Czym jest SPF? Sender Policy Framework wyjaśniony
SPF (Sender Policy Framework) to rekord DNS, który określa, które serwery pocztowe są upoważnione do wysyłania e-maili w imieniu Twojej domeny. Bez niego każdy może sfałszować e-maile, które wyglądają, jakby pochodziły z Twojej domeny.
Jak działa SPF
Gdy odbierający serwer pocztowy otrzyma e-mail rzekomo od [email protected], zapytuje rekordy TXT DNS dla example.com i szuka rekordu SPF. Jeśli IP wysyłającego serwera jest na liście, e-mail przechodzi SPF. Jeśli nie — nie przechodzi.
- E-mail dociera do serwera pocztowego odbiorcy
- Serwer sprawdza w DNS rekord SPF domeny nadawcy
- Serwer porównuje wysyłające IP z rekordem SPF
- Jeśli IP jest autoryzowane, SPF przechodzi. Jeśli nie — nie przechodzi.
- Odbierający serwer stosuje politykę (~all, -all itd.)
Składnia rekordu SPF
Rekord SPF to rekord TXT zaczynający się od v=spf1:
v=spf1 include:_spf.google.com include:sendgrid.net ~all
Rozłóżmy to na czynniki:
- v=spf1 — identyfikator wersji SPF (zawsze taki)
- include:_spf.google.com — autoryzuje serwery pocztowe Google
- include:sendgrid.net — autoryzuje serwery pocztowe SendGrid
- ~all — softfail dla każdego innego serwera
Mechanizmy SPF
| Mechanizm | Przykład | Znaczenie |
|---|---|---|
ip4: | ip4:203.0.113.1 | Autoryzuje konkretny adres IPv4 |
ip6: | ip6:2001:db8::1 | Autoryzuje konkretny adres IPv6 |
include: | include:_spf.google.com | Dołącza politykę SPF innej domeny |
a | a | Autoryzuje IP z własnego rekordu A domeny |
mx | mx | Autoryzuje IP z rekordów MX domeny |
Wszystkie kwalifikatory
| Kwalifikator | Nazwa | Znaczenie |
|---|---|---|
-all | Fail | Odrzuca pocztę z nieautoryzowanych serwerów (ścisłe) |
~all | Softfail | Akceptuje, ale oznacza jako podejrzane (zalecane) |
?all | Neutral | Brak polityki — traktuj jak brak SPF |
+all | Pass | Zezwala wszystkim serwerom — niebezpieczne, nigdy tego nie używaj |
Typowe rekordy SPF według dostawcy poczty
# Google Workspace v=spf1 include:_spf.google.com ~all # Microsoft 365 v=spf1 include:spf.protection.outlook.com ~all # Mailchimp + Google Workspace v=spf1 include:_spf.google.com include:servers.mcsv.net ~all # SendGrid v=spf1 include:sendgrid.net ~all
Ograniczenia SPF
- Limit 10 zapytań DNS — SPF pozwala na maksymalnie 10 zapytań DNS (liczy się każde
include:,a,mx). Przekroczenie powoduje PermError. - Przekazywanie łamie SPF — gdy e-mail jest przekazywany, IP przekazującego serwera nie znajduje się w Twoim rekordzie SPF, więc SPF się nie powiedzie. Dlatego potrzebny jest też DMARC z DKIM.
- Jeden rekord SPF na domenę — wiele rekordów SPF powoduje PermError. Połącz je w jeden.
Najczęściej zadawane pytania
Czy potrzebuję SPF?
Tak. Bez SPF każdy może wysłać e-mail, który wygląda, jakby pochodził z Twojej domeny. SPF to pierwsza linia obrony przed spoofingiem e-mail.
Gdzie dodać rekord SPF?
Dodaj rekord TXT w głównej domenie (@) u swojego dostawcy DNS lub rejestratora. Wartością jest ciąg rekordu SPF.
Jak sprawdzić, czy mój SPF działa?
Użyj testu bezpieczeństwa e-mail lub wyszukiwania rekordu TXT , by zobaczyć swój obecny rekord SPF.
Zobacz teorię w praktyce — uruchom Bezpieczeństwo e-mail dla własnej domeny.