Může mít doména dva SPF záznamy? Ne — milion domén si právě zneplatnil ten svůj (2026)

Q: Je povoleno více SPF záznamů?

Ne. RFC 7208 povoluje právě jeden záznam v=spf1 na doménu; dva nebo více způsobí trvalou chybu, která SPF zcela zneplatní. K 2026-06-29 je v tomto stavu 1,013,416 domén.

Q: Jak sloučím dva SPF záznamy do jednoho?

Jeden záznam, začínající v=spf1, obsahující každý mechanismus include: a IP ze všech z nich, končící jediným -all nebo ~all. Smažte přebytečné a poté ověřte, že váš počet vyhledávání sloučení přežil.

Publikováno 2026-07-03

Údaje k 2026-06-29 · metodika v7. Souhrnný census napříč 261 miliony ohodnocených domén. Všechny údaje jsou souhrnné — nikdy nejde o záznam konkrétní firmy. Viz jak známkujeme.

Ne — doména smí publikovat právě jeden SPF záznam a když to uděláte špatně, vypnete SPF úplně: 1,013,416 domén aktuálně publikuje dva nebo více, což podle RFC 7208 činí všechny SPF záznamy dané domény neplatnými. Ne ten nejnovější, ne ten nejstarší — každý z nich. Příjemce, který najde více záznamů v=spf1, musí vrátit trvalou chybu, což znamená žádnou ochranu SPF, a to na doméně, která svému majiteli vypadá, jako by měla dvojnásobnou ochranu.

Proč se dva SPF záznamy rovnají nule?

Standard je jednoznačný: SPF politika domény musí být jediný TXT záznam začínající v=spf1 (RFC 7208 §3.2; chybový výsledek je předepsán v §4.5). Pokud vyhledávání najde více než jeden, příjemce nemůže vědět, který je autoritativní — proto standard hádání zakazuje. Příjemci odpovídající standardu musí vrátit PermError: vyhodnocení trvale selže.

A PermError není neutrální. DMARC ho na SPF straně považuje za selhání — takže doména, která svůj záznam zdvojila, zneplatnila svou ochranu a zároveň poškodila autentizaci vlastní legitimní pošty. Je to jedna z mála chyb v DNS, kde přidání ochrany ji naopak odebere (publikování dvou DMARC záznamů udělá totéž s DMARC).

Zhruba 1 z 138 domén, které se o SPF pokoušejí, si tohle udělala sama.

Jak k tomu dochází? Kopírovat-vložit při zapojování

Skoro nikdo nenapíše druhý SPF záznam schválně. Stane se to v den, kdy přidáte e-mailový nástroj:

Vaše doména už má od poskytovatele schránky v=spf1 include:spf.protection.outlook.com -all.
Zaregistrujete se do newsletterové platformy, CRM nebo fakturačního nástroje.
Jeho návod na nastavení říká: „Přidejte tento TXT záznam do svého DNS: v=spf1 include:newtool.example.com ~all.“
Uděláte přesně to, co říká — přidáte ho vedle toho starého.

Nyní existují dva záznamy a oba jsou neplatné. Návod řekl „přidejte“ a přidávání je jediná věc, kterou standard nedovoluje; správný krok — sloučit nový include: do stávajícího záznamu — nezmiňuje téměř žádný postup zapojení.

Selhání je z DNS panelu neviditelné: oba záznamy vypadají jednotlivě dobře utvořené a pošta většinou stále dorazí, protože příjemci se opřou o jiné signály. Nic vás neupozorní, dokud nepřistane podvrh nebo se nezhorší doručitelnost.

Jak to zkontrolovat a opravit — dvě minuty, zdarma

Vyhledejte TXT záznamy své domény (dig TXT yourdomain.com, nebo použijte naši bezplatnou kontrolu).
Spočítejte záznamy, které začínají v=spf1. Jediné bezpečné číslo je 1.
Pokud jich máte víc: slučte je — každý mechanismus include: a ip4:/ip6: do jediného záznamu s jedním koncovým kvalifikátorem (viz ~all vs -all) — a zbytek smažte.

Před:    v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Po:      v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Při slučování sledujte limit 10 vyhledávání — příliš mnoho mechanismů include: rozbije SPF jiným způsobem.

Často kladené otázky

Je povoleno více SPF záznamů? Ne. RFC 7208 povoluje právě jeden záznam v=spf1 na doménu; dva nebo více způsobí trvalou chybu, která SPF zcela zneplatní. K 2026-06-29 je v tomto stavu 1,013,416 domén.

Přepíše druhý SPF záznam ten první? Nevyhraje ani jeden. Příjemce, který najde více záznamů, musí vyhodnocení nechat selhat, spíš než volit — takže všechny přestanou fungovat naráz.

Jak sloučím dva SPF záznamy do jednoho? Jeden záznam, začínající v=spf1, obsahující každý mechanismus include: a IP ze všech z nich, končící jediným -all nebo ~all. Smažte přebytečné a poté ověřte, že váš počet vyhledávání sloučení přežil.

Proč mi e-mail s dvěma SPF záznamy stále funguje? Příjemci, kteří narazí na chybu, obvykle pokračují bez SPF, takže vaše pošta jede na reputaci a DKIM. Co jste ztratili, je ochrana — nic neodmítne padělatele — a vaše vyhodnocení DMARC přijde o SPF stranu. Funkční pošta a funkční SPF jsou dvě různé věci.

Zkontrolujte, zda je vaše doména jednou z toho milionu

Třicetivteřinový pohled vás buď očistí, nebo vám předá dvouminutové sloučení.

Zkontrolujte svou doménu → · Opravit SPF → · Report o SPF PermError → · Model zralosti SPF → · Pouze souhrnná data. Data uložena a zpracována v EU.