Defaults.Exposed › Raporty

Model Dojrzałości Wdrożenia SPF (SPFAMM): 6 Etapów SPF (2026)

Opublikowano 2026-07-03

Dane na dzień 2026-06-29 · metodologia v7. Model referencyjny oparty na cyklicznym spisie 261 milionów ocenionych domen; każda edycja ponownie mierzy tę samą populację, dzięki czemu liczby można śledzić w czasie. Wszystkie dane są zagregowane — nigdy nie publikujemy rekordu pojedynczej firmy.

Na jakim etapie jest internet?

Etap 2,4 z 6. Mierzona na 261 milionach domen, przeciętna domena wciąż nie osiągnęła działającego ogrodzenia SPF — a internet jako całość zdobywa 29 na 100 punktów w sile SPF. Opublikowanie SPF to najczęstszy akt bezpieczeństwa poczty, jaki istnieje (robi to 53,21% domen), a jednak większość tych rekordów zatrzymuje się na ustawieniu, które i tak prosi odbiorców o dostarczanie fałszywek.

Problemem nie jest wdrożenie — problemem jest to, że większość wskazówek dotyczących dojrzałości kończy się na „opublikowaliśmy SPF”, tak jakby sam rekord był osiągnięciem. Rekord SPF może autoryzować cały internet, nie wyrażać żadnej opinii, po cichu unieważniać samego siebie albo tkwić na softfailu w nieskończoność, bo jego zaostrzenie oznacza pracę, której nikt nie zaplanował. Użyteczny model nazywa każdy z tych stanów. Ten to robi: Model Dojrzałości Wdrożenia SPF — SPFAMM, sześć etapów, jeden ruch na każdym z nich i nazwa, którą możesz przytoczyć. Jest to odpowiednik SPF dla sześciu etapów dojrzałości DMARC.

Jakie jest sześć etapów dojrzałości SPF?

Każda z 261 milionów ocenionych domen znajduje się na dokładnie jednym z etapów 1–5, a te pięć populacji sumuje się precyzyjnie do całości spisu; etap 6 to utwardzony podzbiór liczony w ramach etapu 5. To właśnie sprawia, że SPFAMM jest pomiarem, a nie plakatem.

(Etap 6 to utwardzony podzbiór wyrównanych domen z etapu 5, więc etapy 1–5 dzielą spis na rozłączne części, a etap 6 mieści się wewnątrz etapu 5.)

Etap 1 — Niechroniona. Brak rekordu v=spf1. Żaden odbiorca niczego nie sprawdza; sfałszowanie domeny na odcinku SPF jest łatwe. Ruch: opublikuj rekord v=spf1 wymieniający Twoich prawdziwych nadawców, zakończony kwalifikatorem odrzucenia.

Etap 2 — Permisywna lub uszkodzona. Rekord istnieje, ale niczego nie chroni. Ten etap zbiera bezzębne zakończenia — neutralne ?all (3,0% publikujących) i wycieraczkę powitalną +all — wraz z uszkodzonymi rekordami: wieloma rekordami v=spf1, które standard unieważnia całkowicie, oraz fragmentarycznymi rekordami bez użytecznego zakończenia. Jedno wyłączenie: około 2,1 milionów rekordów kończy się na redirect=, co jest poprawną delegacją — ich rzeczywista polityka mieszka w celu, a liczymy je tutaj wyłącznie dlatego, że ich własny rekord nie niesie żadnego werdyktu. Ruch: jeden rekord, jedno prawdziwe zakończenie — ~all lub -all.

Etap 3 — Miękko ogrodzona. Rekord kończy się na ~all (softfail) bez niczego, co egzekwuje za nim — 70,4 milionów domen, największa populacja spośród wszystkich etapów z opublikowanym SPF. Softfail to prawdziwe ogrodzenie z otwartą bramą: mówi odbiorcom „poczta skądinąd jest prawdopodobnie sfałszowana” i prosi ich, by i tak ją dostarczyli. Ruch: wspnij się na mur — uwzględnij każdego nadawcę, a potem obierz jedną z dwóch dróg w górę (poniżej).

Etap 4 — Ścisła. Rekord kończy się na -all: 42,5 milionów domen publikujących jednoznaczne „odrzuć wszystkich pozostałych”, jeszcze bez egzekwowania DMARC za nimi. Jedno uczciwe zastrzeżenie, które nasz własny pomiar teraz kwantyfikuje: rekord -all, który przekracza limit 10 odwołań, jest nieważny bez względu na to, jak ścisły wygląda — co najmniej 112 215 rekordów -all w internecie znajduje się w tym stanie. Ruch: umieść egzekwującą politykę DMARC za rekordem, aby na niepowodzenia reagowano wszędzie.

Etap 5 — Wyrównana. SPF — miękki lub ścisły — stoi za DMARC p=quarantine lub p=reject. To etap, na którym podszywanie się pod Twoją dokładną domenę naprawdę zatrzymuje się u każdego dużego dostawcy skrzynek: 19,3 milionów domen, z czego 7,1 milionów łączy ~all z egzekwowaniem (wzorzec zalecany przez wytyczne Google dla nadawców), a 12,1 milionów łączy z nim -all. Ruch: dodaj DKIM i pilnuj dalej — rekordy gniją.

Etap 6 — Utwardzona. SPF plus DKIM plus egzekwujący DMARC — w pełni chroniony zbiór, 10 092 481 domen, 3,87% internetu — plus dyscyplina monitorowania dryfu: łańcuchy include: się zmieniają, dostawcy przenoszą adresy IP, ktoś podłącza nowe narzędzie, które wysyła jako Ty. Ruch: zostań tutaj. To praktyka, nie odznaka.

Pas dla niewysyłających. Domena, która nie wysyła żadnej poczty, może przeskoczyć na sam szczyt jednym zapisem: SPF -all plus DMARC p=reject. Brak czegokolwiek legalnego do ochrony oznacza brak muru do wspinania — a zamyka to jeden z najczęstszych wektorów podszywania się.

Dlaczego internet zatrzymuje się na Etapie 3?

Bo prawie każdy inny ruch to drobna edycja DNS, a wyjście z Etapu 3 to praca: wyliczenie każdego systemu, który legalnie wysyła jako Ty — dostawca skrzynki, platforma newsletterowa, CRM, narzędzie do fakturowania, ta rzecz, którą marketing zapisał zeszłej wiosny — i zmieszczenie ich w jednym rekordzie bez wysadzenia budżetu 10 odwołań. To jest ten mur. ~all to ostatni szczebel osiągalny bez wykonania tej pracy, dlatego 70,4 milionów domen spoczywa na nim.

Ze szczytu muru istnieją dwie drogi w górę i obie prowadzą do Etapu 5:

• Zaostrz do -all (przez Etap 4) — stanowcze „nie” w samym rekordzie. Zobacz ~all kontra -all, aby dowiedzieć się, kiedy to właściwy wybór.
• Zachowaj ~all i egzekwuj z DMARC p=reject — droga, którą wytyczne Google i większość praktyki dostarczalności teraz zalecają, ponieważ chroni jednakowo u odbiorców oceniających DMARC bez odbijania poczty przekazywanej dalej.

Spis pokazuje, jak rzadko którakolwiek z tych dróg zostaje ukończona: spośród 77,5 milionów rekordów softfail tylko 7,1 milionów — około 1 na 11 — ma za sobą egzekwowanie.

Jak obliczany jest Wskaźnik Siły SPF?

Prosto, a wagi utrzymujemy stałe, aby wynik był porównywalny z miesiąca na miesiąc: pełny kredyt dla domen, w których coś egzekwuje (etapy 5–6), połowa kredytu za prawdziwe ogrodzenie, na które nikt nie reaguje (etapy 3–4), nic za nieobecne, permisywne lub uszkodzone rekordy. W tej skali internet zdobywa 29/100 na dzień 2026-06-29. Blisko połowa populacji wnosi zero, bo w ogóle niczego nie publikuje.

Jak znaleźć etap mojej domeny?

Etapy 1–4 są odczytywalne wprost z Twojego rekordu DNS; etap 5 dodaje Twoją politykę DMARC; etap 6 dodaje DKIM. Jedyną rzeczą, której rzut oka nie zdradzi, jest to, czy ścisły rekord potajemnie nie przekracza limitu odwołań — to wymaga rozwiązania łańcucha, co nasz checker robi za Ciebie.

Najczęściej zadawane pytania

Czym jest SPFAMM? Model Dojrzałości Wdrożenia SPF — sześcioetapowy model na tej stronie: Niechroniona, Permisywna/uszkodzona, Miękko ogrodzona, Ścisła, Wyrównana, Utwardzona. Etap każdej domeny jest obliczalny z jej DNS: etapy 1–5 dzielą spis 261 milionów domen na dokładnie rozłączne części, a etap 6 to utwardzony podzbiór wewnątrz etapu 5.

Na jakim etapie jest większość domen? Etap 1 — 46,4% domen w ogóle nie publikuje SPF. Wśród domen, które publikują, Etap 3 (softfail bez egzekwowania) jest najczęstszym miejscem spoczynku, z 70,4 milionami domen. Średnia ważona populacją to etap 2,4.

Czy softfail ~all jest wystarczająco dobry? Tylko z egzekwującą polityką DMARC za nim — ta para to Etap 5 i wzorzec zalecany przez wytyczne Google dla nadawców. Sam w sobie jest Etapem 3: prawdziwe ogrodzenie, otwarta brama. Pełne porównanie znajduje się w ~all kontra -all.

Czy muszę osiągnąć -all, żeby być bezpiecznym? Nie. Etap 4 to jedna z dwóch dróg, a nie wymóg — zachowanie ~all i egzekwowanie z DMARC p=reject prowadzi do tej samej ochrony u odbiorców oceniających DMARC. Wymagany jest natomiast mur: znajomość każdego nadawcy, zanim cokolwiek zacznie egzekwować.

Ile domen kończy wszystkie sześć etapów? 10 092 481 — 3,87% internetu — utrzymuje razem SPF, DKIM i egzekwującą politykę DMARC. Każde przejście między etapami jest darmowe; szczegóły znajdują się w chronionej garstce.

Sprawdź, gdzie stoi Twoja domena

Twoja domena znajduje się na dokładnie jednym z tych sześciu etapów, a następny ruch da się poznać w 30 sekund — za darmo, a każda poprawka wzdłuż drabiny to zmiana DNS, nie zakup.

Sprawdź swoją domenę → · Napraw SPF → · ~all kontra -all → · Raport SPF PermError → · 6 etapów dojrzałości DMARC → · Wyłącznie dane zagregowane. Dane przechowywane i przetwarzane w UE.