Czym jest parametr „SPF Include” i jak go wykorzystać w rekordzie SPF?

Rekord SPF informuje wszystkich, które serwery mają uprawnienia do wysyłania wiadomości e-mail w imieniu Twojej domeny. Jednak gdy tylko zaczniesz korzystać z platform zewnętrznych do wysyłania wiadomości e-mail, sytuacja szybko się komplikuje. W takiej sytuacji pomocny może okazać się mechanizm dołączania rekordów SPF.

W niniejszym przewodniku wyjaśniamy, czym są wtyczki SPF, jak działają oraz jak obsługiwać wiele wtyczek bez naruszania zgodności z polityką. Ponadto omawiamy, jak zapewnić zgodność z protokołem DMARC, aby Twoje wiadomości e-mail zawsze trafiały do skrzynki odbiorczej.

Co to jest rekord SPF?

Rekord SPF, czyli Sender Policy Framework , to rekord DNS typu TXT, który zawiera listę wszystkich serwerów i adresów IP uprawnionych do wysyłania wiadomości e-mail w imieniu danej domeny.

Gdy przychodzi wiadomość e-mail, serwer pocztowy sprawdzający ją weryfikuje rekordy DNS nadawcy, aby upewnić się, że wiadomość pochodzi z autoryzowanego źródła. Jeśli adres IP nadawcy zgadza się z wpisem w rekordzie, test SPF kończy się powodzeniem. Jeśli nie, test SPF kończy się niepowodzeniem.

Czego same rekordy SPF nie są w stanie zapewnić

Mechanizmy SPF mają fundamentalne znaczenie, ale warto zdawać sobie sprawę z ich ograniczeń:

• Sprawdza to tożsamość nadawcy koperty, a nie widoczny adres „Od”, który faktycznie widzą odbiorcy
• Ulega awarii podczas przekazywania wiadomości e-mail, co oznacza, że przekazywane wiadomości często nie przejdą weryfikacji SPF, nawet jeśli pierwotny nadawca jest wiarygodny
• To samo w sobie nie jest w stanie zapobiec fałszowania domeny na poziomie nagłówka „From”, który jest głównym celem większości ataków phishingowych

Właśnie dlatego protokół SPF najlepiej sprawdza się w ramach szerszej konfiguracji uwierzytelniania, która obejmuje również DKIM i DMARC. Aby zapewnić najwyższy poziom ochrony poczty elektronicznej, zdecydowanie zaleca się skonfigurowanie wszystkich trzech protokołów razem.

Co to jest SPF Include?

Jeśli rekordy SPF stanowią zbiór zasad określających, kto może wysyłać wiadomości e-mail z Twojej domeny, to mechanizm SPF Include pozwala na wdrożenie zasad opracowanych przez kogoś innego.

Mechanizm SPF Include pozwala właścicielowi domeny przekazać uprawnienia do wysyłania wiadomości innej domenie poprzez odwołanie się w swoim rekordzie SPF do rekordu tej domeny. Zamiast ręcznie wymieniać każdy adres IP używany przez zewnętrzną usługę pocztową, wystarczy po prostu uwzględnić jej domenę, a serwer odbiorczy pobierze i zweryfikuje jej rekord SPF jako część Twojego własnego.

Dlaczego istnieje SPF Include

W dzisiejszych czasach wysyłanie wiadomości e-mail rzadko odbywa się z jednego serwera.

Większość organizacji korzysta zarówno z własnego serwera pocztowego, jak i z platform zewnętrznych do obsługi wiadomości transakcyjnych, kampanii marketingowych, narzędzi pomocy technicznej oraz systemów CRM. Każda z tych usług wysyła wiadomości e-mail w Twoim imieniu z własnej infrastruktury, korzystając z adresów IP, których nie możesz bezpośrednio podawać.

Mechanizm SPF include rozwiązuje ten problem, umożliwiając bezpośrednie odwołanie się do rekordu SPF usługi zewnętrznej.

Gdy serwer odbierający analizuje rekord SPF i napotyka instrukcję „include”, w ramach procesu weryfikacji pobiera i rozpoznaje rekord SPF typu TXT tej zewnętrznej domeny. Jeśli adres IP nadawcy pokrywa się z wpisem w rekordzie objętym instrukcją „include”, weryfikacja SPF przebiega pomyślnie.

Jak wygląda SPF Include w praktyce

Podstawowa instrukcja `include` w pliku SPF wygląda następująco:

v=spf1 include:thirdpartydomain.com ~all

W tym przykładzie serwer odbierający sprawdzi rekord SPF dla domeny thirdpartydomain.com i oceni go wraz z pozostałymi rekordami.

Jeśli adres IP nadawcy jest uwzględniony w tym wpisie, wiadomość e-mail przechodzi weryfikację SPF dla Twojej domeny.

Mechanizm „include” jest niezbędny dla domen, które zlecają wysyłanie wiadomości e-mail na zewnątrz lub korzystają z usług wielu dostawców w zależności od potrzeb związanych z wysyłką wiadomości. Bez niego konieczne byłoby ręczne sporządzenie listy wszystkich adresów IP używanych przez każdą usługę, co jest niepraktyczne i naraża na błędy.

Jak działa mechanizm SPF?

Zrozumienie mechanizmu include w SPF na poziomie technicznym pomaga uniknąć błędów konfiguracyjnych, które powodują cichą awarię SPF. Oto, co się dzieje, gdy serwer odbierający sprawdza rekord SPF zawierający instrukcje include.

Proces weryfikacji SPF

Gdy wiadomość e-mail dociera do serwera pocztowego odbiorcy, serwer ten wyodrębnia domenę z adresu „MAIL FROM” i przeprowadza wyszukiwanie DNS w celu pobrania rekordu TXT SPF tej domeny. Następnie odczytuje rekord od lewej do prawej, oceniając każdy mechanizm, aż znajdzie dopasowanie lub dotrze do końca rekordu.

Gdy napotka instrukcję include, dzieje się następująca rzecz:

1. Serwer odbierający przeprowadza dodatkowe wyszukiwanie DNS w celu pobrania rekordu TXT SPF dla danej domeny
2. Porównuje rekord SPF danej domeny z adresem IP nadawcy
3. Jeśli adres IP zgadza się z autoryzowanym wpisem w rekordzie dołączonym, mechanizm dołączania zwraca wynik pozytywny
4. Jeśli nie zostanie znalezione żadne dopasowanie, serwer kontynuuje analizę pozostałych mechanizmów w oryginalnym rekordzie

W jaki sposób liczbę tych operacji uwzględnia się w limicie wyszukiwań DNS

Każda instrukcja „include” w rekordzie SPF powoduje co najmniej jedno dodatkowe zapytanie DNS. Jest to istotne, ponieważ weryfikacja SPF jest ograniczona do maksymalnie dziesięciu zapytań DNS na jedno sprawdzenie.

Każde włączenie, podobnie jak mechanizmy takie jak mx i a, wlicza się do tego limitu. Jeśli sam rekord SPF włączonej domeny zawiera kolejne włączenia, one również się liczą, tworząc łańcuch wyszukiwań, który może szybko się wydłużyć.

Przekroczenie limitu dziesięciu zapytań powoduje, że SPF zwraca błąd PermError, który serwery odbierające traktują jako niepowodzenie weryfikacji SPF. Może to skutkować odrzuceniem wiadomości e-mail lub ich trafieniem do folderów ze spamem, nawet jeśli nadawca jest całkowicie wiarygodny.

Składnia rekordów SPF: Jak poprawnie napisać instrukcję „SPF Include”

Prawidłowa składnia jest absolutnie niezbędna. Nawet jeden błąd w składni rekordu SPF może spowodować niepowodzenie całego rekordu, niezależnie od tego, jak dobrze skonfigurowano pozostałe elementy.

Podstawowa struktura rekordu SPF

Wszystkie rekordy SPF mają tę samą podstawową strukturę:

v=spf1 [mechanizmy] [kwalifikator:wszystkie]

• v=spf1 określa wersję SPF i musi znajdować się na początku każdego rekordu SPF TXT
• mechanizmy określają autoryzowane źródła wysyłające, które mogą obejmować adresy IP, domeny poprzez include, rekordy MX i inne
• „wszystkie” to mechanizm typu „catch-all”, który określa, co dzieje się z wiadomościami e-mail, które nie pasują do żadnego z wymienionych źródeł

Tworzenie instrukcji dołączania SPF

Prawidłowa składnia instrukcji include wygląda następująco:

np.:domain.com

Należy pamiętać, że między słowem „include” a dwukropkiem nie ma spacji. Spacja spowoduje błąd składniowy. Oto pełny przykład rekordu SPF zawierającego wiele elementów „include”:

v=spf1 include:sendgrid.net include:mailchimp.com ip4:192.168.1.1 ~all

W tym wpisie:

• Witryny sendgrid.net i mailchimp.com są autoryzowane jako zewnętrzni nadawcy poprzez plik include
• 192.168.1.1 to indywidualnie autoryzowany adres IP
• ~wszystkie są traktowane jako „softfail”, co oznacza, że wiadomości e-mail z nieautoryzowanych źródeł zostaną oznaczone, ale nie zostaną od razu odrzucone

Typowe błędy składniowe, których należy unikać

• Opublikowanie więcej niż jednego rekordu SPF TXT dla tej samej domeny. Wiele rekordów SPF powoduje pętlę wyszukiwania DNS, co prowadzi do całkowitej awarii weryfikacji SPF. Należy skonsolidować wszystkie rekordy w jeden rekord na domenę lub subdomenę
• Dodanie spacji po dwukropku w instrukcji include
• Stosowanie nieprawidłowych kwalifikatorów lub mechanizmów, które są ze sobą sprzeczne
• Zapomnienie o zakończeniu zapisu za pomocą mechanizmu all

Możesz skorzystać z generatora rekordów SPF firmy PowerDMARC generatora rekordów SPF , aby stworzyć poprawnie sformatowany rekord od podstaw. Alternatywnie, sprawdź swój istniejący rekord za pomocą narzędzia do sprawdzania rekordów SPF , aby sprawdzić, czy nie zawiera błędów, zanim spowodują one problemy z dostarczalnością.

Rekord SPF z wieloma elementami dołączonymi: co warto wiedzieć

Korzystanie z wielu plików dołączanych w rekordach SPF jest powszechne i często konieczne, ale wiąże się to ze złożonością, którą należy starannie kontrolować. Oto wszystko, co musisz wiedzieć o obsłudze rekordem SPF z wieloma włączeniami.

Dlaczego konieczne jest wielokrotne dołączanie plików

Większość organizacji wysyła wiadomości e-mail za pośrednictwem więcej niż jednej platformy. Typowa konfiguracja może obejmować:

• Główny serwer pocztowy obsługujący pocztę wewnętrzną i wychodzącą
• Usługa wysyłania wiadomości e-mailowych dotyczących potwierdzeń zamówień i powiadomień
• Platforma marketingowa do obsługi newsletterów i kampanii
• Narzędzie CRM lub narzędzie do obsługi klienta służące do komunikacji z klientami

Każda z tych usług musi zostać uwzględniona w rekordzie SPF, a najpraktyczniejszym sposobem na to jest użycie instrukcji include odwołujących się do rekordów SPF poszczególnych dostawców.

Problem z limitem wyszukiwań DNS

Właśnie w tym miejscu stosowanie wielu plików dołączanych stwarza ryzyko.

Każda instrukcja `include` powoduje co najmniej jedno wyszukiwanie w systemie DNS, a niektóre rekordy SPF innych dostawców zawierają kolejne instrukcje `include`, co powoduje dodatkowe wyszukiwania. Zanim autoryzujesz cztery lub pięć platform, możesz już zbliżać się do limitu dziesięciu wyszukiwań lub nawet go przekroczyć.

Oto uproszczony przykład pokazujący, jak sumują się wyniki wyszukiwania:

• obejmuje: sendgrid.net = 1 wyszukiwanie oraz wszelkie wyszukiwania w ramach własnego rekordu SendGrid
• obejmuje: mailchimp.com = 1 wyszukiwanie oraz wszystkie wpisy w bazie danych Mailchimp
• obejmuje: salesforce.com = 1 odniesienie, a także wszelkie inne w rekordzie Salesforce
• mx = 1 (wyszukiwanie)
• Łączna liczba może z łatwością osiągnąć lub przekroczyć 10

W przypadku przekroczenia limitu serwer odbiorczy zwraca błąd PermError i traktuje wiadomość e-mail jako niepowodzenie uwierzytelnienia SPF.

Jak nie przekroczyć limitu wyszukiwań DNS

• Sprawdź swój aktualny rekord SPF i policz, ile w sumie wywołań DNS powoduje, uwzględniając wywołania zagnieżdżone w rekordach dołączonych
• Usuń wszystkie instrukcje include dotyczące usług, z których już nie korzystasz
• W miarę możliwości należy zastąpić mechanizmy typu „include” bezpośrednimi wpisami IPv4 lub IPv6 dla usług, których zakresy adresów IP są statyczne i dobrze udokumentowane
• Skorzystaj z narzędzia do wyrównywania SPF firmy PowerDMARC narzędzia do spłaszczania SPF , które automatycznie rozplątuje łańcuchy include i zastępuje je bezpośrednimi adresami IP, zmniejszając całkowitą liczbę wyszukiwań
• Regularnie sprawdzaj swoje dane za każdym razem, gdy dodajesz lub usuwasz platformę wysyłkową

Zawsze jeden rekord SPF na domenę

Najważniejsza zasada, która obowiązuje niezależnie od liczby zarządzanych domen: nigdy nie publikuj więcej niż jednego rekordu SPF TXT dla tej samej domeny lub subdomeny.

Wystąpienie wielu rekordów SPF powoduje natychmiastowy błąd i uniemożliwia ich rozpoznanie przez jakikolwiek serwer odbierający. Wszystkie rekordy należy skonsolidować w jeden.

Jeśli wysyłasz wiadomości z subdomen, każda z nich musi mieć swój własny rekord TXT SPF.

Typowe błędy związane z SPF i jak ich unikać

Rekordy SPF są potężnym narzędziem, ale nie wybaczają błędów. Jedna nieprawidłowa konfiguracja może spowodować awarie uwierzytelniania w całym systemie poczty elektronicznej, a najbardziej frustrujące jest to, że wiele z tych błędów nie powoduje wyświetlenia oczywistego komunikatu o błędzie. Niezależnie od tego, czy konfigurujesz rekord SPF po raz pierwszy, czy sprawdzasz istniejący rekord, oto błędy, na które należy zwrócić uwagę, oraz sposoby ich uniknięcia.

Włączenie SPF i zgodność z DMARC

Funkcje SPF Include nie działają w oderwaniu od siebie. Sposób ich konfiguracji ma bezpośredni wpływ na zgodność z protokołem DMARC, a zrozumienie relacji między nimi ma kluczowe znaczenie dla utrzymania stałej dostarczalności wiadomości e-mail.

Jak SPF wpisuje się w DMARC

DMARC opiera się na protokołach SPF i DKIM, dając właścicielom domen kontrolę nad tym, jak obsługiwane są ich wiadomości e-mail w przypadku niepowodzenia uwierzytelnienia. Aby wiadomość e-mail przeszła weryfikację DMARC, musi być spełniony co najmniej jeden z poniższych warunków:

• Sprawdzenie SPF przebiegło pomyślnie, a domena w polu „Envelope” pokrywa się z domeną w polu „From”
• Sprawdzenie DKIM przebiegło pomyślnie, a domena podpisująca DKIM pokrywa się z domeną nadawcy

Oznacza to, że nawet poprawnie skonfigurowany rekord SPF zawierający wszystkie wymagane elementy nie wystarczy. Musi również zostać spełniony warunek zgodności SPF, co oznacza, że domena w ścieżce zwrotnej musi odpowiadać domenie nadawcy zgodnie z ustawieniami zgodności DMARC.

W jaki sposób wkluczenie SPF wpływa na wyrównanie

Gdy zewnętrzny nadawca używa własnej domeny w ścieżce zwrotnej, jego wpis może figurować w Twoim rekordzie SPF i technicznie rzecz biorąc, SPF może zostać uznany za poprawny dla tej domeny, ale nie będzie on zgodny z Twoją domeną nadawczą.

W tej sytuacji weryfikacja DMARC nadal zakończy się niepowodzeniem podczas sprawdzania SPF. Konieczne jest skonfigurowanie usługi zewnętrznej tak, aby korzystała z niestandardowej ścieżki zwrotnej w ramach Twojej domeny, lub zapewnienie zgodności DKIM jako rozwiązania awaryjnego.

Dlaczego sam filtr SPF to za mało

SPF, DKIM i DMARC zostały zaprojektowane tak, aby działały razem. SPF weryfikuje źródło wysyłki, ale przestaje działać podczas przekazywania wiadomości.

DKIM podpisuje samą wiadomość i zachowuje swoją integralność podczas przekazywania. DMARC łączy oba te elementy, zapewniając wgląd i kontrolę nad tym, co dzieje się w przypadku niepowodzenia któregokolwiek z nich. Skonfigurowanie wszystkich trzech elementów to jedyny sposób na stworzenie solidnego i odpornego systemu uwierzytelniania poczty elektronicznej.

Konfiguracja protokołu DMARC wraz z protokołem SPF

Jeśli masz poprawnie skonfigurowane rekordy SPF, ale nie wdrożyłeś jeszcze DMARC, konfiguracja DMARC jest logicznym kolejnym krokiem.

Zacznij od ustawienia p=none, aby monitorować przepływ wiadomości e-mail bez wpływu na skuteczność dostarczania, a następnie przejdź do kwarantanny i odrzucania wiadomości w miarę jak wzrośnie Twoje zaufanie do konfiguracji uwierzytelniania.

Zadbaj o odpowiedni współczynnik SPF dzięki PowerDMARC

Zarządzanie plikami SPF Include jest proste, gdy korzystasz z jednej lub dwóch platform wysyłających. Jednak wraz z rozwojem infrastruktury pocztowej rośnie również jej złożoność.

Więcej platform oznacza więcej operacji dołączania plików, więcej wyszukiwań w systemie DNS oraz większe ryzyko, że coś ulegnie awarii w tle, a Ty tego nie zauważysz, dopóki nie zacznie spadać skuteczność dostarczania wiadomości.

PowerDMARC zapewnia narzędzia i wgląd w sytuację, dzięki którym możesz wyprzedzić te problemy. Pomaga w generowaniu i weryfikacji rekordów SPF oraz monitorowaniu zgodności i wyników uwierzytelniania dla każdego źródła wysyłającego.

Opinia klienta:

„PowerDMARC pomógł nam skonsolidować 15 różnych usług pocztowych w jeden, zoptymalizowany rekord SPF. Skuteczność dostarczania naszych wiadomości e-mail wzrosła o 23% już w ciągu pierwszego miesiąca”. – Dyrektor ds. IT, firma SaaS z listy Fortune 500

Jeśli jesteś gotowy, aby przejąć kontrolę nad uwierzytelnianie wiadomości e-mail i upewnić się, że Twoje rekordy SPF działają dokładnie tak, jak powinny, rozpocznij bezpłatny okres próbny.

Najczęściej zadawane pytania

1. Co się stanie, jeśli przekroczę limit 10 zapytań DNS w moim rekordzie SPF?

Jeśli rekord SPF wymaga więcej niż 10 operacji wyszukiwania w systemie DNS, spowoduje to błąd PermError, co doprowadzi do całkowitej niepowodzenia uwierzytelniania SPF. Może to skutkować odrzuceniem prawidłowych wiadomości e-mail lub oznaczeniem ich jako spam. Aby nie przekroczyć tego limitu, należy zastosować spłaszczanie SPF lub makra.

2. Czy mogę wielokrotnie uwzględnić tę samą domenę w moim rekordzie SPF?

Chociaż z technicznego punktu widzenia jest to możliwe, wielokrotne dodawanie tej samej domeny jest zbędne i powoduje niepotrzebne wyszukiwania w systemie DNS. Każda instrukcja include powinna być unikalna i służyć konkretnemu celowi w ramach strategii uwierzytelniania wiadomości e-mail.

3. Jak często należy sprawdzać zawartość plików SPF?

Sprawdzaj swój rekord SPF co kwartał lub za każdym razem, gdy dodajesz lub usuwasz usługi poczty elektronicznej. Skonfiguruj automatyczne monitorowanie, aby wykrywać nieautoryzowane zmiany lub aktualizacje dostawców usług, które mogą mieć wpływ na proces uwierzytelniania.

4. Jaka jest różnica między ~all a -all w rekordach SPF?

Opcja ~all (softfail) sugeruje, aby wiadomości e-mail pochodzące z nieautoryzowanych źródeł były oznaczane jako podejrzane, ale nadal dostarczane. Opcja -all (hardfail) nakazuje serwerom odbiorczym całkowite odrzucanie wiadomości e-mail pochodzących z nieautoryzowanych źródeł. Większość organizacji zaczyna od opcji ~all, a po przeprowadzeniu testów przechodzi na opcję -all.

5. Czy wskaźnik SPF może wpływać na dostarczalność wiadomości e-mail?

Tak, nieprawidłowo skonfigurowane wpisy „includes” w rekordzie SPF mogą znacząco wpłynąć na dostarczalność wiadomości. Brak wpisów „includes” dla legalnych usług może spowodować, że wiadomości e-mail nie przejdą procesu uwierzytelniania, natomiast zbyt duża liczba takich wpisów może przekroczyć limity wyszukiwania DNS i spowodować błędy PermError.

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty e-mail w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Kompresja SPF: Ogranicz liczbę wyszukiwań DNS w ramach SPF i zoptymalizuj swój rekord SPF - 25 marca 2026 r.
• Certyfikat znaku zweryfikowanego a certyfikat znaku powszechnego: wybór odpowiedniego rozwiązania – 10 marca 2026 r.
• Poziom pewności spamu (SCL) -1 Bypass: co to oznacza i jak sobie z tym radzić – 4 marca 2026 r.