Alat percuma

Penjana Rekod SPF

Bina rekod SPF TXT yang sah untuk domain anda. Tambah alamat IP, pelayan mel dan pengirim pihak ketiga — dapatkan nilai DNS tepat untuk diterbitkan.

Jana rekod SPF anda

Domain

Alamat IP dibenarkan (sehingga 5)

Tambah alamat IPv4 atau IPv6 yang dibenarkan menghantar mel untuk domain ini.

Arahan include (sehingga 3)

Tambah perkhidmatan penghantaran pihak ketiga seperti Google Workspace atau SendGrid.

Polisi (pengelas all)

Apakah rekod SPF dan mengapa ia penting?

Rekod SPF (Sender Policy Framework) ialah rekod DNS TXT yang menyatakan pelayan mel mana yang dibenarkan menghantar e-mel bagi pihak domain anda. Apabila pelayan penerima menerima mesej yang mendakwa datang dari domain anda, ia menyoal rekod SPF untuk mengesahkan IP penghantaran disenaraikan. Jika IP tidak dibenarkan, mesej mungkin ditolak atau ditandakan sebagai spam.

SPF ialah salah satu daripada tiga standard asas pengesahan e-mel, bersama DKIM dan DMARC. Tanpanya, sesiapa boleh memalsukan domain anda dalam medan envelope sender, menjadikan domain sasaran phishing dan spoofing. Kebanyakan penyedia peti mel moden dan gateway mel perusahaan memeriksa SPF sebelum menerima mel.

Memahami sintaks rekod SPF

Setiap rekod SPF bermula dengan v=spf1, yang mengisytiharkan versi. Selepas itu, anda menambah mekanisme yang menyenaraikan pengirim dibenarkan. Rekod berakhir dengan pengelas dipanggil mekanisme all.

ip4:x.x.x.x — membenarkan satu alamat IPv4
ip4:x.x.x.x/24 — membenarkan julat CIDR IPv4
ip6:::1 — membenarkan alamat IPv6
include:domain.com — mengimport rekod SPF domain lain (untuk pengirim pihak ketiga)
a — membenarkan IP rekod A domain
mx — membenarkan IP rekod MX domain

Pengelas polisi SPF diterangkan

Pengelas di hujung rekod SPF mengawal apa yang pelayan penerima lakukan terhadap mel dari pengirim tidak dibenarkan.

Pengelas	Tingkah laku
+all	Semua pengirim lulus. Jangan sekali-kali guna — ia membatalkan SPF sepenuhnya.
~all	Softfail — mel tidak dibenarkan diterima tetapi ditandakan. Guna semasa ujian.
-all	Hard fail — mel tidak dibenarkan ditolak. Guna dalam pengeluaran.
?all	Neutral — tiada polisi dinyatakan. Jarang berguna.

Arahan include SPF biasa

Jika anda menggunakan perkhidmatan e-mel pihak ketiga, anda perlu menambah domain penghantaran dibenarkan mereka menggunakan arahan include:. Berikut yang paling kerap digunakan:

Google Workspace: include:_spf.google.com
Microsoft 365: include:spf.protection.outlook.com
Mailchimp: include:servers.mcsv.net
SendGrid: include:sendgrid.net
Mailgun: include:mailgun.org

Had carian SPF dan cara kekal di bawahnya

SPF mempunyai had keras 10 carian DNS semasa penilaian. Setiap mekanisme include:, a dan mx dikira sebagai satu carian. Banyak rekod SPF pihak ketiga mencetuskan carian dalaman tambahan. Jika rekod anda melebihi 10 carian keseluruhan, penilaian SPF mengembalikan PermError, yang dianggap sebagai kegagalan. Untuk kekal di bawah had, gunakan alamat IP langsung jika boleh dan elakkan rantai include bersarang.

SPF paling berkesan bersama DKIM dan DMARC

SPF sahaja melindungi envelope sender (Return-Path), bukan alamat From yang kelihatan. Untuk perlindungan spoofing lengkap, anda juga perlukan DKIM untuk menandatangani mesej dan DMARC untuk menyelaraskan hasil pengesahan dengan pengepala From. Bersama-sama, ketiga-tiga standard ini membentuk garis asas pengesahan e-mel yang dijangka Gmail, Outlook dan Yahoo Mail.

Selepas menyediakan SPF, pastikan senarai anda juga bersih. Pengesahan e-mel membuang alamat tidak sah dan berisiko sebelum menghantar, mengekalkan kadar lantunan rendah dan melindungi reputasi pengirim yang dibina dengan pengesahan betul. Anda juga boleh mengesahkan alamat secara pukal melalui pengesahan e-mel pukal atau integrasikan pengesahan ke stack melalui API pengesahan e-mel.

Soalan lazim

1. Apa maksud SPF dan mengapa ia penting?

SPF bermaksud Sender Policy Framework. Ia kaedah pengesahan e-mel berasaskan DNS yang membolehkan pemilik domain menentukan pelayan mel mana yang dibenarkan menghantar bagi pihak mereka. Tanpa SPF, mana-mana pelayan boleh mendakwa menghantar mel dari domain anda, menjadikan phishing sangat mudah. ISP dan penapis spam menggunakan hasil SPF sebagai isyarat kepercayaan utama apabila memutuskan sama ada menghantar e-mel anda.

2. Bagaimana saya menerbitkan rekod SPF?

Jana rekod SPF menggunakan alat ini, log masuk ke penyedia DNS anda dan tambah rekod TXT pada root domain (selalunya @ atau domain bare) dengan nilai yang dijana. Perubahan biasanya merebak dalam 30 minit tetapi boleh mengambil masa sehingga 48 jam di peringkat global.

3. Apakah perbezaan antara ~all dan -all?

~all (softfail) memberitahu pelayan penerima bahawa e-mel dari IP tidak disenaraikan mencurigakan tetapi masih harus diterima. -all (hardfail) mengarahkan pelayan menolak atau menghukum berat pengirim tidak disenaraikan. Guna ~all semasa mula-mula menyediakan SPF, kemudian tukar ke -all setelah yakin semua perkhidmatan penghantaran disenaraikan.

4. Bolehkah saya mempunyai beberapa rekod SPF pada satu domain?

Tidak. Domain mesti mempunyai tepat satu rekod SPF. Jika dua rekod TXT yang bermula dengan v=spf1 wujud pada domain yang sama, penilaian SPF menghasilkan ralat kekal dan semua mel gagal semakan SPF. Gabungkan semua mekanisme ke dalam satu rekod.

5. Berapa banyak carian DNS yang dibenarkan rekod SPF?

SPF mengehadkan jumlah mekanisme yang merujuk DNS (include, a, mx, ptr, exists) kepada 10 setiap penilaian. Melebihi had ini menghasilkan permerror. Kira include dengan teliti — ramai penyedia merangkai include bersarang yang masing-masing dikira ke had anda.

6. Adakah SPF sahaja menghalang spoofing e-mel?

SPF hanya mengesahkan alamat envelope-from (MAIL FROM), bukan pengepala From yang dilihat penerima. Penyerang masih boleh memalsukan pengepala From walaupun SPF lulus. Untuk sepenuhnya menghalang spoofing domain yang kelihatan dalam peti masuk, anda perlukan polisi DMARC yang selaras dengan SPF dan DKIM.