[ Snel antwoord ]
SPF (Sender Policy Framework) is een DNS TXT record waarin de mailservers en services worden vermeld die e-mail voor uw domein mogen verzenden. Ontvangers vergelijken het IP-adres van de verzendende server met deze lijst. Het is gedefinieerd in RFC 7208 en is een van de drie controles Gmail en Yahoo vereisen.
Belangrijkste feiten
- ›Gepubliceerd als TXT record op het hoofddomein, beginnend met v=spf1.
- ›Slechts één SPF -record per domein; twee records veroorzaken een PermError.
- ›Maximaal 10 DNS-querymechanismen (inclusief a, mx, ptr, exist, redirect).
- ›Eindigt met ~all ( softfail ) of -all (fail).
- ›SPF controleert de afzender van de envelop ( Return-Path ), niet het zichtbare Van-adres; DMARC voegt die link toe.
Beoordeeld door het EmailAuth -onderzoeksteam
SPF (Sender Policy Framework) is een standaard voor e-mailauthenticatie, gedefinieerd in RFC 7208 , waarmee een domeineigenaar de lijst kan publiceren met e-mailservers die namens dat domein e-mail mogen verzenden. Wanneer een ontvangende server een bericht ontvangt, controleert deze het IP-adres van de verzendende server aan de hand van de gepubliceerde SPF record van het domein in DNS . Als het IP-adres is geautoriseerd, wordt SPF doorgegeven. Als dit niet het geval is, kan de ontvanger het bericht als verdacht beschouwen of afwijzen. SPF is een van de drie kernstandaarden die een domein beschermen tegen spoofing, naast DKIM en DMARC .
Hoe SPF werkt, stap voor stap
SPF werkt tijdens het SMTP -gesprek, voordat de berichttekst volledig wordt geaccepteerd. De controle wordt uitgevoerd op het domein in het Return-Path (de afzender van de envelop), niet op het zichtbare Van-adres, wat een onderscheid is dat van belang is voor DMARC uitlijning. De ontvangende server leest het SPF record, lost de mechanismen die het bevat op en vergelijkt het verbindende IP-adres met de geautoriseerde bereiken.
- Een verzendende server maakt verbinding en kondigt zijn envelopafzenderdomein aan.
- De ontvanger vraagt DNS naar het SPF TXT record van dat domein.
- De ontvanger evalueert elk mechanisme in volgorde totdat er één overeenkomt.
- Een wedstrijd retourneert pass, fail, softfail of neutral op basis van de kwalificatie.
- De ontvanger past zijn eigen beleid toe en DMARC gebruikt het resultaat voor afstemming.
De limiet van 10 DNS zoekopdrachten
RFC 7208 beperkt SPF -evaluatie tot 10 DNS lookups per controle. Mechanismen zoals include, a, mx, ptr en existen verbruiken elk lookups, en elke include kan verdere geneste lookups in het record van derden activeren. Populaire afzenders zoals Google Workspace , Microsoft 365 , Salesforce en SendGrid voegen elk hun eigen ketens toe, zodat een domein met een handvol leveranciers de limiet snel kan overschrijden. Wanneer de evaluatie meer dan 10 zoekopdrachten overschrijdt, retourneert de ontvanger een permerror , die de meeste systemen als een fout beschouwen.
Waarom de limiet bijt
Kruis 10 zoekopdrachten en SPF retourneert permerror . Legitieme e-mail van uw eigen goedgekeurde leveranciers kan vervolgens de authenticatie mislukken zonder dat u een zichtbare fout ziet.
Waar SPF stopt en DKIM en DMARC beginnen
SPF controleert de verbindende server, zodat deze het doorsturen niet overleeft. Wanneer een mailbox een bericht doorstuurt, is het nieuwe verbindende IP-adres de doorstuurserver, niet uw server, en wordt SPF verbroken. DKIM ondertekent de inhoud van het bericht met een cryptografische sleutel die met de e-mail meegaat, zodat deze het doorsturen kan overleven. DMARC verbindt beide met elkaar door te eisen dat SPF of DKIM wordt doorgegeven en afgestemd op het zichtbare Van-domein, en het vertelt ontvangers wat ze moeten doen als ze falen. Sinds de Google- en Yahoo -regels van 2024 moeten bulkafzenders zich authenticeren met SPF en DKIM en DMARC publiceren.
Opzoekoverloop met SmartSPF opgelost
EmailAuth SmartSPF lost de limiet van 10 opzoekingen op met dynamische afvlakking. Het breidt uw volledige include-keten uit, maakt deze plat tot één geoptimaliseerd record en houdt de IP-bereiken van externe afzenders voor Salesforce , SendGrid , Microsoft 365 en Google Workspace gesynchroniseerd wanneer die leveranciers hun infrastructuur wijzigen. Een gratis domeinscan breidt uw include-keten uit en telt uw huidige zoekopdrachten, zodat u precies kunt zien waar u aan toe bent.
Veelgestelde vragen
Waar staat SPF voor?
SPF staat voor Sender Policy Framework. Het is een e-mailauthenticatiestandaard gedefinieerd in RFC 7208 waarmee een domein kan publiceren welke mailservers namens het domein mogen verzenden. Ontvangende servers gebruiken het om vervalste afzenders te detecteren.
Stopt SPF alle e-mailspoofing?
Nee. SPF controleert alleen het domein van de envelopafzender op basis van geautoriseerde IP's, en het wordt verbroken wanneer e-mail wordt doorgestuurd. Om het zichtbare Van-adres volledig te beschermen, heb je ook DKIM en een DMARC -beleid nodig dat uitlijning afdwingt.
Wat is de SPF 10 DNS opzoeklimiet?
RFC 7208 staat maximaal 10 DNS lookups toe wanneer een ontvanger een SPF record evalueert. Mechanismen zoals include, a en mx verbruiken elk zoekacties, en geneste leveranciersrecords voegen er nog meer toe. Als u de 10 overschrijdt, wordt een permerror geretourneerd, die als een mislukking wordt behandeld.
Is SPF in 2024 en daarna nog steeds nodig?
Ja. Sinds 2024 vereisen Google en Yahoo dat bulkafzenders e-mail authenticeren, en SPF is daar naast DKIM en DMARC een kernonderdeel van. Als u dit overslaat, loopt u het risico dat uw e-mail wordt gefilterd of afgewezen.
Wat is een SPF record?
Een DNS TXT -record met de servers die geautoriseerd zijn om e-mail voor uw domein te verzenden, bijvoorbeeld v=spf1 include:_spf.google.com ~all .
Hoe voeg ik meerdere SPF records toe?
Dat kun je niet. Combineer alle afzenders in één record: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Hoe maak ik een SPF record aan?
Maak een lijst van alle services die e-mail voor u verzenden, voeg het include- of IP-adres van elke provider toe en eindig met ~all of -all . Een SPF generator bouwt het voor u.
Wat is de opzoeklimiet SPF 10?
SPF evaluatie kan maximaal 10 DNS lookups uitvoeren. Als u dit overschrijdt, wordt PermError geretourneerd en mislukt SPF . Verwijder ongebruikte insluitsels of maak de plaat plat.
Wat betekent v=spf1 include:_spf.google.com ~all ?
Het geeft Google Workspace servers toestemming om naar uw domein te verzenden en al het andere wordt uitgeschakeld.
[ SPF gids ]
Herkomst onderneming
Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.
Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.
EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.
SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie