Für Domains, die keine E-Mails versenden, wird ein restriktiver SPF-Eintrag mit folgendem Inhalt empfohlen:
v=spf1 -all
Dieser TXT-Eintrag wird in der DNS-Zone der Domain hinterlegt (Host: @, Typ: TXT). Das -all am Ende bedeutet, dass keine IP-Adresse oder Domain zum Versand berechtigt ist – jede E-Mail, die sich als von dieser Domain stammend ausgibt, wird als SPF-fail markiert und sollte vom Empfänger abgelehnt werden.
So wird verhindert, dass Angreifer die Domain für Phishing oder Spam missbrauchen.
Ergänzend empfiehlt sich ein DMARC-Eintrag : (Host:_dmarc, Typ: TXT mit v=DMARC1; p=reject; sp=reject;), um den Schutz auch auf Subdomains auszudehnen.
