Defaults.Exposed › Rapporter

SPF-adopsjonsmodenhetsmodellen (SPFAMM): de 6 stadiene av SPF (2026)

Publisert 2026-07-03

Tall per 2026-06-29 · metodikk v7. En referansemodell støttet av en gjentakende folketelling av 261 millioner graderte domener; hver utgave måler den samme populasjonen på nytt slik at tallene kan følges over tid. Alle tall er aggregerte — vi publiserer aldri en enkelt virksomhets oppføring.

Hvilket stadium er internett på?

Stadium 2.4 av 6. Målt på tvers av 261 millioner domener har det gjennomsnittlige domenet ennå ikke nådd et fungerende SPF-gjerde — og internett som helhet scorer 29 av 100 på SPF-styrke. Å publisere SPF er den vanligste handlingen innen e-postsikkerhet som finnes (53.21 % av domenene gjør det), likevel stopper de fleste av disse oppføringene ved en innstilling som ber mottakere levere forfalskninger uansett.

Problemet er ikke adopsjon — det er at de fleste modenhetsveiledninger stopper ved «vi publiserte SPF», som om oppføringen i seg selv var bragden. En SPF-oppføring kan autorisere hele internett, uttrykke ingen mening, stille avvikle seg selv, eller ligge på softfail for alltid fordi det å stramme den inn betyr arbeid ingen har planlagt. En nyttig modell gir hver av disse tilstandene et navn. Denne gjør det: SPF-adopsjonsmodenhetsmodellen — SPFAMM, seks stadier, ett trekk hver, og et navn du kan referere til. Det er SPF-følgesvennen til de seks stadiene av DMARC-modenhet.

Hva er de seks stadiene av SPF-modenhet?

Hvert eneste av de 261 millioner graderte domenene befinner seg på nøyaktig ett av stadiene 1–5, og disse fem populasjonene summerer seg presist til folketellingens totalsum; stadium 6 er den herdede delmengden som telles innenfor stadium 5. Det er det som gjør SPFAMM til en måling snarere enn en plakat.

(Stadium 6 er den herdede delmengden av stadium 5s justerte domener, så stadiene 1–5 partisjonerer folketellingen og stadium 6 ligger inne i stadium 5.)

Stadium 1 — Ubeskyttet. Ingen v=spf1-oppføring. Ingen mottaker sjekker noe; å forfalske domenet på SPF-benet er enkelt. Trekket: publiser en v=spf1-oppføring som lister opp dine virkelige avsendere, og som ender i en fail-kvalifikator.

Stadium 2 — Tillatende eller ødelagt. En oppføring finnes, men beskytter ingenting. Dette stadiet samler de tannløse endelsene — ?all nøytral (3.0 % av publisererne) og +all-velkomstmatten — sammen med de ødelagte oppføringene: flere v=spf1-oppføringer, som standarden opphever fullstendig, og fragmentariske oppføringer uten en brukbar endelse. Ett unntak: omtrent 2.1 millioner oppføringer ender i redirect=, som er gyldig delegering — deres virkelige policy bor hos målet, og vi teller dem her kun fordi deres egen oppføring ikke bærer noen dom. Trekket: én oppføring, én virkelig endelse — ~all eller -all.

Stadium 3 — Myktgjerdet. Oppføringen ender i ~all (softfail) uten noe som håndhever bak — 70.4 millioner domener, den største populasjonen av noe publisert-SPF-stadium. Softfail er et virkelig gjerde med en ulåst port: det forteller mottakere «e-post fra andre steder er sannsynligvis forfalsket», og ber dem levere den likevel. Trekket: klatre over muren — gjør rede for hver avsender, og ta så en av rutene oppover (nedenfor).

Stadium 4 — Streng. Oppføringen ender i -all: 42.5 millioner domener publiserer et rett fram «avvis alle andre», uten DMARC-håndheving bak seg ennå. Ett ærlig forbehold som vår egen måling nå tallfester: en -all-oppføring som overskrider grensen på 10 oppslag er ugyldig uansett hvor streng den ser ut — minst 112,215 av internetts -all-oppføringer er i den tilstanden. Trekket: sett en håndhevende DMARC-policy bak oppføringen, slik at det handles på feil overalt.

Stadium 5 — Justert. SPF — mykt eller strengt — ligger bak DMARC p=quarantine eller p=reject. Dette er stadiet der det å forfalske ditt eksakte domene faktisk stanser hos hver stor e-postleverandør: 19.3 millioner domener, hvorav 7.1 millioner parer ~all med håndheving (mønsteret Googles avsenderretningslinjer anbefaler) og 12.1 millioner parer -all med det. Trekket: legg til DKIM og fortsett å følge med — oppføringer råtner.

Stadium 6 — Herdet. SPF pluss DKIM pluss håndhevende DMARC — det fullt beskyttede settet, 10,092,481 domener, 3.87 % av internett — pluss disiplinen med å overvåke for avdrift: include:-kjeder endrer seg, leverandører flytter IP-er, noen kobler til et nytt verktøy som sender som deg. Trekket: bli værende her. Det er en praksis, ikke et merke.

Ingen-e-post-banen. Et domene som ikke sender e-post kan hoppe helt til toppen med én redigering: SPF -all pluss DMARC p=reject. Ingenting legitimt å beskytte betyr ingen mur å klatre over — og det lukker en av de vanligste etterligningsvektorene som finnes.

Hvorfor er stadium 3 der internett stagnerer?

Fordi nesten alle andre trekk er en liten DNS-redigering, og trekket ut av stadium 3 er arbeid: å telle opp hvert system som legitimt sender som deg — e-postleverandør, nyhetsbrevplattform, CRM, faktureringsverktøy, det markedsføring meldte seg på sist vår — og få dem inn i én oppføring uten å sprenge budsjettet på 10 oppslag. Det er muren. ~all er det siste trinnet som er nåbart uten å gjøre det, som er grunnen til at 70.4 millioner domener hviler der.

Fra toppen av muren finnes det to ruter oppover, og begge ankommer stadium 5:

• Herd til -all (gjennom stadium 4) — et fast nei i selve oppføringen. Se ~all vs -all for når dette er det riktige valget.
• Behold ~all og håndhev med DMARC p=reject — ruten Googles retningslinjer og de fleste leveringspraksiser nå anbefaler, fordi den beskytter likt hos DMARC-evaluerende mottakere uten å returnere videresendt e-post.

Folketellingen viser hvor sjelden noen av rutene blir fullført: av de 77.5 millioner softfail-oppføringene har bare 7.1 millioner — omtrent 1 av 11 — håndheving bak seg.

Hvordan beregnes SPF-styrkescoren?

Enkelt, og vi holder vektene konstante slik at scoren er sammenlignbar måned for måned: full uttelling for domener der noe håndhever (stadiene 5–6), halv uttelling for et virkelig gjerde ingen handler på (stadiene 3–4), ingenting for fraværende, tillatende eller ødelagte oppføringer. På den skalaen scorer internett 29/100 per 2026-06-29. Nesten halvparten av populasjonen bidrar med null fordi den ikke publiserer noe som helst.

Hvordan finner jeg mitt domenes stadium?

Stadiene 1–4 kan leses rett fra din DNS-oppføring; stadium 5 legger til din DMARC-policy; stadium 6 legger til DKIM. Det ene et raskt blikk ikke kan fortelle deg, er om en streng oppføring i hemmelighet er over oppslagsgrensen — det krever å løse opp kjeden, noe vår kontroll gjør for deg.

Ofte stilte spørsmål

Hva er SPFAMM? SPF-adopsjonsmodenhetsmodellen — seksstegsmodellen på denne siden: Ubeskyttet, Tillatende/ødelagt, Myktgjerdet, Streng, Justert, Herdet. Hvert domenes stadium er beregnbart fra dets DNS: stadiene 1–5 partisjonerer folketellingen på 261 millioner domener nøyaktig, og stadium 6 er den herdede delmengden innenfor stadium 5.

Hvilket stadium er de fleste domener på? Stadium 1 — 46.4 % av domenene publiserer ingen SPF i det hele tatt. Blant domener som publiserer, er stadium 3 (softfail uten håndheving) det vanligste hvilestedet, med 70.4 millioner domener. Det populasjonsvektede gjennomsnittet er stadium 2.4.

Er ~all softfail godt nok? Bare med en håndhevende DMARC-policy bak seg — den paringen er stadium 5 og mønsteret Googles avsenderretningslinjer anbefaler. Alene er det stadium 3: virkelig gjerde, ulåst port. Den fullstendige sammenligningen er i ~all vs -all.

Må jeg nå -all for å være trygg? Nei. Stadium 4 er en av to ruter, ikke et krav — å beholde ~all og håndheve med DMARC p=reject ankommer den samme beskyttelsen hos DMARC-evaluerende mottakere. Det som kreves er muren: å kjenne hver avsender før noe håndhever.

Hvor mange domener fullfører alle seks stadiene? 10,092,481 — 3.87 % av internett — holder SPF, DKIM og en håndhevende DMARC-policy sammen. Hver stadieovergang er gratis; detaljene er i de beskyttede få.

Sjekk hvor domenet ditt står

Domenet ditt er på nøyaktig ett av disse seks stadiene, og det neste trekket er kjennbart på 30 sekunder — gratis, og hver rettelse langs stigen er en DNS-endring, ikke et kjøp.

Sjekk domenet ditt → · Rett SPF → · ~all vs -all → · SPF PermError-rapporten → · De 6 stadiene av DMARC-modenhet → · Kun aggregerte data. Data lagres og behandles i EU.