[hurtigt svar]
En SPF record er en enkelt TXT record på dit domæne, der begynder v=spf1, lister autoriserede afsendere med mekanismer som include:, ip4: og ip6:, og slutter med en alle-kvalifikation. Eksempel: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Nøglefakta
- ›Mekanismer: ip4, ip6, a, mx, include, exists; modifikator: omdirigere.
- ›Kvalifikationer: + bestået, ~ softfail , - ikke bestået, ? neutral.
- ›Hold dig inden for 10 DNS opslag og 255 tegn pr. streng.
- ›Undgå ptr og +all .
Gennemgået af EmailAuth -forskningsteamet
En SPF record er en enkelt DNS TXT record, der viser alle servere og tjenester, der er autoriseret til at sende e-mail til dit domæne. Det starter med versionskoden v=spf1, indeholder en række mekanismer, der definerer autoriserede kilder, og slutter med en alle-mekanisme, der indstiller standardsvaret for alt, der ikke er angivet. Modtagende mailservere læser denne post for at afgøre, om en forbindende server har tilladelse til at sende som dit domæne.
Eksempel på SPF record
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Mekanismerne forklaret
Hver mekanisme beskriver én måde at autorisere en afsender på. Modtageren evaluerer dem fra venstre mod højre og stopper ved den første kamp. Nogle mekanismer udløser DNS opslag og tæller mod grænsen på 10 opslag, der er angivet af RFC 7208 .
- inkludere: henter et andet domænes SPF record, der er fælles for leverandører som _spf.google.com , og tæller som et opslag.
- ip4: autoriserer en specifik IPv4 -adresse eller et bestemt IPv4-område uden omkostninger til DNS opslag.
- ip6: autoriserer en specifik IPv6 -adresse eller et bestemt IPv6-område uden omkostninger til DNS opslag.
- a: autoriserer IP'erne i domænets A-post og tæller som et opslag.
- mx: autoriserer mailserverne i domænets MX poster og tæller som et opslag.
- alle: fangsten -all i slutningen, der afgør, hvad der sker med unoterede kilder.
Hardfail versus softfail : -all og ~all
Kvalifikationen foran alle ændrer, hvor streng din rekord er. Brug -all (hardfail) til at fortælle modtagerne, at enhver server, der ikke er angivet, ikke er autoriseret, og meddelelsen skal afvises eller behandles som fejlbehæftet. Brug ~all ( softfail ) til at sige, at ikke-listede servere sandsynligvis ikke er godkendte, men bør accepteres og markeres, hvilket er nyttigt under testning. En hardfail er den stærkeste holdning, når du er sikker på, at alle legitime afsendere er inkluderet. Undgå +all , som autoriserer alle og besejrer formålet.
Softfail under test
Start med ~all for at observere resultater uden at blokere mail, og flyt derefter til -all når hver afsender er bekræftet.
En rekord, hold øje med dine opslag
Et domæne skal udgive præcis én SPF record. To SPF TXT poster forårsager en permerror . Efterhånden som du tilføjer leverandører, udvides hver inkludering til yderligere opslag, og populære tjenester stables hurtigt op. Når du krydser 10 opslag, mislykkes posten lydløst for legitim post. EmailAuth SmartSPF flader dine inkluderede kæder sammen til én optimeret registrering og holder leverandørens IP-intervaller for Microsoft 365 , Google Workspace , Salesforce og SendGrid synkroniseret automatisk. En gratis domænescanning viser dine nuværende mekanismer og antal opslag. Par SPF med DKIM og DMARC , så justering holder, selv når post videresendes.
Ofte stillede spørgsmål
Hvad er forskellen mellem -all og ~all i en SPF post?
-all er en hardfail, der fortæller modtagerne at afvise eller fejle enhver server, der ikke er opført i posten. ~all er en softfail , der accepterer ikke-listede afsendere, men markerer dem som mistænkelige. Brug ~all mens du tester og -all når hver legitim afsender er inkluderet.
Kan jeg have mere end én SPF record?
Nej. Et domæne skal udgive præcis én SPF TXT post. To eller flere SPF poster forårsager en permerror og bryder godkendelse. Flet alle kilder til en enkelt post, der starter med v=spf1.
Tæller ip4- og ip6-mekanismer med i opslagsgrænsen på 10?
Nej. ip4 og ip6 autoriserer adresser direkte og kræver ingen DNS opløsning, så de bruger ikke opslag. Mekanismer som inkluderer, a, mx, ptr og exists tæller med til grænsen på 10.
Hvad gør inkluderingsmekanismen?
Inkluderingsmekanismen importerer et andet domænes SPF post, hvilket er den måde, du godkender tredjeparts-afsendere som Google Workspace eller SendGrid . Hver inkludering tæller som mindst ét DNS opslag, og enhver indlejret inkludering i den tilføjer flere.
Hvordan tjekker jeg min SPF registrering?
Brug en SPF tjek. Den henter posten, udvider hver inkludering og tæller DNS opslag mod grænsen på 10.
Hvordan kombinerer jeg SPF poster?
Slå begge posters mekanismer sammen til en v=spf1 post, og behold en enkelt alle til sidst.
Skal jeg bruge ~all eller -all ?
Brug ~all mens du bekræfter hver afsender, derefter -all . Med DMARC på p=reject, fordi DMARC træffer den endelige beslutning.
[ SPF guide]
Virksomhedens herkomst
Hvorfor top finansielle institutioner og regeringer pensionerede deres e-mailsikkerhedsdashboards.
Traditionelle e-mail-godkendelsesplatforme sælger dig et dashboard og beder dine ingeniører om at gøre arbejdet. I miljøer med høj indsats betyder manuel overvågning forsinket håndhævelse, konfigurationsdrift og uovervågede skyggedomæner.
EmailAuth er den agentiske e-mail-herkomstplatform. Vores agenter håndhæver p=reject, hold tredjepartsafsendere på linje og flyt dine domæner til fuld RFC 9989 compliance, den nye DMARC standard, med menneskelig auditabilitet.
SaaS · Dedikeret lejemål · Air-gapped on-prem · BYOK-kryptering