Defaults.Exposed › Aruanded

SPF-i kasutuselevõtu küpsusmudel (SPFAMM): SPF-i 6 etappi (2026)

Avaldatud 2026-07-03

Arvandmed seisuga 2026-06-29 · metoodika v7. Võrdlusmudel, mis toetub 261 miljoni hinnatud domeeni korduvale loendusele; iga väljaanne mõõdab uuesti sama populatsiooni, nii et numbreid saab ajas jälgida. Kõik arvandmed on koondnäitajad — me ei avalda kunagi üksiku ettevõtte kirjet.

Millisel etapil on internet?

Etapp 2.4 kuuest. Mõõdetuna 261 miljoni domeeni ulatuses ei ole keskmine domeen jõudnud veel toimiva SPF-i tarani — ja internet tervikuna saab SPF-i tugevuse eest 29 punkti 100-st. SPF-i avaldamine on kõige levinum e-posti turvalisuse toiming, mis olemas on (53.21% domeenidest teeb seda), ometi peatub enamik neist kirjetest seadel, mis palub vastuvõtjatel võltsingud siiski kohale toimetada.

Probleem ei ole kasutuselevõtus — probleem on selles, et enamik küpsusjuhiseid peatub kohas “avaldasime SPF-i”, justkui kirje ise oleks saavutus. SPF-i kirje võib volitada kogu internetti, mitte väljendada mingit arvamust, end vaikselt kehtetuks muuta või jääda igaveseks softfaili juurde, sest selle pingutamine tähendab tööd, mida keegi ei planeerinud. Kasulik mudel annab igale sellisele seisundile nime. See mudel teebki seda: SPF-i kasutuselevõtu küpsusmudel — SPFAMM, kuus etappi, igaühest üks samm, ja nimi, mida saab tsiteerida. See on SPF-i vaste DMARC-i küpsuse kuuele etapile.

Millised on SPF-i küpsuse kuus etappi?

Iga üksik neist 261 miljonist hinnatud domeenist asub täpselt ühel etapil 1–5, ja need viis populatsiooni annavad kokku täpselt loenduse kogusumma; etapp 6 on etapi 5 sees loendatud karastatud alamhulk. Just see teebki SPFAMM-ist mõõtmise, mitte plakati.

(Etapp 6 on etapi 5 ühtlustatud domeenide karastatud alamhulk, seega etapid 1–5 jaotavad loenduse ära ja etapp 6 asub etapi 5 sees.)

Etapp 1 — Kaitsmata. Puudub v=spf1 kirje. Ükski vastuvõtja ei kontrolli midagi; domeeni võltsimine SPF-i lõigus on lihtne. Samm: avalda v=spf1 kirje, mis loetleb sinu tegelikud saatjad ja lõpeb fail-kvalifikaatoriga.

Etapp 2 — Lubav või katki. Kirje on olemas, kuid ei kaitse midagi. Sellesse etappi kogunevad hambutud lõpud — ?all neutraalne (3.0% avaldajatest) ja +all tervitusmatt — koos katkiste kirjetega: mitu v=spf1 kirjet, mille standard täielikult kehtetuks muudab, ning katkendlikud kirjed ilma kasutatava lõputa. Üks erand: umbes 2.1 miljonit kirjet lõpeb redirect=-ga, mis on kehtiv delegeerimine — nende tegelik poliitika elab sihtmärgis ja me loeme need siia ainult sellepärast, et nende oma kirje ei kanna otsust. Samm: üks kirje, üks tegelik lõpp — ~all või -all.

Etapp 3 — Pehme tara. Kirje lõpeb ~all-iga (softfail), ilma et selle taga midagi jõustaks — 70.4 miljonit domeeni, suurim populatsioon kõigi avaldatud SPF-i etappide seas. Softfail on tõeline tara lukustamata väravaga: see ütleb vastuvõtjatele “mujalt tulnud kiri on tõenäoliselt võltsitud” ja palub neil see siiski kohale toimetada. Samm: roni müürist üle — arvesta kõigi saatjatega, seejärel vali kumb tahes tee üles (allpool).

Etapp 4 — Range. Kirje lõpeb -all-iga: 42.5 miljonit domeeni avaldab otsekohese “lükka kõik teised tagasi”, ilma et taga oleks veel DMARC-i jõustamist. Üks aus hoiatus, mille meie oma mõõtmine nüüd kvantifitseerib: -all kirje, mis ületab 10 päringu piiri, on kehtetu ükskõik kui range see ka ei paistaks — vähemalt 112,215 interneti -all kirjet on selles seisundis. Samm: pane kirje taha jõustav DMARC-i poliitika, nii et tõrgetele reageeritakse igal pool.

Etapp 5 — Ühtlustatud. SPF — pehme või range — asub DMARC-i p=quarantine või p=reject taga. See on etapp, kus sinu täpse domeeni võltsimine tegelikult peatub igal suuremal postkastiteenusel: 19.3 miljonit domeeni, millest 7.1 miljonit paaritab ~all jõustamisega (muster, mida Google’i saatjajuhised soovitavad) ja 12.1 miljonit paaritab sellega -all. Samm: lisa DKIM ja jälgi edasi — kirjed mädanevad.

Etapp 6 — Karastatud. SPF pluss DKIM pluss jõustav DMARC — täielikult kaitstud hulk, 10,092,481 domeeni, 3.87% internetist — pluss distsipliin jälgida triivi: include: ahelad muutuvad, teenusepakkujad liigutavad IP-sid, keegi ühendab uue tööriista, mis saadab sinu nime alt. Samm: jää siia. See on praktika, mitte märk.

Kirjata rada. Domeen, mis ei saada kirju, saab ühe muudatusega hüpata tippu: SPF -all pluss DMARC p=reject. Kui pole midagi seaduslikku, mida kaitsta, siis pole ka müüri, millest ronida — ja see sulgeb ühe kõige levinuma isikustamisvektori, mis olemas on.

Miks internet takerdub just etapil 3?

Sest peaaegu iga muu samm on väike DNS-i muudatus, aga etapist 3 väljumine on töö: kõigi süsteemide loendamine, mis sinu nime alt seaduslikult saadavad — postkastiteenus, uudiskirjaplatvorm, CRM, arveldustööriist, see asi, mille turundus möödunud kevadel registreeris — ja nende mahutamine ühte kirjesse, ilma 10 päringu eelarvet lõhkumata. See ongi müür. ~all on viimane pulk, milleni jõuab seda tegemata, mistõttu 70.4 miljonit domeeni sinna puhkama jäävad.

Müüri tipust on kaks teed üles, ja mõlemad jõuavad etappi 5:

• Karasta -all-ni (läbi etapi 4) — kindel ei kirjes endas. Vaata ~all vs -all, et teada, millal see on õige valik.
• Hoia ~all ja jõusta DMARC-i p=reject-iga — tee, mida Google’i juhised ja enamik kohaletoimetatavuse praktikast nüüd soovitavad, sest see kaitseb võrdselt DMARC-i hindavatel vastuvõtjatel, ilma et edastatud kirja tagasi põrgataks.

Loendus näitab, kui harva kumbki tee lõpuni saab: 77.5 miljonist softfaili kirjest on jõustamine taga vaid 7.1 miljonil — umbes 1-l 11-st.

Kuidas SPF-i tugevuse skoor arvutatakse?

Lihtsalt, ja me hoiame kaalud muutumatuna, et skoor oleks kuust kuusse võrreldav: täispunktid domeenidele, kus miski jõustab (etapid 5–6), pooled punktid tõelisele tarale, mille peale keegi ei reageeri (etapid 3–4), ja mitte midagi puuduvatele, lubavatele või katkistele kirjetele. Sellel skaalal saab internet 29/100 seisuga 2026-06-29. Peaaegu pool populatsioonist annab null, sest ei avalda üldse midagi.

Kuidas leida oma domeeni etapp?

Etapid 1–4 on loetavad otse sinu DNS-i kirjest; etapp 5 lisab sinu DMARC-i poliitika; etapp 6 lisab DKIM-i. Ainus asi, mida pilguga ei näe, on see, kas range kirje on salaja üle päringupiiri — selleks tuleb ahel lahendada, mida meie kontrollija sinu eest teeb.

Korduma kippuvad küsimused

Mis on SPFAMM? SPF-i kasutuselevõtu küpsusmudel — kuueetapiline mudel sellel lehel: Kaitsmata, Lubav/katki, Pehme tara, Range, Ühtlustatud, Karastatud. Iga domeeni etapp on arvutatav selle DNS-ist: etapid 1–5 jaotavad 261 miljoni domeeni loenduse täpselt ära ja etapp 6 on etapi 5 sees olev karastatud alamhulk.

Millisel etapil on enamik domeene? Etapp 1 — 46.4% domeenidest ei avalda üldse SPF-i. Nende domeenide seas, mis avaldavad, on etapp 3 (softfail ilma jõustamiseta) kõige levinum puhkekoht, 70.4 miljoni domeeniga. Populatsiooniga kaalutud keskmine on etapp 2.4.

Kas ~all softfail on piisavalt hea? Ainult jõustava DMARC-i poliitikaga selle taga — see paar on etapp 5 ja muster, mida Google’i saatjajuhised soovitavad. Üksinda on see etapp 3: tõeline tara, lukustamata värav. Täielik võrdlus on artiklis ~all vs -all.

Kas ma pean turvaliseks olemiseks jõudma -all-ni? Ei. Etapp 4 on üks kahest teest, mitte nõue — ~all hoidmine ja DMARC-i p=reject-iga jõustamine jõuab sama kaitseni DMARC-i hindavatel vastuvõtjatel. Nõutud on müür: iga saatja teadmine enne, kui midagi jõustab.

Kui palju domeene läbib kõik kuus etappi? 10,092,481 — 3.87% internetist — hoiavad koos SPF-i, DKIM-i ja jõustavat DMARC-i poliitikat. Iga etapiüleminek on tasuta; üksikasjad on artiklis kaitstud vähesed.

Kontrolli, kus sinu domeen seisab

Sinu domeen on täpselt ühel neist kuuest etapist ja järgmine samm on teada 30 sekundiga — tasuta, ja iga parandus redelil on DNS-i muudatus, mitte ost.

Kontrolli oma domeeni → · Paranda SPF → · ~all vs -all → · SPF-i PermError-i aruanne → · DMARC-i küpsuse 6 etappi → · Ainult koondandmed. Andmeid salvestatakse ja töödeldakse ELis.