Darmowe narzędzie

Generator rekordu SPF

Zbuduj poprawny rekord SPF TXT dla domeny. Dodaj adresy IP, serwery pocztowe i nadawców zewnętrznych — uzyskaj dokładną wartość DNS do publikacji.

Wygeneruj rekord SPF

Domena

Autoryzowane adresy IP (do 5)

Dodaj adresy IPv4 lub IPv6 upoważnione do wysyłki poczty dla tej domeny.

Dyrektywy include (do 3)

Dodaj zewnętrzne usługi wysyłki, np. Google Workspace lub SendGrid.

Polityka (kwalifikator all)

Czym jest rekord SPF i dlaczego ma znaczenie?

Rekord SPF (Sender Policy Framework) to rekord DNS TXT określający, które serwery pocztowe mogą wysyłać e-mail w imieniu Twojej domeny. Gdy serwer odbiorcy dostanie wiadomość rzekomo z Twojej domeny, odpytuje rekord SPF, by sprawdzić, czy IP wysyłające jest na liście. Jeśli IP nie jest autoryzowane, wiadomość może zostać odrzucona lub oznaczona jako spam.

SPF to jeden z trzech podstawowych standardów uwierzytelniania e-mail, obok DKIM i DMARC. Bez niego każdy może sfałszować Twoją domenę w polu envelope sender, czyniąc ją celem phishingu i spoofingu. Większość nowoczesnych dostawców skrzynek i bram firmowych sprawdza SPF przed przyjęciem poczty.

Składnia rekordu SPF

Każdy rekord SPF zaczyna się od v=spf1, co deklaruje wersję. Następnie dodajesz mechanizmy wymieniające autoryzowanych nadawców. Rekord kończy się kwalifikatorem zwanym mechanizmem all.

ip4:x.x.x.x — autoryzuje pojedynczy adres IPv4
ip4:x.x.x.x/24 — autoryzuje zakres CIDR IPv4
ip6:::1 — autoryzuje adres IPv6
include:domain.com — importuje rekord SPF innej domeny (dla nadawców zewnętrznych)
a — autoryzuje IP z rekordu A domeny
mx — autoryzuje IP z rekordu MX domeny

Kwalifikatory polityki SPF

Kwalifikator na końcu rekordu SPF kontroluje, co serwery odbiorców robią z pocztą od nieautoryzowanych nadawców.

Kwalifikator	Zachowanie
+all	Wszyscy nadawcy przechodzą. Nigdy nie używaj — całkowicie unieważnia SPF.
~all	Softfail — nieautoryzowana poczta jest przyjmowana, ale oznaczana. Używaj podczas testów.
-all	Hard fail — nieautoryzowana poczta jest odrzucana. Używaj w produkcji.
?all	Neutral — brak zadeklarowanej polityki. Rzadko przydatne.

Popularne dyrektywy include SPF

Jeśli korzystasz z zewnętrznych usług e-mail, dodaj ich autoryzowane domeny wysyłki przez dyrektywy include:. Oto najczęściej używane:

Google Workspace: include:_spf.google.com
Microsoft 365: include:spf.protection.outlook.com
Mailchimp: include:servers.mcsv.net
SendGrid: include:sendgrid.net
Mailgun: include:mailgun.org

Limity zapytań SPF i jak ich nie przekraczać

SPF ma twardy limit 10 zapytań DNS podczas ewaluacji. Każdy mechanizm include:, a i mx liczy się jako zapytanie. Wiele zewnętrznych rekordów SPF wywołuje dodatkowe zapytania wewnętrznie. Jeśli rekord przekroczy 10 zapytań łącznie, ewaluacja SPF zwraca PermError, traktowany jako błąd. Aby zostać pod limitem, używaj bezpośrednich adresów IP, gdy to możliwe, i unikaj łańcuchów zagnieżdżonych include.

SPF działa najlepiej z DKIM i DMARC

Sam SPF chroni envelope sender (Return-Path), nie widoczny adres From. Dla pełnej ochrony przed spoofingiem potrzebujesz też DKIM do podpisywania wiadomości i DMARC do wyrównania wyników uwierzytelniania z nagłówkiem From. Razem te trzy standardy tworzą bazę uwierzytelniania e-mail oczekiwaną przez Gmail, Outlook i Yahoo Mail.

Po skonfigurowaniu SPF dbaj też o czyste listy. Weryfikacja e-mail usuwa nieprawidłowe i ryzykowne adresy przed wysyłką, utrzymuje niski bounce rate i chroni reputację nadawcy budowaną poprawnym uwierzytelnianiem. Możesz też weryfikować adresy masowo przez masową weryfikację e-mail lub zintegrować weryfikację ze stackiem przez API walidacji e-mail.

Często zadawane pytania

1. Co oznacza SPF i dlaczego ma znaczenie?

SPF to Sender Policy Framework. To metoda uwierzytelniania e-mail oparta na DNS, pozwalająca właścicielom domen określić, które serwery pocztowe mogą wysyłać w ich imieniu. Bez SPF każdy serwer może twierdzić, że wysyła pocztę z Twojej domeny, co czyni phishing trywialnym. ISP i filtry antyspamowe używają wyników SPF jako głównego sygnału zaufania przy decyzji o dostarczeniu e-maila.

2. Jak opublikować rekord SPF?

Wygeneruj rekord SPF tym narzędziem, zaloguj się u dostawcy DNS i dodaj rekord TXT w root domeny (często @ lub goła domena) z wygenerowaną wartością. Zmiany zwykle propagują się w 30 minut, ale globalnie mogą zająć do 48 godzin.

3. Jaka jest różnica między ~all a -all?

~all (softfail) mówi serwerom odbiorców, że e-maile z nieujętych IP są podejrzane, ale nadal powinny być przyjęte. -all (hardfail) nakazuje odrzucać lub mocno karać nieujętych nadawców. Używaj ~all przy pierwszej konfiguracji SPF, potem przejdź na -all, gdy masz pewność, że wszystkie usługi wysyłki są na liście.

4. Czy mogę mieć wiele rekordów SPF w jednej domenie?

Nie. Domena musi mieć dokładnie jeden rekord SPF. Jeśli na tej samej domenie istnieją dwa rekordy TXT zaczynające się od v=spf1, ewaluacja SPF kończy się trwałym błędem i cała poczta nie przechodzi kontroli SPF. Połącz wszystkie mechanizmy w jeden rekord.

5. Ile zapytań DNS pozwala rekord SPF?

SPF ogranicza łączną liczbę mechanizmów odpytujących DNS (include, a, mx, ptr, exists) do 10 na ewaluację. Przekroczenie limitu daje permerror. Licz include ostrożnie — wielu dostawców łańcuchuje zagnieżdżone include, z których każdy liczy się do limitu.

6. Czy sam SPF zapobiega spoofingowi e-mail?

SPF uwierzytelnia tylko adres envelope-from (MAIL FROM), nie widoczny dla odbiorców nagłówek From. Atakujący mogą nadal fałszować nagłówek From nawet przy przejściu SPF. Aby w pełni zapobiec spoofingowi domeny w skrzynce, potrzebujesz polityki DMARC wyrównanej z SPF i DKIM.