آیا یک دامنه می‌تواند دو رکورد SPF داشته باشد؟ خیر — یک میلیون دامنه تازه رکورد خودشان را باطل کردند (۲۰۲۶)

منتشرشده 2026-07-03

ارقام تا تاریخ 2026-06-29 · روش‌شناسی نسخه ۷. سرشماری تجمیعی در سراسر 261 میلیون دامنه درجه‌بندی‌شده. همه‌ی ارقام تجمیعی‌اند — هرگز رکورد یک کسب‌وکار منفرد نیست. ببینید چگونه درجه‌بندی می‌کنیم.

خیر — یک دامنه فقط مجاز است دقیقاً یک رکورد SPF منتشر کند، و اشتباه در این کار SPF را به‌طور کامل خاموش می‌کند: 1,013,416 دامنه در حال حاضر دو رکورد یا بیشتر منتشر می‌کنند، که طبق RFC 7208 همه‌ی رکوردهای SPF یک دامنه را نامعتبر می‌کند. نه جدیدترین، نه قدیمی‌ترین — همه‌ی آن‌ها. دریافت‌کننده‌ای که چند رکورد v=spf1 پیدا کند باید یک خطای دائمی برگرداند، که یعنی هیچ محافظت SPF‌ای وجود ندارد، روی دامنه‌ای که از دید صاحبش انگار دو برابر محافظت دارد.

چرا دو رکورد SPF برابر با صفر است؟

استاندارد صریح است: سیاست SPF یک دامنه باید یک رکورد TXT واحد باشد که با v=spf1 شروع می‌شود (RFC 7208 §3.2؛ نتیجه‌ی خطا در §4.5 تجویز شده است). اگر یک جست‌وجو بیش از یکی پیدا کند، دریافت‌کننده نمی‌تواند بداند کدام‌یک معتبر و مرجع است — پس استاندارد حدس‌زدن را ممنوع می‌کند. دریافت‌کننده‌های سازگار با استاندارد باید PermError برگردانند: ارزیابی به‌طور دائمی شکست می‌خورد.

و یک PermError خنثی نیست. DMARC آن را روی شاخه‌ی SPF یک شکست تلقی می‌کند — پس دامنه‌ای که رکوردش را تکراری کرده هم محافظت خودش را باطل کرده و هم احراز هویت ایمیل‌های مشروع خودش را دچار اختلال کرده است. این یکی از معدود اشتباهات DNS است که در آن افزودن محافظت آن را از بین می‌برد (منتشر کردن دو رکورد DMARC همین بلا را سر DMARC می‌آورد).

تقریباً از هر 138 دامنه‌ای که تلاش می‌کنند SPF داشته باشند، ۱ دامنه این کار را با خودش کرده است.

چطور اتفاق می‌افتد؟ کپی-پیست هنگام راه‌اندازی

تقریباً هیچ‌کس عمداً یک رکورد SPF دوم نمی‌نویسد. این اتفاق روزی می‌افتد که یک ابزار ایمیل اضافه می‌کنید:

دامنه‌ی شما از قبل v=spf1 include:spf.protection.outlook.com -all را از ارائه‌دهنده‌ی صندوق پستی‌تان دارد.
در یک پلتفرم خبرنامه، CRM یا ابزار صدور فاکتور ثبت‌نام می‌کنید.
راهنمای راه‌اندازی‌اش می‌گوید: «این رکورد TXT را به DNS خود اضافه کنید: v=spf1 include:newtool.example.com ~all.»
شما دقیقاً همان کاری را می‌کنید که گفته — آن را اضافه می‌کنید، در کنار رکورد قدیمی.

حالا دو رکورد وجود دارد، و هر دو باطل‌اند. راهنما گفت «اضافه کنید»، و اضافه کردن دقیقاً همان یک کاری است که استاندارد اجازه نمی‌دهد؛ اقدام درست — ادغام include: جدید در رکورد موجود — تقریباً در هیچ روند راه‌اندازی‌ای ذکر نمی‌شود.

این خرابی از پنل DNS نامرئی است: هر دو رکورد به‌تنهایی درست‌ساختار به نظر می‌رسند، و ایمیل عمدتاً همچنان می‌رسد چون دریافت‌کننده‌ها به سیگنال‌های دیگر پناه می‌برند. تا زمانی که یک جعل موفق شود یا تحویل‌پذیری افت کند، هیچ‌چیز به شما هشدار نمی‌دهد.

چطور آن را بررسی و رفع کنیم — دو دقیقه، رایگان

رکوردهای TXT دامنه‌ی خود را جست‌وجو کنید (dig TXT yourdomain.com، یا از بررسی رایگان ما استفاده کنید).
رکوردهایی را که با v=spf1 شروع می‌شوند بشمارید. تنها عدد امن ۱ است.
اگر بیش از یکی دارید: آن‌ها را ادغام کنید — هر مکانیزم include: و ip4:/ip6: را در یک رکورد واحد با یک صلاحیت‌گر پایانی (ببینید ~all در برابر -all) — و بقیه را حذف کنید.

Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

هنگام ادغام، حواستان به محدودیت ۱۰ جست‌وجو باشد — تعداد زیاد مکانیزم‌های include: به شیوه‌ای دیگر SPF را می‌شکند.

پرسش‌های پرتکرار

آیا چند رکورد SPF مجاز است؟ خیر. RFC 7208 دقیقاً یک رکورد v=spf1 برای هر دامنه مجاز می‌داند؛ دو رکورد یا بیشتر باعث یک خطای دائمی می‌شود که SPF را به‌طور کامل باطل می‌کند. 1,013,416 دامنه تا تاریخ 2026-06-29 در این وضعیت هستند.

آیا رکورد SPF دوم بر اولی غلبه می‌کند؟ هیچ‌کدام برنده نمی‌شود. دریافت‌کننده‌ای که چند رکورد پیدا کند باید به‌جای انتخاب کردن، ارزیابی را شکست دهد — پس همه‌ی آن‌ها همزمان از کار می‌افتند.

چطور دو رکورد SPF را در یکی ترکیب کنم؟ یک رکورد، که با v=spf1 شروع می‌شود، شامل هر مکانیزم include: و IP از همه‌ی آن‌ها، و به یک -all یا ~all واحد ختم می‌شود. رکوردهای اضافی را حذف کنید، سپس تأیید کنید که تعداد جست‌وجوهایتان پس از ادغام سالم مانده است.

چرا ایمیل من با دو رکورد SPF همچنان کار می‌کند؟ دریافت‌کننده‌هایی که به خطا برمی‌خورند معمولاً بدون SPF ادامه می‌دهند، پس ایمیل شما بر پایه‌ی اعتبار و DKIM سوار می‌شود. آنچه از دست داده‌اید محافظت است — هیچ‌چیز یک جاعل را رد نمی‌کند — و ارزیابی‌های DMARC شما شاخه‌ی SPF‌شان را از دست می‌دهند. ایمیل کارآمد و SPF کارآمد دو چیز متفاوت‌اند.

بررسی کنید که آیا دامنه‌ی شما یکی از آن یک میلیون است

یک نگاه ۳۰ ثانیه‌ای یا تکلیف شما را روشن می‌کند یا یک ادغام دو دقیقه‌ای به دستتان می‌دهد.

دامنه‌ی خود را بررسی کنید ← · رفع SPF ← · گزارش SPF PermError ← · مدل بلوغ SPF ← · فقط داده‌های تجمیعی. داده‌ها در اتحادیه‌ی اروپا ذخیره و پردازش می‌شوند.