Defaults.Exposed

Defaults.Exposed › Звіти

Чи може домен мати два SPF-записи? Ні — мільйон доменів щойно анулював власний захист (2026)

Опубліковано 2026-07-03

Цифри станом на 2026-06-29 · методологія v7. Зведений перепис по 261 мільйонах оцінених доменів. Усі цифри зведені — ніколи не запис окремого бізнесу. Дивіться як ми оцінюємо.

Ні — домен може публікувати рівно один SPF-запис, і помилка тут вимикає SPF повністю: 1,013,416 доменів наразі публікують два або більше, що згідно з RFC 7208 робить усі SPF-записи домену недійсними. Не найновіший, не найстаріший — кожен з них. Отримувач, який знаходить кілька записів v=spf1, мусить повернути постійну помилку, а це означає взагалі жодного захисту SPF на домені, який його власнику здається таким, що має подвійний захист.

Чому два SPF-записи дорівнюють нулю?

Стандарт прямолінійний: SPF-політика домену має бути єдиним TXT-записом, що починається з v=spf1 (RFC 7208 §3.2; результат-помилка описаний у §4.5). Якщо пошук знаходить більше одного, отримувач не може знати, який з них є авторитетним — тож стандарт забороняє вгадувати. Отримувачі, що відповідають стандарту, мусять повернути PermError: обчислення завершується постійною невдачею.

І PermError не є нейтральним. DMARC трактує його як провал на боці SPF — тож домен, який продублював свій запис, анулював свій захист і завадив автентифікації власної легітимної пошти. Це одна з дуже небагатьох помилок DNS, де додавання захисту його прибирає (публікація двох записів DMARC робить те саме з DMARC).

Приблизно 1 з 138 доменів, які намагаються використати SPF, зробили це самі з собою.

Як це стається? Копіювання-вставлення під час підключення

Майже ніхто не пише другий SPF-запис навмисне. Це стається того дня, коли ви додаєте інструмент електронної пошти:

  1. Ваш домен уже має v=spf1 include:spf.protection.outlook.com -all від вашого поштового провайдера.
  2. Ви реєструєтесь на платформі розсилок, у CRM чи інструменті для виставлення рахунків.
  3. Його інструкція з налаштування каже: «Додайте цей TXT-запис до вашого DNS: v=spf1 include:newtool.example.com ~all.»
  4. Ви робите точно те, що написано — ви додаєте його поруч зі старим.

Тепер існує два записи, і обидва недійсні. Інструкція сказала «додайте», а додавання — це саме те, чого стандарт не дозволяє; правильний крок — об’єднати новий include: в існуючий запис — майже жоден процес підключення не згадує.

Ця помилка невидима з панелі DNS: обидва записи виглядають кожен окремо правильно сформованим, і пошта переважно все ще надходить, бо отримувачі покладаються на інші сигнали. Ніщо вас не сповіщає, доки не приходить підробка або не провисає доставлюваність.

Як перевірити й виправити — дві хвилини, безкоштовно

  1. Знайдіть TXT-записи вашого домену (dig TXT yourdomain.com, або скористайтеся нашою безкоштовною перевіркою).
  2. Порахуйте записи, що починаються з v=spf1. Єдине безпечне число — 1.
  3. Якщо у вас більше: об’єднайте їх — кожен механізм include: та ip4:/ip6: в єдиний запис з одним завершальним кваліфікатором (дивіться ~all проти -all) — і видаліть решту.
Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Об’єднуючи, стежте за обмеженням на 10 пошуків — забагато механізмів include: ламають SPF в інший спосіб.

Часті запитання

Чи дозволено кілька SPF-записів? Ні. RFC 7208 дозволяє рівно один запис v=spf1 на домен; два або більше спричиняють постійну помилку, яка повністю анулює SPF. 1,013,416 доменів перебувають у цьому стані станом на 2026-06-29.

Чи другий SPF-запис перекриває перший? Не перемагає жоден. Отримувач, що знаходить кілька записів, мусить провалити обчислення, а не обирати — тож усі вони перестають працювати одночасно.

Як мені об’єднати два SPF-записи в один? Один запис, що починається з v=spf1, містить кожен механізм include: та IP-механізм з усіх них і закінчується єдиним -all або ~all. Видаліть зайві, а потім перевірте, чи ваш лічильник пошуків пережив об’єднання.

Чому моя пошта все ще працює з двома SPF-записами? Отримувачі, які натрапляють на помилку, зазвичай продовжують без SPF, тож ваша пошта тримається на репутації та DKIM. Ви втратили саме захист — ніщо не відхиляє підробника — а ваші обчислення DMARC втрачають своє плече SPF. Робоча пошта і робочий SPF — це різні речі.

Перевірте, чи не є ваш домен одним із мільйона

30-секундний погляд або знімає з вас підозри, або дає вам двохвилинне об’єднання.

Перевірте свій домен → · Виправити SPF → · Звіт про SPF PermError → · Модель зрілості SPF → · Лише зведені дані. Дані зберігаються та обробляються в ЄС.