SPF（发件人策略框架）

SPF(Sender Policy Framework,发件人策略框架)是一种电子邮件验证协议,由 RFC 7208 定义。它允许域名管理员在 DNS 中公布一份授权发信服务器清单,收件方检查邮件实际来源 IP 是否在清单内,以此识别伪造发件人的邮件。

概述

由于 SMTP 允许任意填写信封发件人,垃圾邮件发送者常冒用他人域名发信。SPF 的思路是让域名主动声明:只有这些 IP 才能代表我发邮件。收件服务器收到邮件时提取信封发件人域名,查询该域的 SPF 记录,再比对连接过来的实际 IP 是否被允许,从而给出通过、软失败或硬失败等结果。

核心特点

• SPF 记录以一条特殊的 DNS TXT 记录形式发布,内容以 v=spf1 开头,后跟一系列机制,如 ip4、ip6、include、a、mx 等。
• 结尾的 all 机制配合前缀决定默认策略:-all 表示未列出的 IP 一律拒绝,~all 表示软失败仅标记,?all 表示中立。
• 校验的是信封发件人(MAIL FROM)域名,而非用户看到的 From 头,这也是它与 DMARC 需要对齐的原因。
• SPF 对 DNS 查询次数有上限(通常为 10 次),include 嵌套过多会导致校验失败(permerror)。

应用场景

企业邮箱、营销邮件系统、事务通知邮件都应配置 SPF 以提高投递成功率。当邮件经由第三方平台代发时,需在 SPF 中用 include 引入对方的发信段。它与 DKIM、DMARC 联合部署才能形成完整防护。

常见问题

问:SPF 遇到邮件转发会失效吗?答:会。邮件被中转服务器转发后,实际发送 IP 变成转发方的 IP,可能不在原域授权列表内,导致 SPF 失败,这也是 DKIM 更耐转发的原因之一。

问:一个域名可以有多条 SPF 记录吗?答:不可以。同一域名只能有一条 v=spf1 记录,存在多条会导致 permerror,需要把所有授权合并进一条记录。