Що таке SPF — і як виправити мій SPF-запис? (2026)

Q: Як виглядає SPF-запис?

Єдиний DNS TXT-запис, наприклад v=spf1 include:_spf.google.com -all. Записи include: — це ваші дозволені відправники; -all наприкінці відхиляє всіх інших.

Q: Що краще — ~all чи -all?

-all (hardfail) сильніший — він наказує отримувачам відхиляти відправників, яких немає у списку. ~all (softfail) зазвичай все одно доставляє пошту. Станом на 2026-06-29 39.3% SPF-записів використовують -all, а 55.8% — ~all.

Опубліковано 2026-07-01

Показники станом на 2026-06-29 · методологія v7. Агреговані дані перепису по 261 мільйонах оцінених доменів. SPF (Sender Policy Framework) — це DNS-запис, який перелічує сервери, яким дозволено надсилати пошту від імені вашого домену. Дивіться як ми оцінюємо.

SPF — це один рядок у вашому DNS, який каже: «ці сервери можуть надсилати пошту від мого імені — усе інше вважайте підозрілим». Серед 261 мільйонів доменів 53.21% публікують SPF-запис. Це звучить непогано, але сам по собі запис вас не захищає: кінцевий кваліфікатор визначає, чи будуть відхилятися відправники, яких немає у списку, чи їх пропускатимуть без перевірки, а значна частка записів налаштована настільки м’яко, що вони нічого не змінюють. Ось що SPF насправді робить, які помилки ми бачимо найчастіше та як виправити ваш запис.

Що таке SPF-запис?

Коли поштовий сервер отримує повідомлення, яке нібито надійшло від вашого домену, він шукає ваш SPF-запис і перевіряє, чи відправляючий сервер є у вашому списку дозволених. Запис завершується інструкцією для всього, чого немає у списку:

-all (hardfail) — відхиляти відправників, яких немає у списку. Саме це налаштування працює всерйоз.
~all (softfail) — приймати, але позначати як підозріле. Більшість пошти все одно доставляється.
?all (neutral) — нічого не робити; рівнозначно відсутності будь-якої позиції.
+all — приймати будь-що від будь-кого. Це відверто небезпечно, і такого запису публікувати не можна ніколи.

Із 139 мільйонів доменів, що публікують SPF, лише 39.3% використовують суворий -all, тоді як 55.8% застосовують м’якший ~all. А 36,014 доменів публікують +all — відкрите запрошення, яке повідомляє світу, що надсилати пошту від їхнього імені може будь-хто.

Помилки, які непомітно ламають SPF

Забагато DNS-запитів. SPF обмежено 10 запитами (RFC 7208); перевищите цю межу — і весь запис завершується помилкою «permerror» та ігнорується. 7,958 доменів (0.01% із тих, що мають SPF) перевищують цю межу — зазвичай через нанизування надто великої кількості інструкцій include: для сторонніх відправників.
Публікація +all. Рідкісна, але катастрофічна помилка — вона повністю вимикає SPF і фактично схвалює зловмисників.
Припущення, що SPF зупиняє видавання себе за інших. Сам по собі — ні. SPF перевіряє технічний шлях відправлення, а не адресу «From», яку бачить людина. 32.4% усіх доменів публікують SPF, але не мають DMARC — тож видимого відправника все одно можна підробити. SPF — це водопровід; примусове застосування DMARC — це замок. Дивіться SPF без DMARC.

Як виправити мій SPF-запис?

Опублікуйте один SPF-запис — єдиний TXT-запис, що починається з v=spf1. Ніколи не публікуйте два; це автоматична помилка.
Перелічіть кожного легітимного відправника — вашого поштового провайдера, маркетингову платформу, CRM, службу підтримки — використовуючи їхні задокументовані значення include:.
Завершуйте записом -all, коли переконаєтеся, що список повний. Почніть із ~all, якщо потрібен запас безпеки, а потім посильте налаштування. Дивіться виправити SPF.
Залишайтеся в межах 10 запитів — спростіть або об’єднайте інструкції include:, якщо ви близькі до межі.
Потім додайте DMARC — SPF і DKIM живлять DMARC — механізм контролю, який справді зупиняє того, хто надсилає пошту від імені вашого домену.

Поширені запитання

Як виглядає SPF-запис? Єдиний DNS TXT-запис, наприклад v=spf1 include:_spf.google.com -all. Записи include: — це ваші дозволені відправники; -all наприкінці відхиляє всіх інших.

Що краще — ~all чи -all? -all (hardfail) сильніший — він наказує отримувачам відхиляти відправників, яких немає у списку. ~all (softfail) зазвичай все одно доставляє пошту. Станом на 2026-06-29 39.3% SPF-записів використовують -all, а 55.8% — ~all.

Чи зупиняє SPF тих, хто підробляє мій домен? Сам по собі — ні. SPF не керує видимою адресою «From». Вам потрібен DMARC, налаштований на примусове застосування. 32.4% доменів мають SPF, але не мають DMARC, і залишаються вразливими до підробки.

Чому мій SPF-запис «не проходить», хоча виглядає правильно? Найчастіше він перевищує межу в 10 запитів і повертає permerror. 0.01% доменів із SPF стикаються з цим. Зменшіть кількість запитів include:.

Чи дорого виправляти SPF? Ні — це безкоштовна зміна DNS. Зусилля потрібні на те, щоб зробити список відправників повним і правильним, а не гроші.

Перевірте SPF свого домену безкоштовно

Подивіться свій SPF-запис, його кінцевий кваліфікатор і чи він повний — приватно та лише для власника.

Перевірити свій домен → · Виправити SPF → · Виправити DMARC → · Як ми оцінюємо → · Лише агреговані дані. Дані зберігаються та обробляються в ЄС.