SPF-запись — DNS-запись с политикой Sender Policy Framework, которая перечисляет серверы и сети, имеющие право отправлять почту от имени домена. При получении письма почтовая система сравнивает IP отправляющего сервера с этой политикой.
Как работает проверка
Принимающий сервер берёт домен технического отправителя, запрашивает его TXT-запись SPF и проверяет IP сервера, установившего SMTP-соединение. Результатом становится pass, fail, softfail, neutral или ошибка проверки.
SPF оценивает канал отправки, а не содержание письма и не имя, которое пользователь видит в поле From.
Из чего состоит запись
Запись начинается с версии v=spf1. Механизмы ip4 и ip6 разрешают сети, a и mx используют адреса доменных записей, include подключает политику внешнего сервиса. Завершающий all задаёт отношение к остальным источникам.
Квалификатор -all означает жёсткий отказ, ~all — мягкий, ?all — нейтральный. Политику выбирают после инвентаризации отправителей.
Как настроить SPF
Собирают все источники: корпоративную почту, сервисы рассылок, CRM, поддержку и приложения. Затем объединяют разрешения в одну TXT-запись домена и публикуют её через DNS.
У домена должна быть одна итоговая SPF-политика. Несколько отдельных записей v=spf1 вызывают ошибку, поэтому новые сервисы добавляют в существующую.
Ограничения и проверка
Стандарт ограничивает число DNS-поисков, возникающих при проверке. Длинная цепочка include, redirect, a и mx может привести к permerror даже при внешне правильной записи.
После изменения проверяют синтаксис, результат для каждого разрешённого источника и заголовки тестового письма. Учитывают время обновления DNS-кэша.
Связь с DKIM и DMARC
SPF не защищает письмо после пересылки и может проверять домен, отличный от видимого From. DKIM добавляет криптографическую подпись, а DMARC требует согласования доменов и задаёт политику обработки.
Надёжная аутентификация использует все три механизма. Ни один из них не отменяет репутацию, согласие получателей и качество базы.
Комментарий экспертаСамая частая ошибка SPF — добавлять новую запись для каждого сервиса. Политика должна быть одна. Сначала составьте полный список отправителей, затем объедините механизмы и проверьте лимит DNS-запросов.
Вопросы и ответы: SPF-запись
TXT-запись DNS со списком серверов, которым разрешена отправка почты от имени домена.
Нет, несколько записей v=spf1 для одного домена приводят к ошибке проверки.
Все источники, не разрешённые предыдущими механизмами, должны получить результат fail.
Нет, механизмы решают разные задачи и эффективнее работают вместе.
