Bei einer E-Mail trägt der Absender selbst ein, von wem sie kommt — wie beim Brief die Rückseite. Im Grundverfahren hindert nichts jemanden daran, dort Ihre Adresse hinzuschreiben.
SPF schließt diese Lücke von der anderen Seite. In Ihrem DNS steht eine Liste der Server, die für Ihre Domain versenden dürfen. Der empfangende Server schlägt sie nach und vergleicht sie mit dem, von dem die Nachricht tatsächlich kam.
Passt es nicht zusammen, gilt die Nachricht als verdächtig. Was dann geschieht, sagt der Eintrag gleich mit: durchlassen und auffällig machen, oder gar nicht erst annehmen.
Der häufigste Fehler in der Praxis ist nicht der fehlende Eintrag, sondern der unvollständige. Wer Newsletter über einen Versanddienst schickt, Rechnungen aus der Warenwirtschaft und den Rest über das Postfach, hat drei Absender und muss alle drei eintragen. Sonst kommt ausgerechnet die Rechnung nicht an.
SPF allein genügt nicht. Es prüft den technischen Absender, nicht den, der im Postfach angezeigt wird — dafür gibt es DKIM und DMARC.