[快速解答]
SPF记录是域中的单个TXT记录，以v=spf1,使用include:, ip4: 和ip6:,等机制列出授权发件人，并以 all 限定符结尾。示例： v=spf1 include:_spf.google.com ip4:203.0.113.10 -all 。
主要事实
- ›机制：ip4、ip6、a、mx、include、exists；修饰符：重定向。
- ›限定符：+ 通过、~ softfail 、- 失败、？中性的。
- ›将DNS查找次数控制在 10 次以内，每个字符串的字符数控制在 255 个以内。
- ›避免 ptr 和+all 。
由EmailAuth研究团队审核
SPF记录是单个DNS TXT记录，其中列出了授权为您的域发送电子邮件的每个服务器和服务。它以版本标记v=spf1,包含一系列定义授权源的机制，并以为未列出的任何内容设置默认答案的 all 机制结束。接收邮件服务器读取此记录来决定是否允许连接服务器作为您的域发送邮件。
SPF记录示例
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
机制解释
每种机制都描述了一种授权发送者的方法。接收者从左到右评估它们，并在第一个匹配处停止。某些机制会触发DNS查找并计入RFC 7208设置的 10 次查找限制。
- include：提取另一个域的SPF记录，这对于_spf.google.com等供应商来说很常见，并算作查找。
- ip4：授权特定的IPv4地址或范围，无需DNS查找成本。
- ip6：授权特定的IPv6地址或范围，无DNS查找成本。
- a：对域A记录中的IP进行授权，并算作一次查找。
- mx：对域的MX记录中的邮件服务器进行授权，并算作查找。
- all：最后的-all ，决定未列出的来源会发生什么。
硬失败与softfail ： -all和~all
所有前面的限定符会改变您的记录的严格程度。使用-all (hardfail) 告诉接收者任何未列出的服务器均未获得授权，并且应拒绝该消息或将其视为失败。使用~all ( softfail ) 表示未列出的服务器可能未授权，但应接受并标记，这在测试时很有用。一旦您确信每个合法发件人都被包括在内，硬失败就是更强有力的立场。避免+all ，这会授权每个人并达不到目的。
测试时出现软故障
从~all开始观察结果而不阻止邮件，然后在确认每个发件人后转到-all 。
一条记录，看你的查找
一个域必须恰好发布一条SPF记录。两条SPF TXT记录会导致permerror 。当您添加供应商时，每个供应商都会扩展到进一步的查找，并且流行的服务会快速堆积。当您进行 10 次查找时，合法邮件的记录会默默失败。 EmailAuth SmartSPF将您的包含链扁平化为一项优化记录，并自动同步Microsoft 365 、 Google Workspace 、 Salesforce和SendGrid的供应商 IP 范围。免费的域扫描显示您当前的机制和查找计数。将SPF与DKIM和DMARC配对，这样即使在转发邮件时也能保持对齐。
常见问题
SPF记录中的-all和~all有什么区别？
-all是一个硬故障，告诉接收者拒绝或失败记录中未列出的任何服务器。 ~all是一个softfail ，它接受未列出的发件人，但将其标记为可疑。测试时使用~all ，一旦包含了每个合法发件人，就使用-all 。
我可以有多个SPF记录吗？
不可以。一个域必须恰好发布一条SPF TXT记录。两个或多个SPF记录会导致permerror并中断身份验证。将所有源合并到以v=spf1.
ip4 和 ip6 机制是否计入 10 次查找限制？
不会。ip4和ip6直接授权地址，不需要DNS解析，因此不消耗查找。 include、a、mx、ptr 和exists 等机制确实计入 10 的限制。
include机制有什么作用？
包含机制会导入另一个网域的SPF记录，这就是您向Google Workspace或SendGrid等第三方发件人授权的方式。每个包含至少算作一次DNS查找，并且其中的任何嵌套包含都会添加更多。
如何查看我的SPF记录？
使用SPF检查器。它获取记录、扩展每个包含项并根据 10 次限制对DNS查找进行计数。
如何合并SPF记录？
将两个记录的机制合并为一个v=spf1记录，并在末尾保留一个 all。
我应该使用~all还是-all ？
在确认每个发件人时使用~all ，然后-all 。当DMARC处于p=reject,任一方法都有效，因为DMARC做出最终决定。
[ SPF 指导 ]
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密