Може ли даден домейн да има два SPF записа? Не — Един милион домейна просто са анулирали своите (2026)

Публикувано 2026-07-03

Данни към 2026-06-29 · методология v7. Агрегирано преброяване на 261 милиона оценени домейна. Всички цифри са агрегирани — никога на записа на отделен бизнес. Вижте как оценяваме.

Не — даден домейн може да публикува точно един SPF запис, и грешката тук изключва SPF изцяло: 1,013,416 домейна в момента публикуват два или повече, което съгласно RFC 7208 прави всички SPF записи на домейна невалидни. Не най-новия, не най-стария — всеки един от тях. Получател, намиращ множество v=spf1 записа, трябва да върне постоянна грешка, което означава никаква SPF защита изобщо, при домейн, изглеждащ на собственика си като с двойна защита.

Защо два SPF записа са равни на нула?

Стандартът е ясен: SPF политиката на домейн трябва да бъде един единствен TXT запис, започващ с v=spf1 (RFC 7208 §3.2; резултатът от грешката е предписан в §4.5). Ако търсенето намери повече от един, получателят не може да знае кой е авторитетен — затова стандартът забранява отгатването. Стандартно-съответстващите получатели трябва да върнат PermError: оценяването се проваля постоянно.

А PermError не е неутрален. DMARC го третира като неуспех при SPF крака — така домейн, дублирал записа си, е анулирал защитата и е затруднил удостоверяването на собствената си легитимна поща. Това е един от много малкото DNS грешки, при които добавянето на защита я премахва (публикуването на два DMARC записа прави същото с DMARC).

Приблизително 1 на 138 домейна, опитващи SPF, са направили това на себе си.

Как се случва? Копирането при въвеждане в системата

Почти никой не пише нарочно втори SPF запис. Случва се в деня, в който добавяте инструмент за имейл:

Домейнът ви вече има v=spf1 include:spf.protection.outlook.com -all от доставчика на пощенска кутия.
Регистрирате се за платформа за бюлетини, CRM или инструмент за фактуриране.
Ръководството му за настройка казва: „Добавете този TXT запис към DNS: v=spf1 include:newtool.example.com ~all.”
Вие правите точно това, което казва — добавяте го, до стария.

Сега съществуват два записа и двата са невалидни. Ръководството е казало „добавете”, а добавянето е единственото нещо, което стандартът не позволява; правилното действие — обединяване на новия include: в съществуващия запис — почти никой процес на въвеждане в системата не споменава.

Неуспехът е невидим от DNS панела: и двата записа изглеждат индивидуално добре оформени, а пощата пристига в повечето случаи, тъй като получателите се обръщат към други сигнали. Нищо не ви предупреждава, докато не пристигне подправяне или доставяемостта не спадне.

Как да проверите и поправите — две минути, безплатно

Потърсете TXT записите на домейна си (dig TXT yourdomain.com, или използвайте нашата безплатна проверка).
Преброете записите, започващи с v=spf1. Единственото безопасно число е 1.
Ако имате повече: обединете ги — всеки include: и механизъм ip4:/ip6: в един запис с един краен квалификатор (вижте ~all срещу -all) — и изтрийте останалите.

Преди:   v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

След:    v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

При обединяването, следете за лимита от 10 търсания — твърде много include: механизми счупват SPF по различен начин.

Често задавани въпроси

Позволени ли са множество SPF записи? Не. RFC 7208 позволява точно един v=spf1 запис на домейн; два или повече причиняват постоянна грешка, анулираща SPF изцяло. 1,013,416 домейна са в това състояние към 2026-06-29.

Вторият SPF запис отменя ли първия? Нито един не побеждава. Получател, намиращ множество записи, трябва да провали оценяването вместо да избира — така всички те спират да работят едновременно.

Как да комбинирам два SPF записа в един? Един запис, започващ с v=spf1, съдържащ всеки include: и IP механизъм от всички тях, завършващ с едно -all или ~all. Изтрийте допълнителните, след което проверете дали броят на търсанията е оцелял при обединяването.

Защо имейлът ми все още работи с два SPF записа? Получателите, срещащи грешката, обикновено продължават без SPF, така че пощата ви се носи на репутация и DKIM. Това, което сте загубили, е защитата — нищо не отхвърля фалшификатор — и DMARC оценките ви губят SPF крака. Работещата поща и работещият SPF са различни неща.

Проверете дали домейнът ви е един от милиона

30-секундна проверка или ви освобождава, или ви дава двуминутно обединяване.

Проверете своя домейн → · Поправете SPF → · Докладът за SPF PermError → · Моделът за зрялост на SPF → · Само агрегирани данни. Данните се съхраняват и обработват в ЕС.