[Raskt svar]
En SPF post er en enkelt TXT -post på domenet ditt som begynner v=spf1, viser autoriserte avsendere med mekanismer som include:, ip4: og ip6:, og slutter med en all-kvalifisering. Eksempel: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Nøkkelfakta
- ›Mekanismer: ip4, ip6, a, mx, include, exists; modifikator: omdirigere.
- ›Kvalifiseringer: + bestått, ~ softfail , - fail, ? nøytral.
- ›Hold deg innenfor 10 DNS oppslag og 255 tegn per streng.
- ›Unngå ptr og +all .
Gjennomgått av EmailAuth -forskningsteamet
En SPF post er en enkelt DNS TXT post som viser hver server og tjeneste som er autorisert til å sende e-post for ditt domene. Den starter med versjonskoden v=spf1, inneholder en rekke mekanismer som definerer autoriserte kilder, og slutter med en all-mekanisme som setter standardsvaret for alt som ikke er oppført. Mottakende e-postservere leser denne posten for å avgjøre om en tilkoblet server har lov til å sende som domene.
Eksempel på SPF post
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Mekanismene forklart
Hver mekanisme beskriver én måte å autorisere en avsender på. Mottakeren vurderer dem fra venstre til høyre og stopper ved første kamp. Noen mekanismer utløser DNS oppslag og teller mot grensen på 10 oppslag satt av RFC 7208 .
- inkluderer: henter inn et annet domenes SPF post, vanlig for leverandører som _spf.google.com , og teller som et oppslag.
- ip4: autoriserer en spesifikk IPv4 -adresse eller et spesifikt område, uten kostnad for DNS oppslag.
- ip6: autoriserer en spesifikk IPv6 adresse eller område, uten kostnad for DNS oppslag.
- a: autoriserer IP-ene i domenets A-post, og teller som et oppslag.
- mx: autoriserer e-postserverne i domenets MX poster, og teller som et oppslag.
- alle: catch -all på slutten som avgjør hva som skjer med unoterte kilder.
Hardfail versus softfail : -all og ~all
Kvalifiseringen foran alle endrer hvor streng rekorden din er. Bruk -all (hardfail) for å fortelle mottakere at servere som ikke er oppført ikke er autorisert og meldingen bør avvises eller behandles som feil. Bruk ~all ( softfail ) for å si at ulistede servere sannsynligvis ikke er autorisert, men bør aksepteres og merkes, noe som er nyttig under testing. En hardfail er den sterkere holdningen når du er sikker på at alle legitime avsendere er inkludert. Unngå +all , som autoriserer alle og bekjemper formålet.
Softfail under testing
Start med ~all for å observere resultater uten å blokkere e-post, og flytt deretter til -all når hver avsender er bekreftet.
En rekord, se oppslagene dine
Et domene må publisere nøyaktig én SPF post. To SPF TXT poster forårsaker en permerror . Etter hvert som du legger til leverandører, utvides hver inkludering til ytterligere oppslag, og populære tjenester hoper seg opp raskt. Når du krysser 10 oppslag, mislykkes posten stille for legitim post. EmailAuth SmartSPF flater ut inkluderende kjeder til én optimalisert post og holder leverandørens IP-områder for Microsoft 365 , Google Workspace , Salesforce og SendGrid synkronisert automatisk. En gratis domeneskanning viser dine nåværende mekanismer og antall oppslag. Par SPF med DKIM og DMARC slik at justeringen holder selv når post videresendes.
Ofte stilte spørsmål
Hva er forskjellen mellom -all og ~all i en SPF post?
-all er en hardfail som ber mottakere om å avvise eller feile en server som ikke er oppført i posten. ~all er en softfail som godtar uoppførte avsendere, men merker dem som mistenkelige. Bruk ~all mens du tester og -all når hver legitime avsender er inkludert.
Kan jeg ha mer enn én SPF post?
Nei. Et domene må publisere nøyaktig én SPF TXT post. To eller flere SPF poster forårsaker en permerror og bryter autentisering. Slå sammen alle kilder til en enkelt post som starter med v=spf1.
Teller ip4- og ip6-mekanismer mot grensen på 10 oppslag?
nr. ip4 og ip6 autoriserer adresser direkte og krever ingen DNS oppløsning, så de bruker ikke oppslag. Mekanismer som inkluderer, a, mx, ptr og exists teller mot grensen på 10.
Hva gjør inkluderingsmekanismen?
Inkluderingsmekanismen importerer et annet domenes SPF post, som er hvordan du autoriserer tredjepartssendere som Google Workspace eller SendGrid . Hver inkluderer teller som minst ett DNS oppslag, og alle nestede inkluderer inni den legger til flere.
Hvordan sjekker jeg SPF posten min?
Bruk en SPF kontroll. Den henter posten, utvider hver inkludering og teller DNS oppslag mot 10-grensen.
Hvordan kombinerer jeg SPF poster?
Slå sammen mekanismene til begge postene til én v=spf1 -post og behold en enkelt alle på slutten.
Skal jeg bruke ~all eller -all ?
Bruk ~all mens du bekrefter hver avsender, deretter -all . Med DMARC på p=reject, fungerer enten fordi DMARC tar den endelige avgjørelsen.
[ SPF guide ]
Enterprise herkomst
Hvorfor topp finansinstitusjoner og regjeringer pensjonert e-postsikkerhetsdashboardene deres.
Tradisjonelle e-postautentiseringsplattformer selger deg et dashbord og ber ingeniørene dine gjøre jobben. I miljøer med høy innsats betyr manuell overvåking forsinket håndheving, konfigurasjonsdrift og uovervåkede skyggedomener.
EmailAuth er den agentiske e-postopprinnelsesplattformen. Våre agenter håndhever p=reject, hold tredjepartssendere på linje og flytt domenene dine til fulle RFC 9989 compliance, den nye DMARC standarden, med menneskelig-in-the-loop reviderbarhet.
SaaS · Dedikert leieforhold · Air-gaped on-prem · BYOK-kryptering