Một tên miền có thể có hai bản ghi SPF không? Không — một triệu tên miền vừa tự vô hiệu hóa chính mình (2026)

Đã xuất bản 2026-07-03

Số liệu tính đến 2026-06-29 · phương pháp luận v7. Điều tra tổng hợp trên 261 triệu tên miền được chấm điểm. Mọi số liệu đều là tổng hợp — không bao giờ là bản ghi của một doanh nghiệp cụ thể nào. Xem cách chúng tôi chấm điểm.

Không — một tên miền chỉ được phép công bố đúng một bản ghi SPF, và làm sai điều này sẽ tắt SPF hoàn toàn: 1,013,416 tên miền hiện đang công bố hai bản ghi trở lên, điều mà theo RFC 7208 khiến tất cả các bản ghi SPF của một tên miền trở nên vô hiệu. Không phải bản mới nhất, không phải bản cũ nhất — mà là mọi bản ghi. Một bên nhận thư khi tìm thấy nhiều bản ghi v=spf1 buộc phải trả về lỗi vĩnh viễn, nghĩa là hoàn toàn không có sự bảo vệ SPF nào, trên một tên miền mà chủ sở hữu tưởng như đã được bảo vệ gấp đôi.

Vì sao hai bản ghi SPF lại bằng không?

Tiêu chuẩn nói thẳng: chính sách SPF của một tên miền phải là một bản ghi TXT duy nhất bắt đầu bằng v=spf1 (RFC 7208 §3.2; kết quả lỗi được quy định trong §4.5). Nếu một truy vấn tìm thấy nhiều hơn một, bên nhận không thể biết bản nào là chính thức — nên tiêu chuẩn cấm việc đoán. Các bên nhận tuân thủ tiêu chuẩn buộc phải trả về PermError: việc đánh giá thất bại vĩnh viễn.

Và một PermError không phải là trung lập. DMARC coi đó là một thất bại ở nhánh SPF — nên một tên miền đã nhân đôi bản ghi của mình đã vô hiệu hóa sự bảo vệ và đồng thời làm suy yếu việc xác thực cho chính thư hợp pháp của mình. Đây là một trong số rất ít sai lầm DNS mà việc thêm sự bảo vệ lại làm mất đi nó (công bố hai bản ghi DMARC cũng gây ra điều tương tự cho DMARC).

Khoảng 1 trong mỗi 138 tên miền có triển khai SPF đã tự gây ra điều này cho chính mình.

Nó xảy ra như thế nào? Cú sao-chép-dán khi thiết lập

Hầu như không ai cố ý viết bản ghi SPF thứ hai. Nó xảy ra vào đúng ngày bạn thêm một công cụ email:

Tên miền của bạn đã có sẵn v=spf1 include:spf.protection.outlook.com -all từ nhà cung cấp hộp thư của bạn.
Bạn đăng ký một nền tảng bản tin, CRM hoặc công cụ xuất hóa đơn.
Hướng dẫn thiết lập của nó nói: “Thêm bản ghi TXT này vào DNS của bạn: v=spf1 include:newtool.example.com ~all.”
Bạn làm chính xác như nó nói — bạn thêm nó vào, ngay cạnh bản cũ.

Giờ đây tồn tại hai bản ghi, và cả hai đều vô hiệu. Hướng dẫn nói “thêm”, mà thêm chính là điều duy nhất tiêu chuẩn không cho phép; động tác đúng — gộp include: mới vào bản ghi đang có — thì hầu như không có quy trình thiết lập nào nhắc đến.

Lỗi này vô hình từ bảng điều khiển DNS: cả hai bản ghi khi nhìn riêng lẻ đều đúng định dạng, và thư phần lớn vẫn đến nơi vì các bên nhận quay sang dựa vào những tín hiệu khác. Không gì cảnh báo bạn cho đến khi một thư giả mạo lọt vào hoặc khả năng gửi thư đến đích sa sút.

Cách kiểm tra và khắc phục — hai phút, miễn phí

Tra cứu các bản ghi TXT của tên miền bạn (dig TXT yourdomain.com, hoặc dùng công cụ kiểm tra miễn phí của chúng tôi).
Đếm số bản ghi bắt đầu bằng v=spf1. Con số an toàn duy nhất là 1.
Nếu bạn có nhiều hơn: gộp chúng lại — mọi cơ chế include: và ip4:/ip6: vào một bản ghi duy nhất với một dấu định tính kết thúc (xem ~all so với -all) — rồi xóa phần còn lại.

Trước:  v=spf1 include:spf.protection.outlook.com -all
        v=spf1 include:servers.mcsv.net ~all

Sau:    v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Khi gộp, hãy để mắt đến giới hạn 10 lần tra cứu — quá nhiều cơ chế include: sẽ làm hỏng SPF theo một cách khác.

Các câu hỏi thường gặp

Có được phép có nhiều bản ghi SPF không? Không. RFC 7208 chỉ cho phép đúng một bản ghi v=spf1 cho mỗi tên miền; hai bản trở lên gây ra lỗi vĩnh viễn làm vô hiệu SPF hoàn toàn. 1,013,416 tên miền đang ở trong tình trạng này tính đến 2026-06-29.

Bản ghi SPF thứ hai có ghi đè lên bản đầu tiên không? Không bản nào thắng cả. Một bên nhận tìm thấy nhiều bản ghi buộc phải làm cho việc đánh giá thất bại thay vì chọn lựa — nên tất cả chúng ngừng hoạt động cùng một lúc.

Làm sao để gộp hai bản ghi SPF thành một? Một bản ghi duy nhất, bắt đầu bằng v=spf1, chứa mọi cơ chế include: và IP từ tất cả các bản, kết thúc bằng một -all hoặc ~all duy nhất. Xóa các bản dư, rồi xác minh số lần tra cứu của bạn vẫn còn trong giới hạn sau khi gộp.

Vì sao email của tôi vẫn hoạt động dù có hai bản ghi SPF? Các bên nhận gặp lỗi này thường vẫn tiếp tục xử lý mà không có SPF, nên thư của bạn dựa vào uy tín và DKIM để đi tiếp. Cái bạn đã mất là sự bảo vệ — không gì từ chối một kẻ giả mạo — và các đánh giá DMARC của bạn mất đi nhánh SPF. Thư hoạt động và SPF hoạt động là hai chuyện khác nhau.

Kiểm tra xem tên miền của bạn có nằm trong số một triệu đó không

Một cái nhìn 30 giây hoặc là xác nhận bạn ổn, hoặc là trao cho bạn một thao tác gộp mất hai phút.

Kiểm tra tên miền của bạn → · Khắc phục SPF → · Báo cáo SPF PermError → · Mô hình trưởng thành SPF → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.