[Snabbt svar]
En SPF post är en enda TXT -post på din domän som börjar v=spf1, listar auktoriserade avsändare med mekanismer som include:, ip4: och ip6:, och slutar med en all qualifier. Exempel: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Nyckelfakta
- ›Mekanismer: ip4, ip6, a, mx, include, existerar; modifierare: omdirigering.
- ›Kval: + godkänt, ~ softfail , - underkänd, ? neutral.
- ›Håll dig inom 10 DNS uppslagningar och 255 tecken per sträng.
- ›Undvik ptr och +all .
Granskad av EmailAuth forskargrupp
En SPF -post är en enda DNS TXT -post som listar varje server och tjänst som är behörig att skicka e-post för din domän. Den börjar med versionstaggen v=spf1, innehåller en serie mekanismer som definierar auktoriserade källor och slutar med en all-mekanism som anger standardsvaret för allt som inte är listat. Mottagande e-postservrar läser denna post för att avgöra om en anslutande server får skicka som din domän.
Exempel på SPF post
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Mekanismerna förklaras
Varje mekanism beskriver ett sätt att auktorisera en avsändare. Mottagaren utvärderar dem från vänster till höger och stannar vid första matchen. Vissa mekanismer utlöser DNS uppslagningar och räknas mot gränsen på 10 uppslagningar som anges av RFC 7208 .
- inkluderar: hämtar in en annan domäns SPF post, vanlig för leverantörer som _spf.google.com , och räknas som en uppslagning.
- ip4: auktoriserar en specifik IPv4 -adress eller intervall, utan kostnad för DNS sökning.
- ip6: auktoriserar en specifik IPv6 -adress eller intervall, utan kostnad för DNS sökning.
- a: auktoriserar IP-adresserna i domänens A-post och räknas som en uppslagning.
- mx: auktoriserar e-postservrarna i domänens MX poster och räknas som en uppslagning.
- alla: fångsten -all i slutet som avgör vad som händer med olistade källor.
Hardfail kontra softfail : -all och ~all
Kvalet framför alla ändrar hur strikt ditt rekord är. Använd -all (hardfail) för att tala om för mottagare att en server som inte är listad inte är auktoriserad och att meddelandet ska avvisas eller behandlas som misslyckat. Använd ~all ( softfail ) för att säga att olistade servrar förmodligen inte är auktoriserade men bör accepteras och markeras, vilket är användbart under testning. Ett hardfail är den starkaste hållningen när du är säker på att alla legitima avsändare är inkluderade. Undvik +all , som auktoriserar alla och motverkar syftet.
Softfail under testning
Börja med ~all för att observera resultat utan att blockera e-post, flytta sedan till -all när varje avsändare har bekräftats.
En post, titta på dina uppslagningar
En domän måste publicera exakt en SPF post. Två SPF TXT -poster orsakar en permerror . När du lägger till leverantörer utökas varje inkludering till ytterligare sökningar och populära tjänster växer snabbt. När du korsar 10 uppslagningar misslyckas posten tyst för legitim post. EmailAuth SmartSPF plattar dina inkluderade kedjor till en optimerad post och håller leverantörens IP-intervall för Microsoft 365 , Google Workspace , Salesforce och SendGrid synkroniserade automatiskt. En gratis domänskanning visar dina nuvarande mekanismer och antal uppslagningar. Para SPF med DKIM och DMARC så att justeringen håller även när post vidarebefordras.
Vanliga frågor
Vad är skillnaden mellan -all och ~all i en SPF -post?
-all är ett hardfail som säger åt mottagare att avvisa eller misslyckas med någon server som inte är listad i posten. ~all är ett softfail som accepterar olistade avsändare men markerar dem som misstänkta. Använd ~all medan du testar och -all när varje legitim avsändare är inkluderad.
Kan jag ha mer än en SPF post?
Nej. En domän måste publicera exakt en SPF TXT post. Två eller flera SPF -poster orsakar en permerror och bryter autentisering. Slå samman alla källor till en enda post som börjar med v=spf1.
Räknas ip4- och ip6-mekanismer mot gränsen för 10 uppslag?
Nej. ip4 och ip6 auktoriserar adresser direkt och kräver ingen DNS upplösning, så de förbrukar inte uppslagningar. Mekanismer som include, a, mx, ptr och exists räknas mot gränsen på 10.
Vad gör inkluderingsmekanismen?
Inkluderingsmekanismen importerar en annan domäns SPF post, vilket är hur du auktoriserar avsändare från tredje part som Google Workspace eller SendGrid . Varje inkludering räknas som minst en DNS uppslagning, och alla kapslade inkluderingar i den lägger till fler.
Hur kontrollerar jag min SPF post?
Använd en SPF kontroll. Den hämtar posten, utökar varje inkludering och räknar DNS uppslagningar mot gränsen på 10.
Hur kombinerar jag SPF poster?
Slå samman mekanismerna för båda posterna till en v=spf1 post och behåll en enda alla i slutet.
Ska jag använda ~all eller -all ?
Använd ~all medan du bekräftar varje avsändare, sedan -all . Med DMARC vid p=reject, fungerar antingen eftersom DMARC fattar det slutgiltiga beslutet.
[ SPF guide ]
Företagets härkomst
Varför toppfinansiella institutioner och regeringar avvecklat sina instrumentpaneler för e-postsäkerhet.
Traditionella plattformar för e-postautentisering säljer dig en instrumentpanel och ber dina ingenjörer att göra jobbet. I miljöer med hög insats innebär manuell övervakning försenad tillämpning, konfigurationsdrift och oövervakade skuggdomäner.
EmailAuth är den agentiska e-postplattformen. Våra agenter verkställer p=reject, håll avsändare från tredje part i linje och flytta dina domäner till fulla RFC 9989 överensstämmelse, den nya DMARC standarden, med auditerbarhet för människor i slingan.
SaaS · Dedikerad hyresavtal · Air-gapped on-prem · BYOK-kryptering