[ Snel antwoord ]
Een SPF record is één TXT -record op uw domein dat begint met v=spf1, een lijst bevat van geautoriseerde afzenders met mechanismen zoals include:, ip4: en ip6:, en eindigt met de kwalificatie all. Voorbeeld: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Belangrijkste feiten
- ›Mechanismen: ip4, ip6, a, mx, include, bestaat; modificator: omleiding.
- ›Kwalificaties: + geslaagd, ~ softfail , - mislukt, ? neutrale.
- ›Houd een maximum van 10 DNS zoekopdrachten en 255 tekens per tekenreeks aan.
- ›Vermijd ptr en +all .
Beoordeeld door het EmailAuth -onderzoeksteam
Een SPF record is één DNS TXT record waarin alle servers en services worden vermeld die geautoriseerd zijn om e-mail te verzenden voor uw domein. Het begint met de versietag v=spf1, bevat een reeks mechanismen die geautoriseerde bronnen definiëren, en eindigt met een all-mechanisme dat het standaardantwoord instelt voor alles wat niet in de lijst staat. Ontvangende mailservers lezen dit record om te beslissen of een verbindende server berichten mag verzenden als uw domein.
Voorbeeld SPF record
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
De mechanismen uitgelegd
Elk mechanisme beschrijft één manier om een afzender te autoriseren. De ontvanger evalueert ze van links naar rechts en stopt bij de eerste match. Sommige mechanismen activeren DNS zoekopdrachten en tellen mee voor de limiet van 10 zoekopdrachten die is ingesteld door RFC 7208 .
- include: haalt SPF record van een ander domein op, gebruikelijk voor leveranciers als _spf.google.com , en telt als een zoekopdracht.
- ip4: autoriseert een specifiek IPv4 adres of -bereik, zonder kosten voor DNS lookup.
- ip6: autoriseert een specifiek IPv6 adres of -bereik, zonder kosten voor DNS lookup.
- a: autoriseert de IP's in het A-record van het domein en telt als een zoekopdracht.
- mx: autoriseert de mailservers in de MX records van het domein en telt als een zoekopdracht.
- all: de catch -all aan het eind die bepaalt wat er met niet-vermelde bronnen gebeurt.
Hardfail versus softfail : -all en ~all
De kwalificatie voor alles verandert hoe streng uw record is. Gebruik -all (hardfail) om ontvangers te vertellen dat een server die niet in de lijst staat, niet geautoriseerd is en dat het bericht moet worden afgewezen of als mislukt moet worden behandeld. Gebruik ~all ( softfail ) om aan te geven dat niet-geregistreerde servers waarschijnlijk niet geautoriseerd zijn, maar geaccepteerd en gemarkeerd moeten worden, wat handig is tijdens het testen. Een hardfail is de sterkere houding als u er zeker van bent dat elke legitieme afzender erbij betrokken is. Vermijd +all , wat iedereen autoriseert en het doel tenietdoet.
Softfail tijdens het testen
Begin met ~all om de resultaten te bekijken zonder e-mail te blokkeren, en ga vervolgens naar -all zodra elke afzender is bevestigd.
Eén record, bekijk uw zoekopdrachten
Een domein moet precies één SPF record publiceren. Twee SPF TXT records veroorzaken een permerror . Terwijl u leveranciers toevoegt, breidt elk onderdeel zich uit naar verdere zoekopdrachten, en populaire services stapelen zich snel op. Wanneer u 10 zoekopdrachten doorkruist, mislukt de record stil voor legitieme e-mail. EmailAuth SmartSPF vlakt uw include-ketens af in één geoptimaliseerd record en houdt de IP-bereiken van leveranciers voor Microsoft 365 , Google Workspace , Salesforce en SendGrid automatisch gesynchroniseerd. Een gratis domeinscan toont uw huidige mechanismen en het aantal opzoekingen. Koppel SPF met DKIM en DMARC , zodat de uitlijning behouden blijft, zelfs als e-mail wordt doorgestuurd.
Veelgestelde vragen
Wat is het verschil tussen -all en ~all in een SPF record?
-all is een hardfail die ontvangers vertelt dat ze elke server die niet in het record staat, moeten weigeren of laten falen. ~all is een softfail die niet-geregistreerde afzenders accepteert, maar deze als verdacht markeert. Gebruik ~all tijdens het testen en -all zodra elke legitieme afzender is opgenomen.
Kan ik meer dan één SPF record hebben?
Nee. Een domein moet precies één SPF TXT record publiceren. Twee of meer SPF records veroorzaken een permerror en verbreken de authenticatie. Voeg alle bronnen samen in één record, beginnend met v=spf1.
Tellen ip4- en ip6-mechanismen mee voor de limiet van 10 opzoekopdrachten?
Nee. IP4 en IP6 autoriseren adressen rechtstreeks en vereisen geen DNS resolutie, zodat ze geen opzoekingen gebruiken. Mechanismen zoals include, a, mx, ptr en exist tellen mee voor de limiet van 10.
Wat doet het include-mechanisme?
Het include-mechanisme importeert SPF record van een ander domein, waarmee u externe afzenders, zoals Google Workspace of SendGrid , autoriseert. Elke include telt als ten minste één DNS zoekopdracht, en eventuele geneste include's daarin voegen er nog meer toe.
Hoe controleer ik mijn SPF record?
Gebruik een SPF checker. Het haalt de record op, breidt elke include uit en telt DNS lookups tegen de limiet van 10.
Hoe combineer ik SPF records?
Voeg de mechanismen van beide records samen tot één v=spf1 -record en bewaar één all aan het eind.
Moet ik ~all of -all gebruiken?
Gebruik ~all terwijl u elke afzender bevestigt, en vervolgens -all . Met DMARC op p=reject, werken beide omdat DMARC de uiteindelijke beslissing neemt.
[ SPF gids ]
Herkomst onderneming
Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.
Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.
EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.
SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie