电子邮件是企业必不可少的工具，我们大多数人每天都依赖它进行沟通。然而，随着电子邮件用户数量的增加，垃圾邮件、电子邮件欺骗、网络钓鱼和电子邮件欺诈等问题也随之而来。这些类型的攻击会造成重大损害，包括名誉损失、经济损失和数据泄露。为防止此类攻击，企业必须采取积极措施确保电子邮件系统的安全。其中一种方法就是配置 SPF 设置。

雅虎邮箱和 Google Workspace 等主要电子邮件提供商推荐发件人策略框架 (SPF)、域名密钥识别邮件 (DKIM) 和基于域的邮件验证、报告和一致性 (DMARC) 等电子邮件验证协议，以保护电子邮件收件人免受潜在欺诈。

电子邮件安全中的 SPF - 解读

什么是 SPF? SPF是发件人策略框架（Sender Policy Framework）的缩写。这是一种电子邮件验证协议，允许您指定哪些服务器有权向您的域名发送电子邮件。SPF 的工作原理是在域名的 DNS 配置中添加一条 DNS 记录，其中列出电子邮件服务器的 IP 地址。该记录告诉其他电子邮件服务器，从您的域名发送的任何电子邮件，如果不是来自授权的 IP 地址，都将被拒绝。

设置有效的 SPF 记录对于防止未经授权的用户使用您的域名发送电子邮件至关重要。例如，垃圾邮件发送者或攻击者可能会使用您的域名发送垃圾邮件或钓鱼电子邮件这可能会损害您的声誉，导致封号，并危及您的客户和员工的安全。

SPF 组件

DNS 中 SPF 记录的主要组成部分 SPF 记录的主要组成部分如下：

版本(v=spf1):
指定 SPF 版本，总是以 v=spf1.
IP4 和 IP6(IP4：/ ip6：):
列出允许为域发送电子邮件的授权 IPv4 和 IPv6 地址。
A 和 MX 机制 (a: / mx：):
- a:允许来自 IP 与域名 A 记录匹配的服务器的电子邮件。
- mx：允许来自域的 MX（邮件交换）记录中所列服务器的电子邮件。
包括机制(include：):
允许其他域的 SPF 记录授权发件人，这在第三方服务代表您的域发送电子邮件时非常有用。
所有机制 (所有):
在 SPF 记录末尾设置默认规则。选项包括
- -全部:硬失败（拒绝非授权 IP）。
- ~全部:软失败（将未经授权的 IP 标记为可疑）。
- 全部:中立（不对未经授权的 IP 采取任何行动）。
- +all:通过（允许所有 IP，很少推荐使用）。
重定向(redirect=):
指向另一个域的 SPF 记录，如果你想使用它而不是创建自己的 SPF 记录的话。
修改器:
用于微调的可选规则，但不常用。

SPF 示例

v=spf1 ip4:192.168.1.1 include:_spf.thirdparty.com -all

此示例允许来自 192.168.1.1的电子邮件，并包含第三方 SPF 记录，用 -全部.

掌握 SPF 设置

SPF 设置是指域名所有者 DNS 中的 SPF 电子邮件验证协议配置。SPF 设置允许您对合法的发送源进行授权，确保接收服务器能轻松区分真正的电子邮件发件人和只是冒充合法域名的发件人。这是电子邮件验证的必要步骤，有助于防范基于电子邮件的网络攻击。

如何设置和添加 SPF 记录

SPF 设置不仅对您的活动源非常重要，而且对您的非发送域也非常重要，可确保它们免受恶意使用。设置 SPF 记录的过程非常简单，包括以下步骤：

步骤 1：确定您的电子邮件服务器

第一步是确定哪些服务器有权为您的域名发送电子邮件。这些服务器包括您的邮件服务器、您使用的任何第三方电子邮件服务提供商，或使用您的域名发送电子邮件的任何其他服务器。

第 2 步：创建 SPF 记录

确定授权电子邮件服务器后，您可以使用 SPF 记录生成工具.SPF 记录是域名 DNS 配置中的 TXT（文本）记录，对于 SPF 设置至关重要。您可以使用简单的语法创建 SPF 记录，如

v=spf1 ip4:<IP address> -all

In this example, the “v=spf1” indicates that this is an SPF record, and “ip4:<IP address>” indicates the IP address of the authorized email server. The “-all” at the end indicates that any emails that do not come from authorized IP addresses should be rejected.

第 3 步：发布 SPF 记录

创建 SPF 记录后，您需要将其发布到域名的 DNS 中。域名管理员只需进行必要的 DNS 更新即可轻松激活协议。您可以登录 DNS 提供商的网站，在 SPF 记录中添加新的 TXT 记录。或者，您也可以请 IT 团队或托管服务提供商代劳。

步骤 4：测试 SPF 记录

发布 SPF 记录后，必须对其进行测试，以确保其工作正常。您可以使用在线SPF 记录检查程序来测试 SPF 记录。这些工具将告诉您 SPF 记录是否有效以及配置是否正确。

关于 SPF 记录的 5 个误解

互联网上流传着一些 SPF 记录神话，可能会导致人们做出错误的决定。让我们来逐一破解它们：

1.SPF 本身可以防止欺骗

这是不正确的。仅设置 SPF 并不能防止欺骗或冒充等网络攻击。为了防止这些攻击，SPF 需要与 DMARC（基于域的消息验证、报告和一致性）相结合，DMARC 允许域所有者拒绝从自己的域发送的欺诈性电子邮件。

2.您可以在 SPF 记录中使用 +all

使用 +all 允许任何服务器代表您的域名发送电子邮件。这就失去了 SPF 协议的作用。建议使用 ~all 或 -all，以便为您的域有效部署 SPF。

3.SPF 适用于转发的电子邮件

我们都希望这是真的。遗憾的是，在邮件转发的情况下，由于中间服务器更改了邮件头信息，SPF 就会失效。在这种情况下，DKIM 或最好是 ARC 等协议就能派上用场，实现有效的电子邮件验证。

4.SPF 记录的 DNS 查询次数不受限制

RFC 规定 SPF 记录的 DNS 查询次数最多为 10 次，超过此次数会导致SPF permerror。必须使用扁平化等 SPF 优化方法，或者最好使用SPF 宏，以确保始终在 SPF 限制范围内。

5.有了 SPF，您就可以 "设置并忘记！"

不要犯 SPF 错误！您需要不时更新 SPF 记录，以便更新后的发件人列表可以代表您的域名发送电子邮件！这是确保合法电子邮件不会被收件人服务器拦截的重要步骤。

SPF 记录如何工作？

域名所有者手动或使用在线工具创建 SPF 记录，指定允许代表域名发送电子邮件的发送源。
发送电子邮件时，收件人的服务器会对发件人的 DNS 执行 DNS 查询，以查找 SPF 记录并检查授权来源。
如果匹配，电子邮件就会安全地进入收件箱，否则电子邮件可能会被标记为可疑邮件。这取决于域名所有者在 SPF 记录中定义的操作限定符（~all、-all、?all）。

准确设置 SPF 的技巧

下面是一些创建强大 SPF 记录设置的提示：

包括所有授权的电子邮件服务器：确保在 SPF 设置中包含所有授权的电子邮件服务器，以便为您的域名发送电子邮件。这可能包括您的邮件服务器、第三方电子邮件服务提供商或使用您的域名发送电子邮件的任何其他服务器。
使用"-all "机制。在你的SPF记录末尾的"-all "机制告诉其他电子邮件服务器，拒绝任何不是来自授权IP地址的电子邮件。这是防止未经授权的用户使用你的域名发送电子邮件的一个关键步骤。
使用 "包含 "机制：包含 "机制允许您包含其他域的 SPF 记录。如果您使用第三方电子邮件服务提供商为您的域名发送电子邮件，这将非常有用。您可以在 SPF 设置中包含他们的 SPF 记录，以确保从他们的服务器发送的电子邮件也经过验证。
使用"~all "机制进行测试：全部 "机制会告诉其他电子邮件服务器，将任何不是来自授权 IP 地址的电子邮件标记为 "软失败"。这意味着这些邮件仍会送达，但会被标记为可疑邮件。您可以在测试过程中使用该机制，以确保您的 SPF 记录工作正常，而不会立即拒收电子邮件。
保持你的SPF记录是最新的：当你的电子邮件基础设施发生变化时，请确保更新你的SPF记录以反映这些变化。这可以包括添加新的电子邮件服务器或删除旧的服务器。

使用 PowerDMARC 优化 SPF 设置的好处

DNS 查询限制是电子邮件服务器设置的一项限制。它限制了验证电子邮件 SPF 记录时可执行的 DNS 查询次数。该限制一般设置为 10 次 DNS 查询，如果电子邮件服务器超过此限制，SPF 可能会崩溃并导致电子邮件无法送达的问题。

SPF 扁平化是一种用于减少验证电子邮件 SPF 记录所需的 DNS 查询次数的技术。它的工作原理是将多个 SPF记录合并为一个记录，从而减少验证电子邮件所需的 DNS 查询次数。

下面举例说明SPF 扁平化的作用：

假设贵公司使用多个第三方服务来发送电子邮件。这可能包括营销自动化软件、服务台系统和小型企业客户关系管理工具.这些服务都将被添加到您的 DNS SPF 记录中的 IP 地址列表或每个服务的单独 SPF 记录中，如果您要在域名的 SPF 记录中包含所有这些服务，就会超过 10 次 DNS 查询的限制。

通过使用 SPF 扁平化，你可以将所有这些多余的 IP 合并到一个单一的包含中。这意味着，当电子邮件服务器进行 DNS 查询以验证你的 SPF 记录时，它只需要进行一次或几次查询，而不是对每个单独的 SPF 记录和 IP 地址进行多次查询。

总结一下

SPF 设置是确保电子邮件系统安全和防止电子邮件欺诈的关键步骤。通过创建 SPF 记录并将其发布到域名的 DNS 配置中，您可以确保从您的域名发送的电子邮件经过验证，并防止未经授权的用户使用您的域名发送电子邮件。根据上述提示，您可以创建一个强大的 SPF 记录，确保电子邮件系统的安全。

设置 SPF 记录的常见问题

我可以拆分大号 SPF 吗？

由于 SPF 字符的限制以及禁止为同一域发布多个 SPF 记录的附加限制，不建议将大型 SPF 记录拆分成较小的 SPF 记录。相反，可以尝试以下方法：

使 SPF 记录简明扼要
减少包含和合并 IP 范围
使用 SPF 管理解决方案和第三方服务

为什么要使用 SPF 记录？

SPF 记录用于确保只有经授权的来源才能代表您的域名发送电子邮件，从而限制外部曝光和冒充企图。

什么时候需要 SPF？

作为电子邮件验证协议，SPF 可确保电子邮件通信的真实性得到验证，并符合最新的行业规定。进一步了解 SPF 配置的重要性.

如何优化SPF记录？

您可以通过访问 DNS 并进行必要的更改，手动优化 SPF 记录。不过，更省事、更简单的方法是部署第三方 SPF 优化服务，这些服务可为 SPF 记录管理提供扁平化或 Macros 优化。

如何知道我的 SPF 记录已设置？

您可以使用在线 SPF 记录查询工具以确认 SPF 记录是否设置正确。

关于
最新文章

Ahona Rudra

域名和电子邮件安全专家PowerDMARC

阿霍娜是 PowerDMARC 的市场经理，拥有 5 年以上的网络安全主题写作经验，擅长领域和电子邮件安全。阿霍娜拥有新闻与传播专业的研究生学位，自 2019 年以来，她在安全领域的职业生涯更加稳固。

Ahona Rudra的最新文章(查看全部)

增强型网络钓鱼攻击中借口式诈骗的兴起- 2025 年 1 月 15 日
2025 年起支付卡行业将强制执行 DMARC- 2025 年 1 月 12 日
国家计算机安全委员会邮件检查变化及其对英国公共部门电子邮件安全的影响- 2025 年 1 月 11 日

如何设置 SPF 记录？- SPF 设置指南