit dig TXT <Domain> und einem SPF-Validator: genau ein Record, Ergebnis pass für die echten Versandserver.

Zum Nachlesen