Czym jest SPF — i jak naprawić rekord SPF? (2026)

Q: Jak wygląda rekord SPF?

Pojedynczy rekord DNS TXT, taki jak v=spf1 include:_spf.google.com -all. Wpisy include: to Twoi zatwierdzeni nadawcy; -all na końcu odrzuca wszystkich pozostałych.

Q: Co jest lepsze: ~all czy -all?

-all (hardfail) jest silniejsze — nakazuje odbiorcom odrzucanie niewymienionych nadawców. ~all (softfail) zwykle nadal dostarcza pocztę. Na dzień 2026-06-29 39,3% rekordów SPF używa -all, a 55,8% używa ~all.

Opublikowano 2026-07-01

Dane na dzień 2026-06-29 · metodologia v7. Zbiorcze dane spisu obejmujące 261 milionów ocenionych domen. SPF (Sender Policy Framework) to rekord DNS wskazujący, które serwery mogą wysyłać pocztę w imieniu Twojej domeny. Zobacz jak oceniamy.

SPF to pojedynczy wiersz w Twoim DNS, który mówi „te serwery mogą wysyłać pocztę jako ja — wszystko inne traktuj jako podejrzane”. Spośród 261 milionów domen 53,21% publikuje rekord SPF. Brzmi to zdrowo, ale sam rekord nie chroni: to końcowy kwalifikator decyduje, czy niewymienieni nadawcy zostaną odrzuceni, czy przepuszczeni, a znaczna część rekordów jest skonfigurowana tak łagodnie, że niczego nie zmieniają. Oto, co SPF faktycznie robi, jakie błędy widzimy najczęściej i jak naprawić własny rekord.

Czym jest rekord SPF?

Gdy serwer pocztowy odbiera wiadomość podającą się za pochodzącą z Twojej domeny, sprawdza Twój rekord SPF i weryfikuje, czy wysyłający serwer znajduje się na Twojej liście zatwierdzonych. Rekord kończy się instrukcją dotyczącą wszystkiego, co nie jest na liście:

-all (hardfail) — odrzuca niewymienionych nadawców. To ustawienie, które mówi poważnie.
~all (softfail) — przyjmuje, ale oznacza jako podejrzane. Większość poczty i tak zostaje dostarczona.
?all (neutral) — nie robi nic; równoważne brakowi zdania.
+all — przyjmuje wszystko od każdego. To ustawienie aktywnie niebezpieczne i nigdy nie powinno być publikowane.

Spośród 139 milionów domen, które publikują SPF, tylko 39,3% używa restrykcyjnego -all, podczas gdy 55,8% stosuje łagodniejsze ~all. A 36 014 domen publikuje +all — otwarte zaproszenie, które mówi światu, że każdy może wysyłać w ich imieniu.

Błędy, które po cichu psują SPF

Zbyt wiele odwołań DNS. SPF jest ograniczony do 10 odwołań (RFC 7208); przekroczenie tego limitu powoduje, że cały rekord kończy się błędem „permerror” i jest ignorowany. 7958 domen (0,01% tych z SPF) przekracza ten limit — zwykle przez łączenie zbyt wielu instrukcji include: dla zewnętrznych nadawców.
Publikowanie +all. Rzadkie, lecz katastrofalne — całkowicie wyłącza SPF i sankcjonuje fałszerzy.
Zakładanie, że SPF powstrzymuje podszywanie. Sam z siebie tego nie robi. SPF sprawdza techniczną ścieżkę wysyłki, a nie adres „From”, który widzi człowiek. 32,4% wszystkich domen publikuje SPF, ale nie ma DMARC — więc widoczny nadawca nadal może zostać sfałszowany. SPF to instalacja hydrauliczna; egzekwowanie DMARC to zamek. Zobacz SPF bez DMARC.

Jak naprawić rekord SPF?

Opublikuj jeden rekord SPF — pojedynczy rekord TXT zaczynający się od v=spf1. Nigdy nie publikuj dwóch; to automatyczny błąd.
Wymień każdego uprawnionego nadawcę — dostawcę skrzynki pocztowej, platformę marketingową, CRM, helpdesk — używając ich udokumentowanych wartości include:.
Zakończ na -all, gdy masz pewność, że lista jest kompletna. Zacznij od ~all, jeśli potrzebujesz marginesu bezpieczeństwa, a następnie zaostrzaj. Zobacz napraw SPF.
Pozostań poniżej 10 odwołań — spłaszcz lub skonsoliduj instrukcje include, jeśli jesteś blisko limitu.
Następnie dodaj DMARC — SPF i DKIM zasilają DMARC, mechanizm, który faktycznie powstrzymuje kogoś przed wysyłaniem poczty w imieniu Twojej domeny.

Najczęściej zadawane pytania

Jak wygląda rekord SPF? Pojedynczy rekord DNS TXT, taki jak v=spf1 include:_spf.google.com -all. Wpisy include: to Twoi zatwierdzeni nadawcy; -all na końcu odrzuca wszystkich pozostałych.

Co jest lepsze: ~all czy -all? -all (hardfail) jest silniejsze — nakazuje odbiorcom odrzucanie niewymienionych nadawców. ~all (softfail) zwykle nadal dostarcza pocztę. Na dzień 2026-06-29 39,3% rekordów SPF używa -all, a 55,8% używa ~all.

Czy SPF powstrzymuje ludzi przed podszywaniem się pod moją domenę? Nie sam z siebie. SPF nie zarządza widocznym adresem „From”. Potrzebujesz DMARC ustawionego na egzekwowanie. 32,4% domen ma SPF, ale nie ma DMARC, i pozostaje podatnych na podszywanie.

Dlaczego mój rekord SPF „zawodzi”, mimo że wygląda poprawnie? Najczęściej przekracza limit 10 odwołań i zwraca permerror. 0,01% domen z SPF ma ten problem. Zmniejsz liczbę odwołań include:.

Czy naprawa SPF jest kosztowna? Nie — to darmowa zmiana w DNS. Wysiłek polega na skompletowaniu i poprawnym ustaleniu listy nadawców, a nie na pieniądzach.

Sprawdź SPF swojej domeny za darmo

Zobacz swój rekord SPF, jego końcowy kwalifikator oraz to, czy jest kompletny — prywatnie i wyłącznie dla właściciela.

Sprawdź swoją domenę → · Napraw SPF → · Napraw DMARC → · Jak oceniamy → · Wyłącznie dane zbiorcze. Dane przechowywane i przetwarzane w UE.