SPF (Sender Policy Framework) — это специальная TXT запись в DNS вашего домена. Она указывает, какие почтовые серверы имеют право отправлять письма от имени вашего домена. Если получатель проверит SPF и увидит, что письмо пришло с неавторизованного сервера, такое письмо может быть отклонено или помечено как спам. SPF — один из трёх основных протоколов аутентификации почты (вместе с DKIM и DMARC).

SPF запись всегда начинается с v=spf1. Затем перечисляются разрешённые источники (IP-адреса, сети или домены). В конце указывается политика для всех остальных серверов. Пример: v=spf1 ip4:192.0.2.0/24 include:_spf.google.com ~all. Эта запись разрешает отправку с сети 192.0.2.0/24, с серверов Google (через include) и помечает все остальные письма как подозрительные (~all).

• ip4:IP — разрешает конкретный IPv4 адрес или подсеть (например, ip4:192.0.2.0/24).
• ip6:IP — разрешает IPv6 адрес или подсеть.
• include:домен — подключает SPF запись другого домена (например, include:_spf.google.com).
• a:домен — разрешает IP-адреса, на которые указывает A запись домена.
• mx:домен — разрешает IP-адреса MX серверов домена.

Механизмы могут иметь квалификаторы: + (разрешить, по умолчанию), - (запретить), ~ (пометить как подозрительное), ? (нейтрально).

• -all (Fail) — письма с неавторизованных серверов должны быть отклонены. Самый строгий и безопасный вариант.
• ~all (SoftFail) — письма с неавторизованных серверов помечаются как подозрительные, но обычно принимаются. Рекомендуется для начала, чтобы не потерять письма.
• ?all (Neutral) — нейтральная политика, SPF ничего не говорит о легитимности письма. Не рекомендуется.
• +all (Pass) — разрешает все серверы. Категорически не рекомендуется, так как делает SPF полностью бесполезным.

• Отсутствие механизма all — запись без all считается незаконченной.
• Несколько записей v=spf1 — у домена должна быть только одна SPF запись. При наличии нескольких они объединяются.
• Превышение 10 DNS lookups — каждый include и механизмы a/mx без указания домена создают DNS запрос. Всего их не может быть больше 10, иначе SPF будет возвращать PermError.
• Пустые механизмы — например, include: без домена или ip4: без адреса.

Самый простой способ — использовать наш SPF Checker на этой странице. Введите домен и нажмите "Проверить SPF". Также можно выполнить команду в терминале: dig TXT домен +short (Linux/Mac) или nslookup -type=TXT домен (Windows). Или воспользоваться любым онлайн DNS инструментом.

SPF проверяет, авторизован ли сервер отправителя. DKIM проверяет цифровую подпись письма. DMARC говорит получателю, что делать, если проверки SPF или DKIM не прошли. Для полноценной защиты домена от подделки рекомендутся настраивать все три протокола. DMARC также собирает отчёты о том, кто отправляет письма от вашего имени.

Без SPF злоумышленники могут подделать письмо, сделав вид, что оно отправлено с вашего домена. Это используется для фишинга и спама. Если вы настроите SPF, почтовые серверы смогут отличить настоящие письма от поддельных. Кроме того, SPF повышает доставляемость писем — многие провайдеры (Gmail, Яндекс, Mail.ru) отдают предпочтение письмам с корректной аутентификацией.