Defaults.Exposed

Defaults.Exposed › Poročila

Ali ima lahko domena dva zapisa SPF? Ne — milijon domen si je pravkar izničilo lastno zaščito (2026)

Objavljeno 2026-07-03

Podatki na dan 2026-06-29 · metodologija v7. Skupni popis na 261 milijonih ocenjenih domen. Vsi podatki so agregirani — nikoli zapis posameznega podjetja. Glejte kako ocenjujemo.

Ne — domena lahko objavi natanko en zapis SPF, in če to naredite narobe, popolnoma izklopite SPF: 1,013,416 domen trenutno objavlja dva ali več zapisov, kar po RFC 7208 vse zapise SPF neke domene naredi neveljavne. Ne najnovejšega, ne najstarejšega — prav vse. Prejemnik, ki najde več zapisov v=spf1, mora vrniti trajno napako, kar pomeni popolnoma nobene zaščite SPF na domeni, ki se svojemu lastniku zdi, kot da ima dvojno zaščito.

Zakaj dva zapisa SPF pomenita nič?

Standard je jasen: politika SPF domene mora biti en sam zapis TXT, ki se začne z v=spf1 (RFC 7208 §3.2; rezultat napake je predpisan v §4.5). Če poizvedba najde več kot enega, prejemnik ne more vedeti, kateri je merodajen — zato standard prepoveduje ugibanje. Prejemniki, skladni s standardom, morajo vrniti PermError: ovrednotenje trajno spodleti.

In PermError ni nevtralen. DMARC ga obravnava kot spodletelo preverjanje na kraku SPF — tako je domena, ki je podvojila svoj zapis, izničila svojo zaščito in onemogočila overjanje lastne legitimne pošte. Gre za eno redkih napak v DNS, kjer dodajanje zaščite to zaščito odstrani (objava dveh zapisov DMARC naredi enako z DMARC).

Približno 1 od 138 domen, ki poskušajo uporabljati SPF, si je to storila sama.

Kako do tega pride? Kopiranje in lepljenje ob uvedbi

Skoraj nihče ne napiše drugega zapisa SPF namerno. To se zgodi na dan, ko dodate orodje za e-pošto:

  1. Vaša domena že ima v=spf1 include:spf.protection.outlook.com -all od vašega ponudnika poštnega predala.
  2. Prijavite se na platformo za novičnike, sistem CRM ali orodje za izdajanje računov.
  3. V navodilih za namestitev piše: “Dodajte ta zapis TXT v svoj DNS: v=spf1 include:newtool.example.com ~all.”
  4. Naredite točno to, kar piše — dodate ga, poleg starega.

Zdaj obstajata dva zapisa in oba sta neveljavna. Navodila so rekla “dodajte”, dodajanje pa je edino, česar standard ne dopušča; pravilna poteza — združitev novega include: v obstoječi zapis — je omenjena v skoraj nobenem postopku uvedbe.

Napaka je iz nadzorne plošče DNS nevidna: oba zapisa sta posamično videti pravilno oblikovana, pošta pa večinoma še vedno prihaja, ker se prejemniki zatečejo k drugim signalom. Nič vas ne opozori, dokler ne pristane ponaredek ali dokler ne upade dostavljivost.

Kako to preverite in popravite — dve minuti, brezplačno

  1. Poiščite zapise TXT svoje domene (dig TXT yourdomain.com ali uporabite naše brezplačno preverjanje).
  2. Preštejte zapise, ki se začnejo z v=spf1. Edino varno število je 1.
  3. Če jih imate več: združite jih — vsak mehanizem include: in ip4:/ip6: v en sam zapis z enim končnim kvalifikatorjem (glejte ~all proti -all) — in izbrišite ostale.
Prej:    v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Potem:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Ko združujete, pazite na omejitev 10 poizvedb — preveč mehanizmov include: pokvari SPF na drugačen način.

Pogosto zastavljena vprašanja

Ali je dovoljenih več zapisov SPF? Ne. RFC 7208 dopušča natanko en zapis v=spf1 na domeno; dva ali več povzročita trajno napako, ki popolnoma izniči SPF. 1,013,416 domen je v tem stanju na dan 2026-06-29.

Ali drugi zapis SPF prevlada nad prvim? Ne zmaga nobeden. Prejemnik, ki najde več zapisov, mora ovrednotenje ustaviti kot neuspešno, namesto da bi izbiral — tako vsi hkrati prenehajo delovati.

Kako združim dva zapisa SPF v enega? En zapis, ki se začne z v=spf1 in vsebuje vsak mehanizem include: ter IP iz vseh njih, konča pa se z enim samim -all ali ~all. Izbrišite odvečne, nato preverite, ali je vaše število poizvedb preživelo združitev.

Zakaj moja e-pošta še vedno deluje z dvema zapisoma SPF? Prejemniki, ki naletijo na napako, običajno nadaljujejo brez SPF, zato se vaša pošta zanaša na ugled in DKIM. Izgubili ste zaščito — nič ne zavrne ponarejevalca — in vaša ovrednotenja DMARC izgubijo svoj krak SPF. Delujoča pošta in delujoč SPF sta različni stvari.

Preverite, ali je vaša domena ena od milijona

30-sekundni pogled vas bodisi razbremeni bodisi vam prinese dvominutno združitev.

Preverite svojo domeno → · Popravite SPF → · Poročilo o SPF PermError → · Model zrelosti SPF → · Samo agregirani podatki. Podatki shranjeni in obdelani v EU.