Может ли у домена быть две записи SPF? Нет — миллион доменов только что аннулировали собственную защиту (2026)

Q: Разрешено ли несколько записей SPF?

Нет. RFC 7208 допускает ровно одну запись v=spf1 на домен; две или более вызывают постоянную ошибку, которая полностью аннулирует SPF. 1 013 416 доменов находятся в этом состоянии по состоянию на 2026-06-29.

Q: Как объединить две записи SPF в одну?

Одна запись, начинающаяся с v=spf1, содержащая каждый механизм include: и IP-механизм из всех них, заканчивающаяся единственным -all или ~all. Удалите лишние, затем проверьте, что счётчик запросов пережил объединение.

Опубликовано 2026-07-03

Данные по состоянию на 2026-06-29 · методология v7. Сводная перепись по 261 миллионам оценённых доменов. Все цифры агрегированные — никогда не запись отдельного бизнеса. См. как мы выставляем оценки.

Нет — домен может публиковать ровно одну запись SPF, и ошибка здесь полностью отключает SPF: 1 013 416 доменов в настоящее время публикуют две или более, что по RFC 7208 делает все записи SPF домена недействительными. Не самую новую, не самую старую — каждую. Получатель, который находит несколько записей v=spf1, обязан вернуть постоянную ошибку, а это означает полное отсутствие защиты SPF на домене, который его владельцу кажется защищённым вдвое сильнее.

Почему две записи SPF равны нулю?

Стандарт категоричен: политика SPF домена должна быть единственной TXT-записью, начинающейся с v=spf1 (RFC 7208 §3.2; результат-ошибка предписан в §4.5). Если при поиске находится более одной, получатель не может знать, какая из них авторитетна — поэтому стандарт запрещает угадывать. Получатели, соответствующие стандарту, обязаны вернуть PermError: вычисление завершается постоянной неудачей.

И PermError не является нейтральным. DMARC трактует его как провал по плечу SPF — поэтому домен, продублировавший свою запись, аннулировал свою защиту и подорвал аутентификацию собственной легитимной почты. Это одна из очень немногих ошибок DNS, при которой добавление защиты её убирает (публикация двух записей DMARC делает то же самое с DMARC).

Примерно 1 из 138 доменов, пытающихся использовать SPF, сделали это с собой сами.

Как это происходит? Копирование-вставка при подключении

Почти никто не пишет вторую запись SPF намеренно. Это происходит в тот день, когда вы добавляете почтовый инструмент:

У вашего домена уже есть v=spf1 include:spf.protection.outlook.com -all от провайдера почтового ящика.
Вы регистрируетесь в платформе для рассылок, CRM или сервисе выставления счетов.
Его руководство по настройке говорит: «Добавьте эту TXT-запись в свой DNS: v=spf1 include:newtool.example.com ~all».
Вы делаете ровно то, что там сказано — вы добавляете её рядом со старой.

Теперь существуют две записи, и обе недействительны. Руководство сказало «добавьте», а добавление — это как раз то единственное, чего стандарт не допускает; правильный шаг — объединить новый include: в существующую запись — почти ни в одном руководстве по подключению не упоминается.

Сбой невидим из панели DNS: обе записи по отдельности выглядят корректно сформированными, и почта в основном всё равно доходит, потому что получатели опираются на другие сигналы. Ничто вас не предупредит, пока не прилетит подделка или не просядет доставляемость.

Как проверить и исправить — две минуты, бесплатно

Посмотрите TXT-записи своего домена (dig TXT yourdomain.com или воспользуйтесь нашей бесплатной проверкой).
Посчитайте записи, начинающиеся с v=spf1. Единственное безопасное число — 1.
Если у вас их больше: объедините их — каждый механизм include: и ip4:/ip6: в единую запись с одним завершающим квалификатором (см. ~all против -all) — и удалите остальные.

Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

При объединении следите за лимитом в 10 запросов — слишком много механизмов include: ломают SPF другим способом.

Часто задаваемые вопросы

Разрешено ли несколько записей SPF? Нет. RFC 7208 допускает ровно одну запись v=spf1 на домен; две или более вызывают постоянную ошибку, которая полностью аннулирует SPF. 1 013 416 доменов находятся в этом состоянии по состоянию на 2026-06-29.

Переопределяет ли вторая запись SPF первую? Не побеждает ни одна. Получатель, обнаруживший несколько записей, обязан провалить вычисление, а не выбирать — поэтому все они перестают работать разом.

Как объединить две записи SPF в одну? Одна запись, начинающаяся с v=spf1, содержащая каждый механизм include: и IP-механизм из всех них, заканчивающаяся единственным -all или ~all. Удалите лишние, затем проверьте, что счётчик запросов пережил объединение.

Почему моя почта всё ещё работает с двумя записями SPF? Получатели, наткнувшиеся на ошибку, обычно продолжают без SPF, поэтому ваша почта держится на репутации и DKIM. Что вы потеряли — это защиту: ничто не отклоняет подделывателя — а ваши вычисления DMARC теряют своё плечо SPF. Работающая почта и работающий SPF — это разные вещи.

Проверьте, не входит ли ваш домен в тот самый миллион

30-секундный взгляд либо вас оправдает, либо даст вам двухминутное объединение.

Проверьте свой домен → · Исправить SPF → · Отчёт по SPF PermError → · Модель зрелости SPF → · Только агрегированные данные. Данные хранятся и обрабатываются в ЕС.