Laporan SPF PermError: 100× Lebih Banyak Domain Melanggar Had 10-Carian Berbanding yang Ditunjukkan Kiraan Permukaan (2026)

Q: Bagaimana saya mengurangkan kiraan carian SPF saya?

Buang include yang tidak digunakan dan ptr, ratakan infrastruktur anda sendiri kepada ip4:/ip6:, alihkan penghantar pukal ke subdomain, dan kira semula selepas setiap alat baharu. Panduan pembaikan memandu anda melaluinya.

Diterbitkan 2026-07-03

Angka setakat 2026-06-29 · metodologi v7, ditambah dengan pas penetapan-harga-rantaian yang dijalankan 2026-07-03. Daripada banci 261 juta domain bergred, kami meleraikan setiap sasaran include: SPF yang dirujuk 100 kali atau lebih — 10,842 sasaran yang meliputi 95.2% daripada semua rujukan include — dan menetapkan harga rantaian tersimpan setiap domain terhadap peta itu. Sasaran ekor yang tidak dileraikan dikira sebagai sifar dan kandungan rantaian mencerminkan hari peleraian, jadi tajuk utama ialah anggaran konservatif yang condong ke arah lantai: kami sebut “sekurang-kurangnya”. Agregat sahaja; tidak pernah rekod perniagaan individu. Lihat cara kami menggred.

Berapa banyak domain yang melanggar had 10-carian SPF?

Sekurang-kurangnya 797,263 — kerana SPF mempunyai mekanisme musnah-sendiri yang terbina dalam piawaian, dan pencetusnya tersembunyi di tempat yang pemilik tidak dapat lihat. RFC 7208 §4.6.4 mengehadkan pemeriksaan SPF kepada 10 carian DNS; melebihi sepuluh, penerima berhenti dan mengembalikan PermError, dan rekod PermError tidak melindungi apa-apa. Kira hanya carian yang kelihatan dalam rekod itu sendiri — seperti kebanyakan alat, dan seperti banci kami sendiri sehinggalah laporan ini — dan anda akan menemui kira-kira 8,000 pelanggar (7,958, tepatnya). Tetapkan harga rantaian include: yang sebenarnya ditarik oleh rekod tersebut, dan kiraan mencapai 797,263: kira-kira 100 kali lebih besar.

Mengapa pemilik tidak dapat melihatnya menjelang?

Kerana bajet dibelanjakan oleh rekod orang lain. include:onetool.example.com dibaca sebagai satu baris dalam panel DNS anda — tetapi penerima mesti mengambil rekod itu juga, dan mengira setiap mekanisme carian yang ia kandungi, secara rekursif. Satu rekod dengan tiga include boleh menelan sebelas. Tiada apa dalam zon anda sendiri yang berubah pada hari anda melampaui had; seorang penyedia menyarangkan satu lagi include, dan SPF anda mati tanpa amaran.

Lebih teruk lagi, DMARC menganggap PermError sebagai kegagalan pada bahagian SPF — jadi domain yang merosakkan SPF-nya dengan cara ini kini gagal separuh daripada pengesahannya sendiri.

Apa yang ditemui oleh penetapan-harga-rantaian

Penemuan	Domain
Melebihi had 10-carian, rantaian dihargakan	797,263
Melebihi had dengan mengira hanya mekanisme yang kelihatan	7,958
Melebihi had sambil berakhir dengan `-all` ketat	112,215
Pada tepat 9–10 carian — pinggir tebing	2,119,539

Dua cerita dalam jadual itu — yang ketiga, pinggir tebing, mendapat bahagiannya sendiri di bawah:

Kiraan permukaan terlepas ~99% daripada kerosakan. Kiraan mekanisme yang kelihatan menemui 7,958; penetapan harga rantaian menemui 797,263. Hampir semua kerosakan diwarisi daripada apa yang include kandungi.
112,215 daripada rekod yang rosak berakhir dengan -all. Pemiliknya melakukan segalanya dengan betul — memanjat tembok, memilih pengakhiran ketat — dan satu include yang terlebih membatalkan kesemuanya. Kelihatan ketat namun rosak ialah mod kegagalan yang paling kejam dalam keselamatan e-mel.

2.1 juta domain hanya satu alat sahaja daripada tebing

Angka yang sepatutnya merisaukan pembaca yang kini baik-baik saja: 2,119,539 domain leraian kepada tepat 9 atau 10 carian — di bawah had hari ini, mati pada hari seseorang menyambungkan satu lagi platform. Itu kira-kira 1 daripada 66 daripada semua penerbit SPF, dan ia sepadan dengan bentuk taburan: rekod SPF persentil ke-99 sudah berada pada 9 carian. Daftar untuk satu lagi alat pemasaran, tampal baris “cuma tambah include ini”nya, dan rekod yang berada di bawah had pada waktu sarapan sudah batal menjelang tengah hari.

Salah siapa? Semakin lama, semakin ke arah tindanan teknologi

Penyedia terbesar telah senyap-senyap meratakan SPF mereka — _spf.google.com Google dan spf.protection.outlook.com Microsoft kini berkembang kepada senarai IP biasa yang menelan sifar carian dalaman (kami mengesahkan kedua-duanya terhadap DNS langsung semasa analisis ini). Letupan datang dari tempat lain: rantaian panel hosting yang menyarang tiga peringkat dalam, penyedia serantau yang include-nya menelan 7–10 carian dengan sendirinya, dan pengumpulan jujur SaaS — peti mel tambah surat berita tambah CRM tambah meja bantuan, setiap satu “cuma satu include”. Hampir tiada siapa yang menambah carian kesebelas dengan sengaja. Ia tiba sebagai jumlah keputusan-keputusan yang munasabah.

Cara menyemak dan membaiki milik anda — percuma

Kira jumlah sebenar anda — semakan percuma kami meleraikan rantaian anda, atau gunakan mana-mana pembilang carian SPF.
Buang berat mati: alat yang anda berhenti gunakan, include berganda, dan mekanisme ptr yang telah dinyahguna.
Ratakan hanya apa yang anda kawal. Menggantikan include dalam dengan blok IP-nya berkesan untuk infrastruktur anda sendiri; IP pihak ketiga berubah tanpa notis.
Beri penghantar pukal satu subdomain. Surat berita daripada news.yourdomain.com mendapat rekodnya sendiri dan bajet 10-cariannya sendiri.

Soalan lazim

Apakah had 10 carian DNS SPF? RFC 7208 §4.6.4 membenarkan paling banyak 10 carian DNS untuk menilai satu rekod SPF — mengira carian di dalam setiap include: secara rekursif. Melebihinya mengembalikan PermError: rekod dianggap tidak sah dan tidak memberi perlindungan.

Apakah maksud SPF PermError? Ralat penilaian kekal — penerima tidak dapat memproses rekod anda (terlalu banyak carian, rekod berbilang, atau sintaks rosak) dan menganggap domain anda sebagai tidak mempunyai SPF yang boleh digunakan. DMARC mengiranya sebagai kegagalan pada bahagian SPF.

Berapa banyak domain melebihi had carian SPF? Sekurang-kurangnya 797,263 daripada 139 juta penerbit SPF, mengikut pas penetapan-harga-rantaian kami — kira-kira 100× daripada 7,958 yang kelihatan tanpa meleraikan rantaian. Sebanyak 2,119,539 lagi berada pada 9–10 carian, satu include daripada had.

Adakah PermError menghentikan e-mel saya daripada dihantar? Biasanya tidak — penerima meneruskan tanpa SPF, dan mel anda bergantung pada DKIM dan reputasi. Yang berhenti berfungsi ialah perlindungan: pemalsu tidak lagi ditolak, dan setiap semakan DMARC ke atas mel anda kehilangan bahagian SPF-nya. Ia tidak kelihatan sehinggalah ia menjadi mahal.

Bagaimana saya mengurangkan kiraan carian SPF saya? Buang include yang tidak digunakan dan ptr, ratakan infrastruktur anda sendiri kepada ip4:/ip6:, alihkan penghantar pukal ke subdomain, dan kira semula selepas setiap alat baharu. Panduan pembaikan memandu anda melaluinya.

Ketahui nombor sebenar anda

Mekanisme yang anda boleh lihat bukanlah kiraan carian anda — nombor yang dileraikan ialah nombor yang dikira oleh penerima, dan ia adalah semakan 30-saat.

Semak domain anda → · Baiki SPF → · Model kematangan SPF → · Dua rekod SPF = tiada → · Perangkap ptr → · Data agregat sahaja. Data disimpan dan diproses di EU.