Was ist das Sender Policy Framework?

Das Sender Policy Framework ist ein Autorisierungsnachweis der Post, der auflistet, welche Server Nachrichten für einen Domainnamen senden dürfen.

Empfangende vergleichen den übergebenden Server mit dieser veröffentlichten Liste, und ein Treffer beweist nicht, dass der Text ehrlich ist.

So funktioniert es

Die Domaininhaberin veröffentlicht die Liste im Namenssystem, damit andere die vorgesehenen Sender sehen.
Post von einem Server außerhalb der Liste kann mit mehr Zweifel behandelt, abgelehnt oder markiert werden, je nach Richtlinie der Inhaberin.

Eine Liste, die zu viele Rechner nennt oder fehlt, schwächt die Prüfung.
Diese Seite beschreibt keine Wege um den Nachweis herum, weil die Kontrolle nur hilft, wenn die Liste eng bleibt und Empfangende sie wirklich nachschlagen.

Konkrete Beispiele

  • Eine Firma veröffentlicht die Adressen ihrer Mailrechner und eines benannten Newsletter Anbieters und niemanden sonst.
  • Eine empfangende Seite zweifelt an einer Rechnungsmail, deren sendender Rechner in der Liste der Absenderdomain fehlt.
  • Eine verlassene Domain ohne Nachweis wird ein leichter Ort, von dem Fremde zu senden vorgeben.

Schutzmaßnahmen

  • Veröffentlichen Sie eine enge Liste echter sendender Rechner und ändern Sie sie, wenn ein Anbieter oder Server wechselt.
  • Beobachten Sie Meldungen über Post, die die Prüfung verfehlt, damit eine kaputte Liste repariert wird, bevor Kunden echte Post verlieren.
  • Behandeln Sie einen Treffer nur als Autorisierung des Servers und prüfen Sie trotzdem unerwartete Zahlungs oder Zugangsbitten.
  • Entfernen Sie Rechner, die nicht mehr für Sie senden, damit alte Anbieter nicht für immer autorisiert bleiben.

Verwandte Artikel

Was ist SMTP? erklärt, wie Server Post einander übergeben, also den Weg, den dieser Nachweis eingrenzt.

Was ist ein Secure Email Gateway? erklärt ein filterndes Gateway, das Autorisierungsergebnisse vor der Zustellung beachten sollte.

Was ist Phishing? erklärt täuschende Post, deren Vertrauenswürdigkeit ein bloßer Autorisierungstreffer nicht beweist.