Ar domenas gali turėti du SPF įrašus? Ne — milijonas domenų ką tik panaikino savo pačių apsaugą (2026)

Q: Ar leidžiami keli SPF įrašai?

Ne. RFC 7208 leidžia lygiai vieną v=spf1 įrašą kiekvienam domenui; du ar daugiau sukelia nuolatinę klaidą, kuri visiškai panaikina SPF. 1,013,416 domenų yra tokioje būklėje 2026-06-29 būklei.

Q: Kaip sujungti du SPF įrašus į vieną?

Vienas įrašas, prasidedantis v=spf1, apimantis kiekvieną include: ir IP mechanizmą iš jų visų, besibaigiantis vienu -all arba ~all. Ištrink perteklinius, tada patikrink, ar tavo paieškų skaičius išgyveno sujungimą.

Paskelbta 2026-07-03

Duomenys 2026-06-29 būklei · metodika v7. Bendras surašymas per 261 milijonų įvertintų domenų. Visi skaičiai yra apibendrinti — niekada ne atskiro verslo įrašas. Žr. kaip mes vertiname.

Ne — domenas gali skelbti lygiai vieną SPF įrašą, ir suklydus čia SPF išsijungia visiškai: 1,013,416 domenų šiuo metu skelbia du ar daugiau, o tai pagal RFC 7208 padaro visus domeno SPF įrašus negaliojančius. Ne naujausią, ne seniausią — kiekvieną. Gavėjas, radęs kelis v=spf1 įrašus, privalo grąžinti nuolatinę klaidą, o tai reiškia jokios SPF apsaugos, nors savininkui atrodo, kad domenas turi dvigubą apsaugą.

Kodėl du SPF įrašai lygu nuliui?

Standartas kalba tiesiai: domeno SPF politika turi būti vienas TXT įrašas, prasidedantis v=spf1 (RFC 7208 §3.2; klaidos rezultatas nustatytas §4.5). Jei paieška randa daugiau nei vieną, gavėjas negali žinoti, kuris yra autoritetingas — todėl standartas draudžia spėlioti. Standartą atitinkantys gavėjai privalo grąžinti PermError: vertinimas nepavyksta visam laikui.

O PermError nėra neutralus. DMARC laiko jį SPF dalies nesėkme — todėl domenas, dubliavęs savo įrašą, panaikino savo apsaugą ir pakenkė savo teisėto pašto autentifikacijai. Tai viena iš labai retų DNS klaidų, kai pridėdamas apsaugą tu ją panaikini (dviejų DMARC įrašų paskelbimas daro tą patį DMARC atveju).

Maždaug 1 iš 138 domenų, bandančių naudoti SPF, taip pasielgė su savimi.

Kaip tai atsitinka? Įdiegimo kopijavimas-įklijavimas

Beveik niekas nerašo antro SPF įrašo tyčia. Tai atsitinka tą dieną, kai pridedi el. pašto įrankį:

Tavo domenas jau turi v=spf1 include:spf.protection.outlook.com -all iš tavo pašto tiekėjo.
Užsiregistruoji naujienlaiškių platformoje, CRM ar sąskaitų rašymo įrankyje.
Jo diegimo vadovas sako: „Pridėkite šį TXT įrašą į savo DNS: v=spf1 include:newtool.example.com ~all.“
Tu padarai tiksliai tai, kas parašyta — tu jį pridedi šalia senojo.

Dabar egzistuoja du įrašai, ir abu negalioja. Vadovas sakė „pridėkite“, o pridėjimas yra tas vienintelis dalykas, kurio standartas neleidžia; teisingas veiksmas — naujo include: sujungimas su esamu įrašu — beveik jokiame įdiegimo procese nepaminimas.

Klaida iš DNS skydelio nematoma: abu įrašai atrodo individualiai teisingai suformuoti, o paštas dažniausiai vis tiek pasiekia, nes gavėjai remiasi kitais signalais. Niekas tavęs neįspėja, kol nenutupia klastotė arba nesuprastėja pristatomumas.

Kaip patikrinti ir pataisyti — dvi minutės, nemokamai

Peržiūrėk savo domeno TXT įrašus (dig TXT yourdomain.com, arba naudok mūsų nemokamą patikrą).
Suskaičiuok įrašus, prasidedančius v=spf1. Vienintelis saugus skaičius yra 1.
Jei turi daugiau: sujunk juos — kiekvieną include: ir ip4:/ip6: mechanizmą į vieną įrašą su vienu galutiniu kvalifikatoriumi (žr. ~all ir -all) — ir ištrink likusius.

Prieš:   v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Po:      v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Sujungdamas stebėk 10 paieškų ribą — per daug include: mechanizmų sugadina SPF kitu būdu.

Dažnai užduodami klausimai

Ar leidžiami keli SPF įrašai? Ne. RFC 7208 leidžia lygiai vieną v=spf1 įrašą kiekvienam domenui; du ar daugiau sukelia nuolatinę klaidą, kuri visiškai panaikina SPF. 1,013,416 domenų yra tokioje būklėje 2026-06-29 būklei.

Ar antras SPF įrašas nustelbia pirmąjį? Nelaimi nei vienas. Gavėjas, radęs kelis įrašus, privalo nutraukti vertinimą su klaida, o ne rinktis — todėl visi jie nustoja veikti vienu metu.

Kaip sujungti du SPF įrašus į vieną? Vienas įrašas, prasidedantis v=spf1, apimantis kiekvieną include: ir IP mechanizmą iš jų visų, besibaigiantis vienu -all arba ~all. Ištrink perteklinius, tada patikrink, ar tavo paieškų skaičius išgyveno sujungimą.

Kodėl mano el. paštas vis tiek veikia su dviem SPF įrašais? Gavėjai, susidūrę su klaida, dažniausiai tęsia be SPF, todėl tavo paštas remiasi reputacija ir DKIM. Tai, ką praradai, yra apsauga — niekas neatmeta klastotojo — ir tavo DMARC vertinimai netenka savo SPF dalies. Veikiantis paštas ir veikiantis SPF yra skirtingi dalykai.

Patikrink, ar tavo domenas nėra vienas iš milijono

30 sekundžių žvilgsnis arba išteisina tave, arba įteikia tau dviejų minučių sujungimo darbą.

Patikrink savo domeną → · Pataisyk SPF → · SPF PermError ataskaita → · SPF brandos modelis → · Tik apibendrinti duomenys. Duomenys saugomi ir tvarkomi ES.