Defaults.Exposed › Διορθώσεις › Guides

Προωθημένο Email Αποτυγχάνει στον SPF — Γιατί Δεν Μπορείτε να το Διορθώσετε, και Τι Λειτουργεί Πραγματικά (2026)

Δημοσιεύτηκε 2026-07-08

Στοιχεία ως 2026-06-29 · μεθοδολογία v7. Συγκεντρωτικά στοιχεία απογραφής για 261 εκατομμύρια βαθμολογημένα domains. Δείτε πώς βαθμολογούμε.

Δεν μπορείτε να κάνετε τον SPF να περνά για προωθημένο email — η προώθηση σπάει τον SPF εκ σχεδιασμού, και η ειλικρινής διόρθωση είναι ευθυγραμμισμένος DKIM, που επιβιώνει της προώθησης. Η κλίμακα είναι πανεθνική: 7,355,985 από τα 138,927,207 domains που δημοσιεύουν SPF εξουσιοδοτούν το forwarding include του Namecheap μόνο, με strict-SPF share <0.1%, σύμφωνα με την απογραφή Defaults.Exposed των 261 εκατομμυρίων domains.

Παρακάτω: γιατί καμία εγγραφή SPF που θα μπορούσατε να γράψετε δεν επιβιώνει της προώθησης, γιατί το SRS και το ARC δεν είναι εργαλεία που ελέγχετε, και η διόρθωση που κρατά — υπογραφή DKIM με το δικό σας domain ως DMARC pass — καθώς και η μία περίπτωση που σπάει επίσης τον DKIM (mailing lists που ξαναγράφουν μηνύματα) και τι να κάνετε για αυτό το υπόλοιπο.

Γιατί η προώθηση σπάει τον SPF;

Οι παραλήπτες αξιολογούν τον SPF έναντι του domain Return-Path (RFC5321.MailFrom), όχι της κεφαλίδας From. Όταν αποστέλλετε άμεσα, η IP του διακομιστή σας βρίσκεται στην εγγραφή SPF σας και ο έλεγχος περνά. Όταν ο παραλήπτης σας προωθεί αυτόματα το μήνυμα — σε προσωπικό Gmail, μέσω alias πανεπιστημίου, μέσω του προϊόντος προώθησης registrar — ο διακομιστής του forwarder το ξαναμεταδίδει, συνήθως διατηρώντας το domain σας στο Return-Path. Ο τελικός παραλήπτης ρωτά τώρα: είναι αυτός ο διακομιστής προώθησης εξουσιοδοτημένος στην εγγραφή SPF σας;

Δεν είναι, και δεν θα είναι ποτέ: δεν επιλέξατε τον forwarder, δεν ξέρετε ότι υπάρχει, και το ίδιο μήνυμα που προωθείται μέσω διαφορετικής υπηρεσίας αύριο θα αποτύγχανε από διαφορετική IP. Ο SPF απαντά σε μία ερώτηση — “ήρθε αυτή η IP από διακομιστή που εξουσιοδότησε το domain Return-Path;” — και για προωθημένο email η αληθινή απάντηση είναι όχι. Η αποτυχία είναι ο SPF που λειτουργεί ως καθορίστηκε, όχι η εγγραφή σας να είναι λάθος.

Η απογραφή δείχνει πόσο mainstream είναι αυτή η διαδρομή: 7,355,985 domains εξουσιοδοτούν το email-forwarding include του Namecheap (spf.efwd.registrar-servers.com) — το προϊόν προώθησης ενός μόνου παρόχου, από τα 139 εκατομμύρια εκδότες SPF — με strict-SPF share <0.1% και μόνο 0.2% που επιβάλλουν DMARC. Αυτό το soft template δεν είναι αμέλεια: η προώθηση είναι ακριβώς εκεί που το strict -all πυροβολά λάθος στόχο, και ο πάροχος το προϊόν του οποίου είναι η προώθηση αποστέλλει αναλόγως. Η πλήρης ιστορία qualifier βρίσκεται στην αναφορά ~all vs -all, και η εικόνα ανά πάροχο στο ποιος πάροχος email δίνει τον ισχυρότερο SPF.

Δεν μπορώ απλώς να προσθέσω τον διακομιστή forwarder στη εγγραφή SPF μου;

Όχι — και το γιατί είναι ολόκληρο το άρθρο:

1. Δεν μπορείτε να απαριθμήσετε forwarders. Οποιοσδήποτε παραλήπτης, οπουδήποτε, μπορεί να προωθήσει το email σας μέσω οποιασδήποτε υπηρεσίας. Η εγγραφή SPF σας θα χρειαζόταν να αναγράφει διακομιστές που δεν μπορείτε να γνωρίζετε εκ των προτέρων.
2. Η ανάγραφή τους θα κατέλυε τον σκοπό. Μεγάλες υπηρεσίες προώθησης αναμεταδίδουν email για εκατομμύρια πελάτες. Βάλτε τα ranges τους στη εγγραφή σας και κάθε μήνυμα που αναμεταδίδει οποιοσδήποτε χρήστης τους — συμπεριλαμβανομένου πλαστοπροσωπητή — περνά SPF ως εσείς.

Η ίδια λογική αποκλείει τη χαλάρωση του qualifier “για να λειτουργεί η προώθηση”: ο qualifier δεν είναι ο λόγος που το προωθημένο email αποτυγχάνει, και μόλις το DMARC είναι ενεργό αλλάζει λιγότερο από όσο ισχυρίζονται οι περισσότεροι οδηγοί — δείτε τα δεδομένα qualifier. Η εγγραφή δεν είναι ο μοχλός εδώ. Σταματήστε να τον τραβάτε.

Τι γίνεται με SRS και ARC — δεν διορθώνουν την προώθηση;

Αντιμετωπίζουν το ζήτημα — αλλά κανένα δεν είναι δικό σας να αναπτύξετε:

Δεδομένα και κατάσταση μηχανισμού ως 2026-06-29.

Το SRS κάνει το πρόβλημα SPF του forwarder να εξαφανιστεί, όχι το δικό σας: η ξαναγραφή του Return-Path αλλάζει ποιος SPF ελέγχεται, ενώ η κεφαλίδα From σας — το domain που υπερασπίζεται το DMARC — παραμένει άθικτη. Το ARC είναι μια απόφαση εμπιστοσύνης μεταξύ operators υποδομής. Αν ένας οδηγός σας λέει να “εφαρμόσετε SRS” ως ιδιοκτήτης domain, σας έχει μπερδέψει με τον πάροχο προώθησης.

Πώς κάνω το email μου να επιβιώνει της προώθησης;

Κάντε τον DKIM, ευθυγραμμισμένο με το domain σας, το DMARC pass σας. Μια υπογραφή DKIM είναι κρυπτογραφία που μεταφέρεται στις κεφαλίδες μηνύματος: επαληθεύεται όπου κι αν καταλήξει το μήνυμα, ανεξαρτήτως πόσοι διακομιστές το αναμετέδωσαν, εφόσον το υπογεγραμμένο περιεχόμενο δεν τροποποιήθηκε. Το DMARC χρειάζεται μόνο ένα ευθυγραμμισμένο pass — SPF ή DKIM — οπότε όταν η προώθηση σκοτώνει το σκέλος SPF, ο ευθυγραμμισμένος DKIM κρατά το μήνυμα επικυρωμένο.

1. Εκτελέστε τη δωρεάν σάρωση στο defaults.exposed πριν αλλάξετε DNS. Δείχνει αν έχετε DKIM καθόλου, αν υπογράφει με το domain σας, και πού βρίσκεται το DMARC σας — ώστε να διορθώσετε το πραγματικό κενό αντί να παλεύετε με τη εγγραφή SPF σας.
2. Επιβεβαιώστε ότι η προώθηση είναι πραγματικά το πρόβλημά σας. Στην κεφαλίδα Authentication-Results ενός επηρεαζόμενου μηνύματος, το άμεσο email περνά SPF ενώ το προωθημένο αντίγραφο αποτυγχάνει από την IP της υπηρεσίας προώθησης. Αν SPF και DKIM περνούν αλλά DMARC εξακολουθεί να αποτυγχάνει, έχετε αντίθετα πρόβλημα ευθυγράμμισης — δείτε DMARC αποτυγχάνει αλλά SPF και DKIM περνούν.
3. Ενεργοποιήστε υπογραφή DKIM με το δικό σας domain σε κάθε υπηρεσία αποστολής — πρώτα τον πάροχο γραμματοκιβωτίου, στη συνέχεια ESPs και transactional senders. Οι προεπιλογές παρόχου συχνά υπογράφουν με το domain του παρόχου, που δεν ευθυγραμμίζεται· θέλετε d=yourdomain. Ξεκινήστε από το πώς να διορθώσετε DKIM, με click-paths για Google Workspace και Microsoft 365.
4. Επαληθεύστε ευθυγράμμιση, όχι απλώς pass. Το domain d= στην υπογραφή πρέπει να ταιριάζει με το domain From σας· dkim=pass στο domain κάποιου άλλου δεν κάνει τίποτα για το DMARC σας.
5. Αφήστε τη εγγραφή SPF σας μόνη. Διατηρήστε την ακριβή για το άμεσο email σας — εξακολουθεί να επικυρώνει το μεγαλύτερο μέρος της κίνησής σας και παραμένει το δεύτερο σκέλος DMARC. Απλώς σταματήστε να προσπαθείτε να καλύψετε forwarders.
6. Επανεκτελέστε σάρωση, στη συνέχεια σταδιακή επιβολή DMARC σκόπιμα — επόμενο τμήμα, και ο οδηγός σταδιακής εφαρμογής p=none σε p=reject.

Αυτός ο συνδυασμός — SPF συν enforcing DMARC που βασίζεται σε ευθυγραμμισμένο DKIM — είναι το ανθεκτικό-στην-προώθηση μοτίβο, και είναι σπάνιο: από τα 77.5 εκατομμύρια domains που δημοσιεύουν ~all, μόνο 9.2% (7,116,774) το υποστηρίζουν με enforcing DMARC policy, και μόνο 3.87% από τα 261 εκατομμύρια βαθμολογημένα domains (10,092,481) ολοκληρώνουν την πλήρη τριάδα SPF + DKIM + enforced-DMARC, ανά την απογραφή (2026-06-29).

Τι γίνεται με mailing lists που ξαναγράφουν μηνύματα;

Η μία διαδρομή προώθησης που ο ευθυγραμμισμένος DKIM δεν επιβιώνει: mailing lists που τροποποιούν το μήνυμα — ετικέτα θέματος [list-name], footer unsubscribe, αφαιρεμένο συνημμένο. Αλλάξτε το υπογεγραμμένο περιεχόμενο και το body hash δεν ταιριάζει πλέον, οπότε ο DKIM αποτυγχάνει επίσης (dkim=fail: body hash did not verify είναι ο δικός του οδηγός αυτής της αποτυχίας). Τώρα και τα δύο σκέλη DMARC είναι νεκρά, και μόνο η list μπορεί να το μετριάσει (ξαναγραφή From, ARC sealing).

Αυτό το υπόλοιπο είναι ακριβώς για τι είναι η σταδιακή επιβολή DMARC. Η μετακίνηση μέσω p=quarantine με αύξηση pct ενώ παρακολουθείτε αναφορές συγκεντρωτικών δείχνει πόσο από το πραγματικό email σας ρέει μέσω lists που ξαναγράφουν πριν μια policy p=reject αρχίσει να το κάνει bounce. Μη πηδάτε σε reject σε domain του οποίου οι χρήστες ζουν σε mailing lists· μη στέκεστε για πάντα στο p=none επίσης. Ο οδηγός σταδιακής εφαρμογής καθοδηγεί την αύξηση.

Συχνές ερωτήσεις

Σπάει η προώθηση επίσης τον DKIM; Απλή προώθηση, όχι: η υπογραφή ταξιδεύει με το μήνυμα και επαληθεύεται στον τελικό παραλήπτη. Ο DKIM σπάει μόνο όταν το υπογεγραμμένο περιεχόμενο τροποποιηθεί κατά τη μεταφορά — ετικέτες θέματος mailing-list και footers είναι η κλασική περίπτωση — γι’ αυτό το υπόλοιπο list αντιμετωπίζεται από σταδιοποίηση DMARC policy, όχι από οτιδήποτε στο DNS.

Πρέπει να αλλάξω από -all σε ~all για να σταματήσω να αποτυγχάνει η προώθηση; Η αλλαγή του qualifier δεν θα κάνει τους forwarders να περνούν — δεν είναι ο λόγος που αποτυγχάνουν. Είναι χαρακτηριστικό ότι το forwarding include του Namecheap, 7,355,985 domains και ο μεγαλύτερος πληθυσμός αφιερωμένης-προώθησης της απογραφής (2026-06-29), έρχεται με strict-SPF share <0.1%: ο soft SPF είναι υποστηρικτικά το σωστό template για προϊόν προώθησης. Δείτε την αναφορά ~all vs -all για τι αλλάζει πραγματικά ο qualifier.

Γιατί το email μου περνά SPF όταν αποστέλλεται άμεσα αλλά αποτυγχάνει όταν κάποιος το προωθεί; Ο παραλήπτης ελέγχει αν η IP τελευταίου μεταδίδοντος διακομιστή εξουσιοδοτείται από την εγγραφή SPF του domain Return-Path σας. Άμεσα: ο διακομιστής σας, στη εγγραφή σας, pass. Προωθημένο: ο διακομιστής του forwarder, που δεν βρίσκεται στη εγγραφή σας, fail. Η εγγραφή σας δεν άλλαξε — άλλαξε η IP που μεταδίδει.

Μπορώ να ρυθμίσω SRS για να το διορθώσω; Μόνο αν είστε ο forwarder. Το SRS εκτελείται στον διακομιστή που κάνει την προώθηση, και ακόμα και εκεί που εκτελείται, το SPF pass που προκύπτει ανήκει στο domain του forwarder και δεν ευθυγραμμίζεται με το From σας — το DMARC σας εξακολουθεί να χρειάζεται το σκέλος DKIM.

Είναι άχρηστος ο SPF αν η προώθηση τον σπάει ούτως ή άλλως; Όχι. Το μεγαλύτερο μέρος email παραδίδεται άμεσα, όπου ο SPF λειτουργεί ακριβώς όπως σχεδιάστηκε, και παραμένει ένα από τα δύο σκέλη DMARC σας. Από τα 261,086,232 domains στην απογραφή (2026-06-29), 138,927,207 δημοσιεύουν SPF — διατηρήστε τη δική σας ακριβή μέσω της σελίδας διόρθωσης SPF, και αφήστε τον DKIM να φέρει το προωθημένο υπόλοιπο.

Στείλτε στον ιδιοκτήτη την αναφορά

Αν διορθώνετε αυτό για έναν πελάτη ή τον εργοδότη σας, κλείστε τον κύκλο με αποδείξεις. Μόλις ο προσαρμοσμένος-domain DKIM είναι ζωντανός και το DMARC είναι σε στάδια, επανεκτελέστε τη δωρεάν σάρωση και προωθήστε τη βαθμολογημένη αναφορά στον ιδιοκτήτη: με ημερομηνία, σε απλή γλώσσα, που δείχνει ότι το domain παραμένει επικυρωμένο ακόμα κι όταν το email του προωθείται. Αυτό είναι το τεκμήριο για την ανανέωση ασφάλισης κυβερνοεπιθέσεων και το επόμενο ερωτηματολόγιο προμηθευτών — τεκμηριωμένο πριν-και-μετά, όχι “έστρεψα κάτι”.

Ελέγξτε το domain σας → · DMARC αποτυγχάνει αλλά SPF και DKIM περνούν → · Διόρθωση DKIM → · Πώς βαθμολογούμε → · Μόνο συγκεντρωτικά δεδομένα. Δεδομένα αποθηκευμένα και επεξεργασμένα στην ΕΕ.