Ein SPF-Eintrag beginnt immer mit der Versionsnummer "v=spf1" (Version 1). Dieser Teil definiert den Eintrag als Eintrag vom Typ SPF. Früher gab es eine zweite SPF-Version (genannt "SenderID"), sie wird jedoch nicht mehr genutzt.

Der zweite Teil des SPF-Eintrags umfasst die Mechanismen. Sie spezifizieren verschiedene Regeln für die Überprüfung des SPF und können außerdem ein Präfix enthalten (genannt "Qualifier").

• ip4 - gibt den IPv4-Adressbereich an, der für den Versand von E-Mails autorisiert ist, z. B. ip4:<ip4-address> oder ip4:<ip4-network>/<prefix-length>.
  Wenn keine Präfix-Länge vorgegeben ist, wird /32 als Standard verwendet (was es ermöglicht, eine individuelle Host-Adresse zu isolieren). Bitte geben Sie eine Präfix-Länge von mehr als /16 an, da andernfalls die Lieferung an kleinere Empfänger beeinträchtigt werden könnte.
• ip4  - gibt den IPv6 -Adressbereich an, der für den Versand von E-Mails autorisiert ist, z. B. ip6:<ip6-address> oder ip6:<ip6-network>/<prefix-length>.
  Das Argument für den „ip6“-Mechanismus ist ein IPv6-Adressbereich. Wenn keine Präfix-Länge vorgegeben ist, wird /128 als Standard verwendet (was es ermöglicht, eine individuelle Host-Adresse zu isolieren).
• a - gibt den Domainnamen des Mail-Servers an, der für den Versand von E-Mails autorisiert ist, unter Verweis auf einen A-Eintrag, z. B. a:brevo.com.
  Die A-Einträge müssen genau mit der Client-IP übereinstimmen, es sei denn, es wird eine Präfix-Länge angegeben. In diesem Fall wird jede IP-Adresse, die bei der A-Suche gefunden wird, auf ihr entsprechendes CIDR-Präfix erweitert und die Client-IP wird in diesem Subnetz gesucht.
• mx - gibt an, dass der Mail-Server verwendet werden sollte, um E-Mails weiterzuleiten, unter Verweis auf einen MX-Eintrag, z. B. mail.brevo.com.
  Die A-Einträge müssen genau mit der Client-IP übereinstimmen, es sei denn, es wird eine Präfix-Länge angegeben. In diesem Fall wird jede IP-Adresse, die bei der A-Suche gefunden wird, auf ihr entsprechendes CIDR-Präfix erweitert und die Client-IP wird in diesem Subnetz gesucht.
• include gibt an, dass der Mail-Server E-Mails im Namen der Domain senden darf (Dritt-Mail-Absender). Es sollte immer in der Mitte eines SPF-Eintrags platziert sein.
  Es wird nach einer Übereinstimmung für die angegebene Domain gesucht. Wenn die Suche keinen Treffer oder einen Fehler ergibt, geht die Verarbeitung zur nächsten Direktive über. Wenn die Domain keinen gültigen SPF-Eintrag hat, ist das Ergebnis ein permanenter Fehler. Einige Mail-Empfänger lehnen die E-Mails bei einem permanenten Fehler (PermError) ab.
  
• all - entspricht allen Mail-Servern und gibt an, wie eine E-Mail behandelt werden soll, wenn ein Absender keinem der vorstehenden Mechanismen entspricht. Es wird mit einem Qualifier verwendet und sollte immer am Ende des SPF-Eintrags platziert werden.

Ein Qualifier ist ein Präfix, das vor einem Mechanismus eingefügt werden kann und angibt, wie mit einer E-Mail umgegangen werden soll, wenn ein Absender keinem der vorstehenden Mechanismen entspricht.

Die folgenden Qualifier sind verfügbar:

• + - ist der Standard-Qualifier und bedeutet Pass (Authentifizierung erfolgreich). Der Server mit einer IP-Adresse oder Domain, die mit einem Mechanismus mit diesem Qualifier übereinstimmt, besteht die SPF-Kontrolle und darf für die Domain senden.
• - - bedeutet Fail (Authentifizierung fehlgeschlagen). Der Server mit einer IP-Adresse oder Domain, die mit einem Mechanismus mit diesem Qualifier übereinstimmt, fällt durch die SPF-Kontrolle durch und darf nicht für die Domain senden.
• ~ - bedeutet Soft Fail (Authentifizierung teilweise fehlgeschlagen). Der Server mit einer IP-Adresse oder Domain-Adresse, die mit einem Mechanismus mit diesem Qualifier übereinstimmt, fällt teilweise durch die SPF-Kontrolle durch und darf vielleicht für die Domain senden. Der Empfänger-Server akzeptiert die E-Mail, markiert sie jedoch als SPF Fail.
• ? - bedeutet Neutral. Der Server mit einer IP-Adresse oder Domain, die mit einem Mechanismus mit diesem Qualifier übereinstimmt, besteht die SPF-Kontrolle weder, noch fällt er durch, da der Eintrag nicht ausdrücklich angibt, ob die IP-Adresse oder Domain für die Domain versenden darf.