Defaults.Exposed › Raporlar

SPF Benimseme Olgunluk Modeli (SPFAMM): SPF'nin 6 Aşaması (2026)

Yayımlanma 2026-07-03

Rakamlar 2026-06-29 itibarıyla · metodoloji v7. 261 milyon derecelendirilmiş alan adını kapsayan yinelenen bir sayım tarafından desteklenen bir referans modeli; her baskı aynı popülasyonu yeniden ölçer, böylece sayılar zaman içinde izlenebilir. Tüm rakamlar toplamdır — asla tek bir işletmenin kaydını yayımlamayız.

İnternet hangi aşamada?

6 aşamanın 2.4. aşaması. 261 milyon alan adı genelinde ölçüldüğünde, ortalama alan adı henüz çalışan bir SPF çitine ulaşmamış — ve internetin geneli SPF gücünde 100 üzerinden 29 puan alıyor. SPF yayımlamak, var olan en yaygın e-posta güvenliği eylemidir (alan adlarının %53.21‘i bunu yapar), ancak bu kayıtların çoğu, alıcılardan sahtekârlıkları yine de teslim etmelerini isteyen bir ayarda takılıp kalır.

Sorun benimseme değil — sorun, çoğu olgunluk kılavuzunun sanki kaydın kendisi bir başarıymış gibi “SPF yayımladık” noktasında durmasıdır. Bir SPF kaydı tüm interneti yetkilendirebilir, hiçbir görüş bildirmeyebilir, sessizce kendini geçersiz kılabilir ya da sıkılaştırmak kimsenin planlamadığı bir iş anlamına geldiği için sonsuza dek softfail’de kalabilir. İşe yarar bir model bu durumların her birine bir ad verir. Bu model bunu yapar: SPF Benimseme Olgunluk Modeli — SPFAMM, altı aşama, her aşamada bir hamle ve alıntı yapabileceğiniz bir ad. Bu, DMARC olgunluğunun altı aşamasının SPF karşılığıdır.

SPF olgunluğunun altı aşaması nelerdir?

261 milyon derecelendirilmiş alan adının her biri 1–5 aşamalarından tam olarak birinde bulunur ve bu beş popülasyon toplamda sayım toplamını tam olarak verir; 6. aşama, 5. aşama içinde sayılan sıkılaştırılmış alt kümedir. SPFAMM’yi bir poster değil, bir ölçüm yapan şey budur.

(6. aşama, 5. aşamanın hizalanmış alan adlarının sıkılaştırılmış alt kümesidir, dolayısıyla 1–5 aşamaları sayımı bölümler ve 6. aşama 5. aşamanın içinde yer alır.)

1. Aşama — Korumasız. v=spf1 kaydı yok. Hiçbir alıcı hiçbir şeyi denetlemez; alan adını SPF ayağında taklit etmek kolaydır. Hamle: gerçek gönderenlerinizi listeleyen ve bir fail niteleyicisiyle biten bir v=spf1 kaydı yayımlayın.

2. Aşama — İzin verici veya bozuk. Bir kayıt var ama hiçbir şeyi korumuyor. Bu aşama, dişsiz sonlandırmaları — ?all nötr (yayımcıların %3.0‘i) ve +all hoş geldin paspası — bozuk kayıtlarla birlikte toplar: standardın tamamen geçersiz kıldığı birden fazla v=spf1 kaydı ve kullanılabilir sonlandırması olmayan parçalı kayıtlar. Bir istisna: yaklaşık 2.1 milyon kayıt redirect= ile biter, bu da geçerli bir yetkilendirmedir — gerçek politikaları hedefte bulunur ve bunları burada yalnızca kendi kayıtları bir karar taşımadığı için sayıyoruz. Hamle: tek kayıt, tek gerçek sonlandırma — ~all veya -all.

3. Aşama — Yumuşak çitli. Kayıt ~all (softfail) ile biter ve arkasında hiçbir şey uygulamaz — 70.4 milyon alan adı, yayımlanmış SPF aşamalarının en büyük popülasyonu. Softfail, kilidi açık bir kapısı olan gerçek bir çittir: alıcılara “başka bir yerden gelen posta muhtemelen sahte” der ve yine de onu teslim etmelerini ister. Hamle: duvarı tırmanın — her göndereni hesaba katın, ardından yukarı çıkan iki rotadan birini seçin (aşağıda).

4. Aşama — Katı. Kayıt -all ile biter: 42.5 milyon alan adı doğrudan “herkes reddedilsin” yayımlar, ancak henüz arkasında DMARC uygulaması yoktur. Kendi ölçümümüzün artık nicelediği dürüst bir uyarı: 10 arama sınırını aşan bir -all kaydı, ne kadar katı görünürse görünsün geçersizdir — internetin -all kayıtlarının en az 112,215‘i bu durumdadır. Hamle: kaydın arkasına uygulayıcı bir DMARC politikası koyun, böylece başarısızlıklara her yerde yanıt verilsin.

5. Aşama — Hizalanmış. SPF — yumuşak veya katı — DMARC p=quarantine veya p=reject’in arkasında bulunur. Bu, tam alan adınızı taklit etmenin her büyük posta kutusu sağlayıcısında gerçekten durdurulduğu aşamadır: 19.3 milyon alan adı, bunların 7.1 milyonu ~all’ı uygulamayla eşleştirir (Google’ın gönderen kılavuzlarının önerdiği desen) ve 12.1 milyonu -all’ı onunla eşleştirir. Hamle: DKIM ekleyin ve izlemeye devam edin — kayıtlar çürür.

6. Aşama — Sağlamlaştırılmış. SPF artı DKIM artı uygulayıcı DMARC — tam korumalı küme, 10,092,481 alan adı, internetin %3.87‘i — artı kaymayı izleme disiplini: include: zincirleri değişir, sağlayıcılar IP’lerini taşır, biri sizin adınıza gönderen yeni bir araç bağlar. Hamle: burada kalın. Bu bir rozet değil, bir uygulamadır.

Posta göndermeyen şerit. Hiç posta göndermeyen bir alan adı tek bir düzenlemeyle en üste sıçrayabilir: SPF -all artı DMARC p=reject. Korunacak meşru bir şey olmaması, tırmanılacak bir duvar olmaması demektir — ve bu, var olan en yaygın taklit vektörlerinden birini kapatır.

Neden internet 3. Aşamada takılıyor?

Çünkü hemen hemen diğer her hamle küçük bir DNS düzenlemesidir ve 3. Aşamadan çıkış hamlesi emektir: sizin adınıza meşru olarak gönderen her sistemi sıralamak — posta kutusu sağlayıcısı, bülten platformu, CRM, faturalama aracı, pazarlamanın geçen bahar kaydettiği o şey — ve bunları 10 arama bütçesini patlatmadan tek bir kayda sığdırmak. İşte duvar bu. ~all, bunu yapmadan ulaşılabilen son basamaktır, bu yüzden 70.4 milyon alan adı orada dinlenir.

Duvarın tepesinden yukarı çıkan iki rota vardır ve her ikisi de 5. Aşamaya varır:

• -all’a sertleştirin (4. Aşama üzerinden) — kaydın kendisinde kesin bir hayır. Bunun doğru karar olduğu durumlar için bkz. ~all ile -all karşılaştırması.
• ~all’ı koruyun ve DMARC p=reject ile uygulayın — Google’ın kılavuzlarının ve çoğu teslim edilebilirlik uygulamasının artık önerdiği rota, çünkü yönlendirilen postayı geri döndürmeden DMARC değerlendiren alıcılarda eşit derecede koruma sağlar.

Sayım, her iki rotanın da ne kadar nadiren tamamlandığını gösterir: 77.5 milyon softfail kaydının yalnızca 7.1 milyonunun — yaklaşık her 11‘de 1’inin — arkasında uygulama vardır.

SPF Güç Puanı nasıl hesaplanır?

Basitçe ve ağırlıkları sabit tutuyoruz, böylece puan aydan aya karşılaştırılabilir: bir şeyin uyguladığı alan adları için tam kredi (5–6. aşamalar), kimsenin yanıt vermediği gerçek bir çit için yarım kredi (3–4. aşamalar), yok, izin verici veya bozuk kayıtlar için hiçbir şey. Bu ölçekte internet, 2026-06-29 itibarıyla 29/100 puan alıyor. Popülasyonun neredeyse yarısı hiçbir şey yayımlamadığı için sıfır katkıda bulunuyor.

Alan adımın aşamasını nasıl bulurum?

1–4. aşamalar doğrudan DNS kaydınızdan okunabilir; 5. aşama DMARC politikanızı ekler; 6. aşama DKIM ekler. Bir bakışın söyleyemeyeceği tek şey, katı bir kaydın gizlice arama sınırının üzerinde olup olmadığıdır — bu, zinciri çözmeyi gerektirir ve denetleyicimiz bunu sizin için yapar.

Sık sorulan sorular

SPFAMM nedir? SPF Benimseme Olgunluk Modeli — bu sayfadaki altı aşamalı model: Korumasız, İzin verici/bozuk, Yumuşak çitli, Katı, Hizalanmış, Sağlamlaştırılmış. Her alan adının aşaması DNS’inden hesaplanabilir: 1–5. aşamalar 261 milyon alan adlık sayımı tam olarak bölümler ve 6. aşama, 5. aşama içindeki sıkılaştırılmış alt kümedir.

Çoğu alan adı hangi aşamada?

1. Aşama — alan adlarının %46.4‘i hiç SPF yayımlamaz. Yayımlayan alan adları arasında, 3. Aşama (uygulama olmadan softfail) 70.4 milyon alan adıyla en yaygın dinlenme yeridir. Popülasyon ağırlıklı ortalama 2.4. aşamadır.

~all softfail yeterince iyi mi? Yalnızca arkasında uygulayıcı bir DMARC politikasıyla — bu eşleştirme 5. Aşamadır ve Google’ın gönderen kılavuzlarının önerdiği desendir. Tek başına 3. Aşamadır: gerçek çit, kilidi açık kapı. Tam karşılaştırma ~all ile -all karşılaştırmasında.

Güvende olmak için -all’a ulaşmak zorunda mıyım? Hayır. 4. Aşama iki rotadan biridir, bir zorunluluk değil — ~all’ı koruyup DMARC p=reject ile uygulamak, DMARC değerlendiren alıcılarda aynı korumaya varır. Gereken şey duvardır: bir şey uygulamaya başlamadan önce her göndereni bilmek.

Kaç alan adı altı aşamanın tamamını tamamlar? 10,092,481 — internetin %3.87‘i — SPF, DKIM ve uygulayıcı bir DMARC politikasını bir arada tutar. Her aşama geçişi ücretsizdir; ayrıntılar korunan azınlıkta.

Alan adınızın nerede durduğunu kontrol edin

Alan adınız bu altı aşamadan tam olarak birinde ve sonraki hamle 30 saniyede bilinebilir — ücretsiz ve merdiven boyunca her düzeltme bir satın alma değil, bir DNS değişikliğidir.

Alan adınızı kontrol edin → · SPF’yi düzeltin → · ~all ile -all → · SPF PermError raporu → · DMARC olgunluğunun 6 aşaması → · Yalnızca toplu veri. Veriler AB’de saklanır ve işlenir.