Der empfangende Server prüft die Absenderdomain aus dem Envelope (MAIL FROM, auch Return-Path) gegen den SPF-Eintrag. Mechanismen wie ip4:, a, mx und include: beschreiben die erlaubten Absender, das Ende -all oder ~all legt fest, was mit allen anderen passiert.
SPF prüft nicht den sichtbaren From-Header. Erst DMARC verknüpft beide. Weiterleitungen brechen SPF, weil der weiterleitende Server nicht im Eintrag des ursprünglichen Absenders steht.
Die häufigsten Fehler: mehr als 10 DNS-Lookups durch verschachtelte include:-Einträge (Ergebnis permerror), zwei SPF-Einträge auf derselben Domain und vergessene Dienste wie Newsletter-Tools oder das CRM.
Beispiel
v=spf1 mx include:spf.protection.outlook.com -all