Что такое SPF — и как исправить мою SPF-запись? (2026)

Q: Как выглядит SPF-запись?

Единственная DNS-запись TXT, например v=spf1 include:_spf.google.com -all. Записи include: — это ваши разрешённые отправители; -all в конце отклоняет всех остальных.

Q: Что лучше — ~all или -all?

-all (hardfail) сильнее — он предписывает получателям отклонять неуказанных отправителей. ~all (softfail) обычно всё равно доставляет почту. По состоянию на 2026-06-29, 39,3% SPF-записей используют -all, а 55,8% используют ~all.

Опубликовано 2026-07-01

Данные по состоянию на 2026-06-29 · методология v7. Сводные данные переписи по 261 миллионам оценённых доменов. SPF (Sender Policy Framework) — это DNS-запись, перечисляющая, каким серверам разрешено отправлять почту от имени вашего домена. См. как мы выставляем оценки.

SPF — это одна строка в вашем DNS, которая говорит: «эти серверы могут отправлять почту от моего имени — всё остальное считайте подозрительным». Среди 261 миллионов доменов 53,21% публикуют SPF-запись. Звучит неплохо, но сама по себе запись вас не защищает: завершающий квалификатор определяет, будут ли отклонены неуказанные отправители или пропущены дальше, и значительная доля записей настроена настолько мягко, что ничего не меняет. Вот что SPF действительно делает, какие ошибки мы встречаем чаще всего и как исправить вашу.

Что такое SPF-запись?

Когда почтовый сервер получает сообщение, якобы отправленное от вашего домена, он ищет вашу SPF-запись и проверяет, входит ли отправляющий сервер в ваш список разрешённых. Запись заканчивается инструкцией для всего, что не входит в список:

-all (hardfail) — отклонять неуказанных отправителей. Это настройка, которая работает всерьёз.
~all (softfail) — принимать, но помечать как подозрительное. Большая часть почты всё равно доставляется.
?all (neutral) — ничего не делать; равносильно отсутствию мнения.
+all — принимать что угодно от кого угодно. Это откровенно опасно и никогда не должно публиковаться.

Из 139 миллионов доменов, публикующих SPF, лишь 39,3% используют строгий -all, тогда как 55,8% используют более мягкий ~all. А 36 014 доменов публикуют +all — открытое приглашение, сообщающее всему миру, что отправлять почту от их имени может кто угодно.

Ошибки, которые незаметно ломают SPF

Слишком много DNS-запросов. SPF ограничен 10 запросами (RFC 7208); превысьте лимит — и вся запись завершается ошибкой «permerror» и игнорируется. 7 958 доменов (0,01% из тех, у кого есть SPF) превышают этот лимит — обычно из-за нагромождения слишком большого числа операторов include: для сторонних отправителей.
Публикация +all. Редкая, но катастрофическая ошибка — она полностью отключает SPF и легитимизирует подделыциков.
Предположение, что SPF останавливает подмену. Само по себе — нет. SPF проверяет технический путь отправки, а не адрес «От», который видит человек. 32,4% всех доменов публикуют SPF, но не имеют DMARC — поэтому видимый отправитель по-прежнему может быть подделан. SPF — это трубопровод; принуждение DMARC — это замок. См. SPF без DMARC.

Как исправить мою SPF-запись?

Опубликуйте одну SPF-запись — единственную TXT-запись, начинающуюся с v=spf1. Никогда не публикуйте две; это автоматический провал.
Перечислите каждого легитимного отправителя — вашего почтового провайдера, маркетинговую платформу, CRM, службу поддержки — используя их документированные значения include:.
Завершите записью -all, когда будете уверены, что список полон. Начните с ~all, если нужен запас безопасности, затем ужесточайте. См. исправить SPF.
Оставайтесь в пределах 10 запросов — «выпрямляйте» или объединяйте include-записи, если вы близки к лимиту.
Затем добавьте DMARC — SPF и DKIM питают DMARC, тот самый механизм, который действительно не даёт кому-либо отправлять почту от имени вашего домена.

Часто задаваемые вопросы

Как выглядит SPF-запись? Единственная DNS-запись TXT, например v=spf1 include:_spf.google.com -all. Записи include: — это ваши разрешённые отправители; -all в конце отклоняет всех остальных.

Что лучше — ~all или -all? -all (hardfail) сильнее — он предписывает получателям отклонять неуказанных отправителей. ~all (softfail) обычно всё равно доставляет почту. По состоянию на 2026-06-29, 39,3% SPF-записей используют -all, а 55,8% используют ~all.

Останавливает ли SPF подмену моего домена? Сам по себе — нет. SPF не управляет видимым адресом «От». Вам нужен DMARC, настроенный на принуждение. 32,4% доменов имеют SPF, но не имеют DMARC и остаются уязвимыми к подмене.

Почему моя SPF-запись «не проходит», хотя выглядит правильной? Чаще всего она превышает лимит в 10 запросов и возвращает permerror. С этим сталкиваются 0,01% доменов с SPF. Сократите число запросов include:.

Дорого ли исправлять SPF? Нет — это бесплатное изменение в DNS. Усилия уходят на то, чтобы список отправителей был полным и корректным, а не на деньги.

Проверьте SPF вашего домена бесплатно

Посмотрите вашу SPF-запись, её завершающий квалификатор и полноту — конфиденциально и только для владельца.

Проверить ваш домен → · Исправить SPF → · Исправить DMARC → · Как мы выставляем оценки → · Только сводные данные. Данные хранятся и обрабатываются в ЕС.