Defaults.Exposed › Laporan

Model Kematangan Adopsi SPF (SPFAMM): 6 Tahap SPF (2026)

Diterbitkan 2026-07-03

Angka per 2026-06-29 · metodologi v7. Sebuah model rujukan yang didukung oleh sensus berkala atas 261 juta domain yang dinilai; setiap edisi mengukur ulang populasi yang sama sehingga angkanya dapat dilacak dari waktu ke waktu. Semua angka bersifat agregat — kami tidak pernah memublikasikan catatan suatu bisnis individu.

Di tahap mana internet berada?

Tahap 2.4 dari 6. Diukur di 261 juta domain, domain rata-rata belum mencapai pagar SPF yang berfungsi — dan internet secara keseluruhan memperoleh skor 29 dari 100 pada kekuatan SPF. Memublikasikan SPF adalah tindakan keamanan email yang paling umum ada (53.21% domain melakukannya), namun sebagian besar catatan itu berhenti pada pengaturan yang justru meminta penerima untuk tetap mengirimkan pemalsuan.

Masalahnya bukanlah adopsi — melainkan bahwa sebagian besar panduan kematangan berhenti di “kami telah memublikasikan SPF”, seolah-olah catatan itu sendiri adalah pencapaiannya. Sebuah catatan SPF dapat mengizinkan seluruh internet, tidak menyatakan pendapat apa pun, diam-diam membatalkan dirinya sendiri, atau tetap berada di softfail selamanya karena memperketatnya berarti pekerjaan yang tak seorang pun jadwalkan. Sebuah model yang berguna menamai setiap kondisi itu. Model ini melakukannya: Model Kematangan Adopsi SPF — SPFAMM, enam tahap, satu langkah di masing-masing, dan sebuah nama yang bisa Anda kutip. Ini adalah pendamping SPF untuk enam tahap kematangan DMARC.

Apa saja enam tahap kematangan SPF?

Setiap satu dari 261 juta domain yang dinilai berada tepat di salah satu tahap 1–5, dan kelima populasi itu berjumlah persis sebesar total sensus; tahap 6 adalah subset yang telah dikeraskan yang dihitung di dalam tahap 5. Itulah yang membuat SPFAMM menjadi sebuah pengukuran, bukan sekadar poster.

(Tahap 6 adalah subset dikeraskan dari domain selaras Tahap 5, sehingga tahap 1–5 mempartisi sensus dan tahap 6 berada di dalam tahap 5.)

Tahap 1 — Tidak terlindungi. Tidak ada catatan v=spf1. Tidak ada penerima yang memeriksa apa pun; memalsukan domain pada bagian SPF menjadi mudah. Langkahnya: publikasikan catatan v=spf1 yang mencantumkan pengirim asli Anda, diakhiri dengan kualifikasi fail.

Tahap 2 — Permisif atau rusak. Sebuah catatan ada tetapi tidak melindungi apa pun. Tahap ini menghimpun akhiran-akhiran tak bergigi — ?all netral (3.0% dari publisher) dan keset selamat datang +all — bersama-sama dengan catatan yang rusak: beberapa catatan v=spf1, yang dibatalkan sepenuhnya oleh standar, dan catatan terpecah-pecah tanpa akhiran yang dapat digunakan. Satu pengecualian: sekitar 2.1 juta catatan diakhiri dengan redirect=, yang merupakan delegasi yang sah — kebijakan sebenarnya berada di target, dan kami menghitungnya di sini hanya karena catatannya sendiri tidak membawa keputusan. Langkahnya: satu catatan, satu akhiran yang sebenarnya — ~all atau -all.

Tahap 3 — Berpagar lunak. Catatan diakhiri dengan ~all (softfail) tanpa apa pun yang menegakkan di belakangnya — 70.4 juta domain, populasi terbesar dari tahap SPF yang dipublikasikan mana pun. Softfail adalah pagar nyata dengan gerbang tak terkunci: ia memberi tahu penerima “surat dari tempat lain kemungkinan besar palsu”, dan meminta mereka untuk tetap mengirimkannya. Langkahnya: daki tembok itu — perhitungkan setiap pengirim, lalu ambil salah satu rute untuk naik (di bawah).

Tahap 4 — Ketat. Catatan diakhiri dengan -all: 42.5 juta domain memublikasikan “tolak semua yang lain” secara langsung, tanpa penegakan DMARC di belakangnya. Satu peringatan jujur yang kini dikuantifikasi oleh pengukuran kami sendiri: sebuah catatan -all yang melampaui batas 10 lookup menjadi tidak sah tak peduli sekeras apa pun tampaknya — setidaknya 112,215 dari catatan -all di internet berada dalam kondisi itu. Langkahnya: tempatkan kebijakan DMARC yang menegakkan di belakang catatan, sehingga kegagalan ditindaklanjuti di mana pun.

Tahap 5 — Selaras. SPF — lunak atau ketat — berada di belakang DMARC p=quarantine atau p=reject. Ini adalah tahap di mana pemalsuan domain Anda persis benar-benar berhenti di setiap penyedia kotak surat besar: 19.3 juta domain, di antaranya 7.1 juta memasangkan ~all dengan penegakan (pola yang direkomendasikan panduan pengirim Google) dan 12.1 juta memasangkannya dengan -all. Langkahnya: tambahkan DKIM dan terus pantau — catatan bisa lapuk.

Tahap 6 — Dikeraskan. SPF ditambah DKIM ditambah DMARC yang menegakkan — himpunan yang sepenuhnya terlindungi, 10,092,481 domain, 3.87% dari internet — ditambah kedisiplinan memantau penyimpangan: rantai include: berubah, penyedia memindahkan IP, seseorang menghubungkan alat baru yang mengirim atas nama Anda. Langkahnya: tetap di sini. Ini adalah praktik, bukan lencana.

Jalur tanpa-surat. Sebuah domain yang tidak mengirim surat dapat melompat ke puncak dalam satu suntingan: SPF -all ditambah DMARC p=reject. Tidak ada yang sah untuk dilindungi berarti tidak ada tembok untuk didaki — dan ini menutup salah satu vektor peniruan identitas yang paling umum ada.

Mengapa Tahap 3 adalah tempat internet macet?

Karena hampir setiap langkah lain adalah suntingan DNS kecil, dan langkah keluar dari Tahap 3 adalah pekerjaan: mendaftar setiap sistem yang secara sah mengirim atas nama Anda — penyedia kotak surat, platform buletin, CRM, alat penagihan, hal yang didaftarkan pemasaran musim semi lalu — dan memasangnya ke dalam satu catatan tanpa meledakkan anggaran 10 lookup. Itulah temboknya. ~all adalah anak tangga terakhir yang dapat dijangkau tanpa melakukannya, itulah mengapa 70.4 juta domain beristirahat di sana.

Dari puncak tembok ada dua rute untuk naik, dan keduanya tiba di Tahap 5:

• Perketat ke -all (melalui Tahap 4) — sebuah “tidak” yang tegas dalam catatan itu sendiri. Lihat ~all vs -all untuk kapan ini adalah pilihan yang tepat.
• Pertahankan ~all dan tegakkan dengan DMARC p=reject — rute yang kini direkomendasikan oleh panduan Google dan sebagian besar praktik deliverabilitas, karena ia melindungi secara setara di penerima yang mengevaluasi DMARC tanpa memantulkan surat yang diteruskan.

Sensus menunjukkan betapa jarangnya salah satu rute diselesaikan: dari 77.5 juta catatan softfail, hanya 7.1 juta — sekitar 1 dari 11 — yang memiliki penegakan di belakangnya.

Bagaimana Skor Kekuatan SPF dihitung?

Secara sederhana, dan kami menjaga bobotnya tetap konstan sehingga skornya dapat dibandingkan dari bulan ke bulan: kredit penuh untuk domain di mana sesuatu menegakkan (tahap 5–6), kredit setengah untuk pagar nyata yang tak seorang pun tindaklanjuti (tahap 3–4), tidak ada apa pun untuk catatan yang absen, permisif, atau rusak. Pada skala itu internet memperoleh skor 29/100 per 2026-06-29. Hampir separuh populasi menyumbang nol karena tidak memublikasikan apa pun sama sekali.

Bagaimana saya menemukan tahap domain saya?

Tahap 1–4 dapat dibaca langsung dari catatan DNS Anda; tahap 5 menambahkan kebijakan DMARC Anda; tahap 6 menambahkan DKIM. Satu hal yang tidak bisa diketahui hanya dengan sekilas adalah apakah catatan yang ketat secara diam-diam melebihi batas lookup — itu memerlukan penyelesaian rantai, yang dilakukan pemeriksa kami untuk Anda.

Pertanyaan yang sering diajukan

Apa itu SPFAMM? Model Kematangan Adopsi SPF — model enam tahap di halaman ini: Tidak terlindungi, Permisif/rusak, Berpagar lunak, Ketat, Selaras, Dikeraskan. Tahap setiap domain dapat dihitung dari DNS-nya: tahap 1–5 mempartisi sensus 261 juta domain secara persis, dan tahap 6 adalah subset dikeraskan di dalam tahap 5.

Di tahap mana sebagian besar domain berada? Tahap 1 — 46.4% domain tidak memublikasikan SPF sama sekali. Di antara domain yang memublikasikan, Tahap 3 (softfail tanpa penegakan) adalah tempat istirahat yang paling umum, dengan 70.4 juta domain. Rata-rata berbobot populasi adalah tahap 2.4.

Apakah softfail ~all sudah cukup baik? Hanya dengan kebijakan DMARC yang menegakkan di belakangnya — pasangan itu adalah Tahap 5 dan pola yang direkomendasikan panduan pengirim Google. Dengan sendirinya ini adalah Tahap 3: pagar nyata, gerbang tak terkunci. Perbandingan lengkapnya ada di ~all vs -all.

Apakah saya harus mencapai -all agar aman? Tidak. Tahap 4 adalah salah satu dari dua rute, bukan persyaratan — mempertahankan ~all dan menegakkan dengan DMARC p=reject tiba pada perlindungan yang sama di penerima yang mengevaluasi DMARC. Yang wajib adalah temboknya: mengetahui setiap pengirim sebelum apa pun menegakkan.

Berapa banyak domain yang menyelesaikan keenam tahap? 10,092,481 — 3.87% dari internet — memegang SPF, DKIM, dan kebijakan DMARC yang menegakkan secara bersamaan. Setiap transisi tahap gratis; rinciannya ada di segelintir yang terlindungi.

Periksa posisi domain Anda

Domain Anda berada tepat di salah satu dari enam tahap ini, dan langkah berikutnya dapat diketahui dalam 30 detik — gratis, dan setiap perbaikan di sepanjang tangga adalah perubahan DNS, bukan pembelian.

Periksa domain Anda → · Perbaiki SPF → · ~all vs -all → · Laporan SPF PermError → · 6 tahap kematangan DMARC → · Hanya data agregat. Data disimpan dan diproses di UE.