SPF: ~all vs. ?all

Dazugelernt am Wochenende: Der Unterschied zwischen ~all (Tilde) und ?all (Fragezeichen) im SPF-Record. 

Der SPF-Record gibt an, welche Mailserver Emails für eine Absenderdomain* verschicken dürfen. Er wird als text bzw. IN TXT Eintrag im DNS angelegt und sieht zum Beispiel so aus:

spark5.de text = "v=spf1 mx ip4:87.106.149.248 ~all"

Am Anfang steht die Version. Derzeit ist nur Version 1 definiert, also fangen alle SPF-Records zwangsweise mit v=spf1 an.

Danach folgen verschiedene Angaben der zugelassenen Versende-IPs, zum Beispiel:

• Ein a, wenn die der Domain zugewiesene IP (A-Record) verschicken darf.
• Ein mx, wenn der/die für die Domain zuständige Mailserver verschicken darf/dürfen.
• IP-Adressen mit Prefix ip4: als Einzel-IPs oder Subnetze in CIDR-Notation.

Der SPF-Record kann auch Verweise auf andere SPF-Records mit dem Prefix include: enthalten, zum Beispiel include:_spf.google.com, dann werden alle Einträge die im SPF-Record für _spf.google.com angegeben sind, gleichwertig akzeptiert.

Als letztes wird angegeben, wie mit anderen als den genannten IP-Adressen zu verfahren ist. Zulässig sind:

• +all bedeutet, dass alle nicht genannten IPs ebenfalls verschicken dürfen. Der SPF-Record ist damit eher nutzlos, aber Spamfilter könnten die genannten IPs eventuell besser bewerten, als nicht genannte - was allerdings der SPF-Empfehlung widerspricht.
• -all deklariert alle nicht genannten IPs als nicht berechtigt, für diese Domain Emails zu verschicken.
• ~all kannte ich bisher als Standard für "neutral", also ein klares Jein. Tatsächlich ist es allerdings ein die Mail sollte weitergeleitet werden, könnte aber Spam sein.
• ?all ist das eigentliche "neutral": Email von nicht genannten IP-Adressen sollten weder positiv noch negativ bewertet werden.

Eine vollständige Liste aller zugelassenen Einträge im SPF-Record findet sich bei OpenSPF.

PS: Ein kleines Problem gibt es noch beim SPF-Konzept. Wenn ich meine Email-Adresse so einstelle, dass alle eingehenden Nachrichten automatisch weitergeleitet werden (das geht bei nahezu allen Anbietern eigener Domains problemlos, ebenso beispielsweise bei Gmail oder YahooMail), dann wird die ursprüngliche Email mit dem ursprünglichen Absender an das Weiterleitungsziel zugestellt - allerdings vom Mailserver der ursprünglichen Empfängeradresse (des Domainanbieters bzw. Gmail oder YahooMail) und dieser ist natürlich nicht im SPF-Record des ursprünglichen Absenders genannt.