Defaults.Exposed

Defaults.Exposed › 報告

一個域名可以有兩條 SPF 記錄嗎？不行——上百萬個域名剛剛把自己的 SPF 作廢了（2026）

發布於 2026-07-03

數據截至 2026-06-29 · 方法論 v7。 對 261 百萬個已評級域名進行的彙總普查。所有數據均為彙總數據——絕不針對某個具體企業的記錄。參見 我們如何評級。

不行——一個域名只能發佈恰好一條 SPF 記錄，而弄錯這一點會把 SPF 徹底關閉：目前有 1,013,416 個域名發佈了兩條或更多，而根據 RFC 7208，這會使該域名的所有 SPF 記錄全部失效。 不是最新的那條，也不是最舊的那條——是每一條。接收方一旦發現多條 v=spf1 記錄，就必須返回永久性錯誤，這意味著完全沒有 SPF 保護，而在其所有者看來，這個域名卻好像擁有了雙倍的保護。

為什麼兩條 SPF 記錄等於零？

標準說得很直白：一個域名的 SPF 策略必須是單獨一條以 v=spf1 開頭的 TXT 記錄（RFC 7208 §3.2；錯誤結果在 §4.5 中有明確規定）。如果查詢發現多於一條，接收方無法知道哪一條是權威的——所以標準禁止猜測。符合標準的接收方必須返回 PermError：評估永久性失敗。

而 PermError 並不是中立的。DMARC 會把它當作 SPF 這一環的失敗——所以一個重複了自己記錄的域名，既作廢了自身的保護，又 損害了自己合法郵件的身份驗證。這是極少數幾種「增加保護反而移除保護」的 DNS 錯誤之一（發佈兩條 DMARC 記錄對 DMARC 也會造成同樣的後果）。

大約 每 138 個嘗試使用 SPF 的域名中就有 1 個 對自己犯下了這個錯誤。

這是怎麼發生的？入駐時的複製粘貼

幾乎沒有人會故意寫下第二條 SPF 記錄。它往往發生在你添加某個郵件工具的那一天：

  1. 你的域名已經有了來自郵箱服務商的 v=spf1 include:spf.protection.outlook.com -all。
  2. 你註冊了某個郵件通訊平台、CRM 或開票工具。
  3. 它的設置指南寫著：「把這條 TXT 記錄添加到你的 DNS：v=spf1 include:newtool.example.com ~all。」
  4. 你完全照做了——你把它 添加 上去，就放在舊的那條旁邊。

現在存在兩條記錄，而兩條都失效了。指南說的是「添加」，而添加恰恰是標準所不允許的那一件事；正確的做法——把新的 include: 合併進現有的那條記錄——幾乎沒有任何入駐流程會提到。

從 DNS 面板上看，這個故障是不可見的：兩條記錄單獨看都格式良好，而且郵件大多仍然能送達，因為接收方會退回到其他信號來判斷。在有人偽造成功、或送達率下滑之前，沒有任何東西會向你發出警報。

如何檢查並修復它——兩分鐘，免費

  1. 查詢你域名的 TXT 記錄（dig TXT yourdomain.com，或使用 我們的免費檢測）。
  2. 數一數以 v=spf1 開頭的記錄有幾條。唯一安全的數字是 1。
  3. 如果你有多於一條：把它們 合併——把每一個 include: 和 ip4:/ip6: 機制都並入單獨一條記錄，並帶上一個終止限定符（參見 ~all vs -all）——然後刪除其餘的。
Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

在合併的過程中，請留意 10 次查詢上限——過多的 include: 機制會以另一種方式破壞 SPF。

常見問題

允許有多條 SPF 記錄嗎？ 不允許。RFC 7208 每個域名只允許恰好一條 v=spf1 記錄；兩條或更多會導致一個永久性錯誤，使 SPF 徹底失效。截至 2026-06-29，有 1,013,416 個域名處於這種狀態。

第二條 SPF 記錄會覆蓋第一條嗎？ 兩條都不會勝出。接收方發現多條記錄時，必須讓評估失敗，而不是從中挑選一條——所以它們會同時全部停止工作。

我該如何把兩條 SPF 記錄合併成一條？ 一條記錄，以 v=spf1 開頭，包含所有記錄中的每一個 include: 和 IP 機制，並以單獨一個 -all 或 ~all 結尾。刪除多餘的那些，然後 核實你的查詢次數 在合併後仍在限制之內。

為什麼我有兩條 SPF 記錄郵件還能正常工作？ 碰到這個錯誤的接收方通常會在沒有 SPF 的情況下繼續處理，所以你的郵件靠的是信譽和 DKIM。你失去的是保護——沒有任何東西會拒絕偽造者——而且你的 DMARC 評估也失去了它的 SPF 環節。郵件能正常工作和 SPF 能正常工作，是兩回事。

檢查一下你的域名是不是那上百萬個之一

一次 30 秒的查看，要麼讓你脫離嫌疑，要麼給你一個兩分鐘的合併任務。

檢查你的域名 → · 修復 SPF → · SPF PermError 報告 → · SPF 成熟度模型 → · 僅彙總數據。數據在歐盟境內存儲和處理。