Defaults.Exposed

Defaults.Exposed › Rapporter

Kan et domene ha to SPF-poster? Nei – en million domener har nettopp ugyldiggjort sine egne (2026)

Publisert 2026-07-03

Tall per 2026-06-29 · metodikk v7. Samlet folketelling på tvers av 261 millioner graderte domener. Alle tall er aggregerte – aldri en enkelt virksomhets post. Se hvordan vi graderer.

Nei – et domene kan publisere nøyaktig én SPF-post, og å gjøre dette feil slår SPF helt av: 1,013,416 domener publiserer for øyeblikket to eller flere, noe som under RFC 7208 gjør alle domenets SPF-poster ugyldige. Ikke den nyeste, ikke den eldste – hver eneste. En mottaker som finner flere v=spf1-poster må returnere en permanent feil, noe som betyr ingen SPF-beskyttelse i det hele tatt, på et domene som for eieren ser ut til å ha dobbel beskyttelse.

Hvorfor blir to SPF-poster lik null?

Standarden er utvetydig: et domenes SPF-policy må være én enkelt TXT-post som starter med v=spf1 (RFC 7208 §3.2; feilresultatet er foreskrevet i §4.5). Hvis et oppslag finner mer enn én, kan ikke mottakeren vite hvilken som er autoritativ – så standarden forbyr gjetting. Standardkonforme mottakere må returnere PermError: evalueringen mislykkes permanent.

Og en PermError er ikke nøytral. DMARC behandler den som en feil på SPF-benet – så et domene som duplikerte posten sin har ugyldiggjort beskyttelsen sin og svekket autentiseringen av sin egen legitime e-post. Det er en av de svært få DNS-feilene der det å legge til beskyttelse fjerner den (å publisere to DMARC-poster gjør det samme med DMARC).

Omtrent 1 av 138 domener som forsøker seg på SPF har gjort dette mot seg selv.

Hvordan skjer det? Kopier-lim-inn under onboarding

Nesten ingen skriver en andre SPF-post med vilje. Det skjer den dagen du legger til et e-postverktøy:

  1. Domenet ditt har allerede v=spf1 include:spf.protection.outlook.com -all fra e-postleverandøren din.
  2. Du registrerer deg for en nyhetsbrevplattform, et CRM eller et faktureringsverktøy.
  3. Oppsettsveiledningen deres sier: «Legg til denne TXT-posten i DNS-en din: v=spf1 include:newtool.example.com ~all.»
  4. Du gjør nøyaktig det den sier – du legger til den, ved siden av den gamle.

Nå finnes det to poster, og begge er ugyldige. Veiledningen sa «legg til», og det å legge til er det ene standarden ikke tillater; det riktige grepet – å slå den nye include: sammen med den eksisterende posten – nevnes av nesten ingen onboarding-flyt.

Feilen er usynlig fra DNS-panelet: begge postene ser individuelt velformede ut, og e-post kommer stort sett fortsatt frem fordi mottakere faller tilbake på andre signaler. Ingenting varsler deg før en forfalskning slår gjennom eller leveringsevnen svekkes.

Hvordan sjekke og fikse det – to minutter, gratis

  1. Slå opp domenets TXT-poster (dig TXT yourdomain.com, eller bruk vår gratis sjekk).
  2. Tell postene som starter med v=spf1. Det eneste trygge antallet er 1.
  3. Hvis du har flere: slå sammen dem – hver include: og ip4:/ip6:-mekanisme inn i én enkelt post med én terminal-kvalifikator (se ~all vs -all) – og slett resten.
Før:     v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Etter:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Mens du slår sammen, hold et øye med 10-oppslagsgrensen – for mange include:-mekanismer bryter SPF på en annen måte.

Ofte stilte spørsmål

Er flere SPF-poster tillatt? Nei. RFC 7208 tillater nøyaktig én v=spf1-post per domene; to eller flere forårsaker en permanent feil som ugyldiggjør SPF fullstendig. 1,013,416 domener er i denne tilstanden per 2026-06-29.

Overstyrer den andre SPF-posten den første? Ingen av dem vinner. En mottaker som finner flere poster må la evalueringen mislykkes i stedet for å velge – så alle slutter å virke på én gang.

Hvordan kombinerer jeg to SPF-poster til én? Én post, som starter med v=spf1, som inneholder hver include: og IP-mekanisme fra alle sammen, og som ender i én enkelt -all eller ~all. Slett de overflødige, og verifiser deretter at oppslagsantallet ditt overlevde sammenslåingen.

Hvorfor virker e-posten min fortsatt med to SPF-poster? Mottakere som treffer feilen fortsetter vanligvis uten SPF, så e-posten din rir på omdømme og DKIM. Det du har mistet er beskyttelse – ingenting avviser en forfalsker – og DMARC-evalueringene dine mister SPF-benet sitt. Fungerende e-post og fungerende SPF er ikke det samme.

Sjekk om domenet ditt er ett av millionen

En 30-sekunders titt enten frikjenner deg eller gir deg en to-minutters sammenslåing.

Sjekk domenet ditt → · Fiks SPF → · SPF PermError-rapporten → · SPF-modenhetsmodellen → · Kun aggregerte data. Data lagret og behandlet i EU.