SPF (Sender Policy Framework) это TXT-запись в DNS домена со списком серверов, которым разрешено отправлять почту от вашего имени. Генератор SPF собирает запись по вашим ответам и считает DNS-запросы прямо во время ввода, ведь лимит в 10 запросов чаще всего и ломает SPF. Кнопка «Проверить текущую запись» читает уже опубликованный SPF и считает его запросы с учетом вложенных include.
Как заполнить форму
- a: разрешает сервер, на который указывает запись A домена. Нужно, если почту отправляет сам веб-сервер, например формы обратной связи.
- mx: разрешает серверы из записей MX. Подходит, если исходящая почта уходит через те же серверы, что принимают входящую.
- ip4 и ip6: отдельные адреса или диапазоны CIDR, например 203.0.113.0/24. Эти механизмы не тратят DNS-запросов.
- include: сторонние сервисы, которые отправляют почту за вас (корпоративная почта, CRM, сервис рассылок). У каждого сервиса в документации указано точное значение include, например _spf.google.com для Google Workspace.
- Политика для остальных серверов:
~allпомечает чужую почту как подозрительную,-allвелит получателям ее отклонять.
Опубликуйте результат как TXT-запись на самом домене (хост @). Если SPF-запись уже есть, не добавляйте вторую: две записи SPF дают ошибку permerror, и проверка SPF не проходит для всей вашей почты. Объедините механизмы в одну запись; после проверки текущего SPF кнопка «Перенести в форму» сделает это за вас.
Лимит в 10 DNS-запросов
При проверке SPF получатель может выполнить не больше 10 DNS-запросов. По одному тратят механизмы a, mx, include, exists, ptr и модификатор redirect, причем каждый include приносит свои механизмы, которые тоже считаются. Google Workspace или Microsoft 365 занимают по несколько запросов, поэтому три-четыре подключенных сервиса легко выходят за лимит. Чтобы уменьшить число запросов, уберите неиспользуемые сервисы, замените a и mx явными диапазонами ip4 и не используйте ptr.
~all или -all?
Начните с ~all: письма с сервера, который вы забыли указать, будут помечены, а не потеряны. Когда отчеты DMARC покажут, что все легальные отправители проходят проверку, переходите на -all. Механизм +all разрешает отправлять почту от имени вашего домена кому угодно, поэтому генератор его не предлагает.
Что дальше
SPF работает в паре с DKIM и DMARC. Подпись DKIM проверит проверка DKIM, политику для писем, не прошедших проверку, соберет генератор DMARC, а весь порядок настройки описан в статье настройка SPF, DKIM и DMARC. После публикации проверьте запись в почтовом режиме проверки DNS: изменения обычно видны через несколько минут, иногда через несколько часов.
Если ваша почта работает в корпоративной почте на хостинге RichHost, она уходит с чистых IP-адресов, доставка контролируется, а число и размер ящиков не ограничены.
Частые вопросы
Может ли у домена быть две SPF-записи?
Нет. Допускается только одна TXT-запись, которая начинается с v=spf1, иначе получатели возвращают permerror.
Нужен ли SPF, если домен вообще не отправляет почту?
Да. Запись v=spf1 -all сообщает, что домен почту не отправляет, и мешает подделке отправителя.
Что делать, если запись длиннее 255 символов?
Разбейте значение на несколько строк в кавычках внутри одной TXT-записи. Получатели склеят их в одну запись.
Где добавить SPF-запись?
В DNS-зоне домена, там, где управляются его записи: у регистратора, у DNS-провайдера или в панели хостинга. Тип записи TXT, имя @ или пустое.