Defaults.Exposed › Zprávy

Model vyzrálosti přijetí SPF (SPFAMM): 6 fází SPF (2026)

Publikováno 2026-07-03

Údaje k 2026-06-29 · metodika v7. Referenční model podložený opakovaným sčítáním 261 milionů oznámkovaných domén; každé vydání znovu měří stejnou populaci, takže lze čísla sledovat v čase. Všechny údaje jsou souhrnné — nikdy nezveřejňujeme záznam konkrétní firmy.

V jaké fázi je internet?

Fáze 2.4 z 6. Měřeno napříč 261 miliony domén, průměrná doména ještě nedosáhla funkčního plotu SPF — a internet jako celek získává 29 bodů ze 100 v síle SPF. Publikace SPF je nejběžnějším úkonem e‑mailové bezpečnosti, jaký existuje (dělá ho 53.21 % domén), přesto se většina těchto záznamů zastaví na nastavení, které příjemce žádá, aby padělky doručili tak jako tak.

Problém není v přijetí — je v tom, že většina návodů o vyzrálosti se zastaví u „publikovali jsme SPF“, jako by ten záznam sám o sobě byl úspěchem. Záznam SPF může autorizovat celý internet, nevyjádřit žádný názor, tiše se sám zneplatnit nebo navěky uvíznout na softfailu, protože jeho utažení znamená práci, kterou si nikdo nenaplánoval. Užitečný model každý z těchto stavů pojmenuje. Tento to dělá: Model vyzrálosti přijetí SPF — SPFAMM, šest fází, jeden krok v každé z nich a název, který můžete citovat. Je to SPF protějšek šesti fází vyzrálosti DMARC.

Jakých je šest fází vyzrálosti SPF?

Každá z 261 milionů oznámkovaných domén se nachází přesně v jedné z fází 1–5 a těchto pět populací se sečte přesně do celkového součtu sčítání; fáze 6 je zpevněná podmnožina počítaná v rámci fáze 5. Právě to dělá ze SPFAMM měření, a nikoli plakát.

(Fáze 6 je zpevněná podmnožina zarovnaných domén ve fázi 5, takže fáze 1–5 rozdělují sčítání a fáze 6 leží uvnitř fáze 5.)

Fáze 1 — Nechráněné. Žádný záznam v=spf1. Příjemce nic nekontroluje; padělat doménu na části SPF je snadné. Krok: publikujte záznam v=spf1 uvádějící vaše skutečné odesílatele a zakončený kvalifikátorem fail.

Fáze 2 — Povolné nebo poškozené. Záznam existuje, ale nic nechrání. Tato fáze shromažďuje bezzubá zakončení — neutrální ?all (3.0 % publikujících) a uvítací rohožku +all — spolu s poškozenými záznamy: více záznamů v=spf1, které standard zcela zneplatňuje, a útržkovité záznamy bez použitelného zakončení. Jedna výjimka: přibližně 2.1 milionů záznamů končí na redirect=, což je platná delegace — jejich skutečná politika žije v cíli a započítáváme je zde jen proto, že jejich vlastní záznam žádný verdikt nenese. Krok: jeden záznam, jedno skutečné zakončení — ~all nebo -all.

Fáze 3 — S měkkým plotem. Záznam končí na ~all (softfail) a nic za ním nevynucuje — 70.4 milionů domén, největší populace ze všech fází s publikovaným SPF. Softfail je skutečný plot s odemčenou brankou: říká příjemcům „pošta odjinud je pravděpodobně padělaná“ a žádá je, aby ji přesto doručili. Krok: přelezte zeď — započtěte každého odesílatele a poté zvolte jednu z cest vzhůru (níže).

Fáze 4 — Přísné. Záznam končí na -all: 42.5 milionů domén publikuje otevřené „odmítni všechny ostatní“, avšak zatím bez vynucování DMARC za tím. Jedna poctivá výhrada, kterou nyní vyčísluje naše vlastní měření: záznam -all, který překračuje limit 10 vyhledávání, je neplatný, ať vypadá jakkoli přísně — nejméně 112,215 záznamů -all na internetu je v tomto stavu. Krok: postavte za záznam vynucující politiku DMARC, aby se na selhání reagovalo všude.

Fáze 5 — Zarovnané. SPF — měkké nebo přísné — stojí za DMARC p=quarantine nebo p=reject. Toto je fáze, kde se podvržení vaší přesné domény skutečně zastaví u každého velkého poskytovatele schránek: 19.3 milionů domén, z nichž 7.1 milionů kombinuje ~all s vynucováním (vzor, který doporučují pokyny Google pro odesílatele) a 12.1 milionů kombinuje s vynucováním -all. Krok: přidejte DKIM a sledujte dál — záznamy hnijí.

Fáze 6 — Zpevněné. SPF plus DKIM plus vynucující DMARC — plně chráněná množina, 10,092,481 domén, 3.87 % internetu — plus disciplína sledování odchylek: řetězce include: se mění, poskytovatelé přesouvají IP adresy, někdo připojí nový nástroj, který odesílá vaším jménem. Krok: zůstaňte tady. Je to praxe, ne odznak.

Pruh bez pošty. Doména, která neodesílá žádnou poštu, může jedním úkonem vyskočit až na vrchol: SPF -all plus DMARC p=reject. Není nic legitimního, co by bylo třeba chránit, tedy žádná zeď k přelezení — a uzavírá to jeden z nejběžnějších vektorů vydávání se za někoho jiného.

Proč se internet zasekává právě ve fázi 3?

Protože téměř každý jiný krok je drobná úprava DNS, kdežto krok z fáze 3 je práce: vyjmenovat každý systém, který za vás legitimně odesílá — poskytovatel schránek, newsletterová platforma, CRM, fakturační nástroj, ta věc, kterou marketing loni na jaře zaregistroval — a vměstnat je do jednoho záznamu, aniž byste prošvihli rozpočet 10 vyhledávání. To je ta zeď. ~all je poslední příčka dosažitelná, aniž byste to udělali, a proto na ní spočívá 70.4 milionů domén.

Z vrcholu zdi vedou dvě cesty vzhůru a obě dorazí do fáze 5:

• Zpřísněte na -all (přes fázi 4) — pevné ne v samotném záznamu. Kdy je to správná volba, viz ~all vs -all.
• Ponechte ~all a vynucujte pomocí DMARC p=reject — cesta, kterou nyní doporučují pokyny Google i většina praxe doručitelnosti, protože chrání stejně u příjemců vyhodnocujících DMARC, aniž by odrážela přeposílanou poštu.

Sčítání ukazuje, jak zřídka se kterákoli z cest dokončí: z 77.5 milionů záznamů softfail má za sebou vynucování jen 7.1 milionů — přibližně 1 z 11.

Jak se počítá skóre síly SPF?

Jednoduše a váhy držíme konstantní, aby bylo skóre srovnatelné měsíc po měsíci: plný kredit pro domény, kde něco vynucuje (fáze 5–6), poloviční kredit pro skutečný plot, na který nikdo nereaguje (fáze 3–4), nic pro chybějící, povolné nebo poškozené záznamy. Na této škále internet získává 29/100 k 2026-06-29. Téměř polovina populace přispívá nulou, protože nepublikuje vůbec nic.

Jak zjistím fázi své domény?

Fáze 1–4 lze vyčíst přímo z vašeho záznamu DNS; fáze 5 přidává vaši politiku DMARC; fáze 6 přidává DKIM. Jediné, co letmý pohled nedokáže prozradit, je, zda přísný záznam tajně nepřekračuje limit vyhledávání — to vyžaduje rozřešení řetězce, což za vás udělá náš kontrolor.

Často kladené dotazy

Co je SPFAMM? Model vyzrálosti přijetí SPF — šestifázový model na této stránce: Nechráněné, Povolné/poškozené, S měkkým plotem, Přísné, Zarovnané, Zpevněné. Fáze každé domény je vypočitatelná z jejího DNS: fáze 1–5 přesně rozdělují sčítání 261 milionů domén a fáze 6 je zpevněná podmnožina uvnitř fáze 5.

V jaké fázi je většina domén? Fáze 1 — 46.4 % domén nepublikuje SPF vůbec. Mezi doménami, které publikují, je nejběžnějším místem odpočinku fáze 3 (softfail bez vynucování) s 70.4 miliony domén. Populačně vážený průměr je fáze 2.4.

Je softfail ~all dost dobrý? Jen s vynucující politikou DMARC za ním — tato kombinace je fáze 5 a vzor, který doporučují pokyny Google pro odesílatele. Samo o sobě je to fáze 3: skutečný plot, odemčená branka. Úplné srovnání najdete v ~all vs -all.

Musím dosáhnout -all, abych byl v bezpečí? Ne. Fáze 4 je jedna ze dvou cest, ne požadavek — ponechání ~all a vynucování pomocí DMARC p=reject dorazí ke stejné ochraně u příjemců vyhodnocujících DMARC. Co je vyžadováno, je ta zeď: znát každého odesílatele dřív, než cokoli začne vynucovat.

Kolik domén projde všemi šesti fázemi? 10,092,481 — 3.87 % internetu — drží SPF, DKIM a vynucující politiku DMARC pohromadě. Každý přechod mezi fázemi je zdarma; podrobnosti jsou v těch několika chráněných.

Zjistěte, kde vaše doména stojí

Vaše doména je přesně v jedné z těchto šesti fází a další krok je zjistitelný za 30 sekund — zdarma, a každá oprava po žebříku nahoru je změna DNS, ne nákup.

Zkontrolujte svou doménu → · Opravit SPF → · ~all vs -all → · Zpráva o SPF PermError → · 6 fází vyzrálosti DMARC → · Pouze souhrnná data. Data ukládána a zpracovávána v EU.