Warum die einzelnen IPs zählen
Ein SPF-Record mit dem Ergebnis pass sagt nur aus, dass genau der eine Server, der gerade gesendet hat, autorisiert ist. Er sagt nichts darüber aus, wie es um die restlichen autorisierten Server steht. Wenn dein Record über include: einen Dienstleister einbindet, autorisierst du unter Umständen mehrere hundert IP-Adressen — und haftest reputationsseitig für jede davon.
Diese Analyse macht sichtbar, was dein SPF-Record tatsächlich erlaubt. Steht eine der autorisierten IPs auf einer Blacklist, ist das ein Risiko für deine Zustellbarkeit, selbst wenn deine eigene Sende-IP sauber ist.
Wie aufgelöst wird
Der Record wird rekursiv bis Tiefe 3 durchlaufen und jeder Mechanismus ausgewertet:
ip4:— einzelne IP oder CIDR-Range. Netze ab /24 werden expandiert, größere Bereiche als Range markiertip6:— IPv6-Adresse oder -Range, immer als Range behandelta/a:host— A- und AAAA-Records des Hosts bzw. der Origin-Domainmx— alle MX-Records, anschließend A und AAAA jedes MX-Hostsinclude:— der SPF-Record der eingebundenen Domain wird geöffnet und ebenso ausgewertet
Was pro IP geprüft wird
- Blacklist-Status gegen die 8 wichtigsten DNSBLs
- Reverse DNS — existiert ein PTR-Record für die IP?
- FCrDNS — der PTR-Hostname wird zurück aufgelöst und geprüft, ob die ursprüngliche IP darin enthalten ist. Nur dann gilt das Reverse DNS als bestätigt
- ASN und Organisation über Team-Cymru-DNS — du siehst, wem die IP tatsächlich gehört
Bei Ranges wird die Netzwerkadresse für den ASN-Lookup verwendet. IPv6 ist vollständig abgedeckt: AAAA-Auflösung, Blacklist-Abfrage über expandierte Nibbles, FCrDNS mit AAAA-Query und ASN über origin6.
Was du daraus mitnimmst
- Zu viele autorisierte IPs sind ein Risiko. Je größer die autorisierte Fläche, desto mehr fremde Reputation hängt an deiner Domain.
- Gelistete IPs im eigenen Record gehören geklärt — entweder beim Dienstleister melden oder den
include:entfernen. - Fehlendes FCrDNS bei deinen eigenen Sende-IPs ist ein klassischer Grund für Spam-Einstufung.