SPF 检查器

SPF 记录表明哪些服务器可以作为您的域发送电子邮件。大多数失败的失败不会大声 - 他们会悄悄地让每个人通过。 检查您控制的域并获取记录以及它实际指示接收服务器执行的操作。

一段话中的 SPF 记录是什么

当邮件服务器收到声称来自您的域的邮件时，它可以询问您的域允许哪些服务器代表您发送。答案是一条TXT记录您的 DNS 开头为 v=spf1。如果发送服务器在该列表中，则消息将通过。如果不是，接下来会发生什么完全取决于你的记录如何结束--而这正是最麻烦的地方。

检查自己 SPF 记录的六个理由

十次查找限制，悄然打破记录

这是没人预料到的失败，也是几乎每个人最终都会遇到的失败。

当接收服务器评估您的 SPF 记录时，它必须解析它找到的每个 include:、a、mx、ptr 和 redirect - 并且每个都可以包含更多相同的内容。 标准将其限制为 10 次 DNS 查找。 超过该值，评估不会退回到通过或失败；它返回一个永久错误，大多数接收者将其视为根本没有 SPF。记录不断增长，超过了它。这里是营销平台，那里是服务台，薪资提供商，新的 CRM - 每个都会添加一个 include:，并且每个 include: 可能会在其中隐藏多个查找。 没有任何警告您。 DNS 面板中的记录看起来仍然正常，并且由于没有人连接到四个月前所做的更改，传输开始受到影响。

不授权任何人且不阻止任何事情的软故障

每个 SPF 记录都以all机制，前面的字符决定一切：

结束	它告诉接收者什么
`-all`	硬故障。该服务器未经授权。拒绝它
`~all`	软失败。该服务器未经授权，但无论如何接受它并标记它
`?all`	中性的。没有意见
`+all`	每个人都获得授权。永远不要正确

大多数域名以 ~all 结尾，这是正确的起点，也是错误的停留点。这意味着您的记录描述了谁可以在不坚持的情况下发送，这是一个声明，而不是一个防御。

您添加的 include: 是其他人的列表，并且它发生了变化

include: 不会将提供商的服务器复制到您的记录中 - 它指向他们的服务器并导入检查时存在的任何内容。

这很方便，这意味着您的邮件身份验证的一部分由您无法控制的公司维护。当他们添加基础设施时，您的记录会默默地覆盖更多内容。当他们重组时，你的查找计数可以跳。值得了解您的哪些 include: 条目较大，因为这些条目会使您超出限制。

根本不发送邮件的域

您拥有但从未发送邮件的域是最容易被冒充的，因为没有人在查看回复，也没有人注意到投诉。

这样的域仍应具有 SPF 记录 - 不进行任何授权的记录：

v=spf1 -all

这是完整、正确的记录。它说：不允许任何服务器作为该域发送。停放域名、老品牌和防御性购买的域名都值得拥有。

本该有的几条记录

一个域可能只有一条 SPF 记录。两条TXT记录都以v=spf1开头，并不是双重保护--它是一个永久错误，结果与没有相同。

当第二个提供商的设置向导时会发生这种情况添加自己的记录而不是编辑您的记录。解决办法是将它们合并为一个；问题在于注意到。

证明记录在给定日期正确的证据

“我们已经配置了 SPF”是一个断言。显示记录及其保单的注明日期的报告就是证据，这也是保险公司或客户的安全审查真正想要的。构建该记录是它自己的主题。

了解您的记录的日期变化

DNS 的编辑人员比任何其他层都多，而 SPF 记录的编辑人员则最不可能告诉安全团队：营销部门添加发送平台、IT 部门移动邮件提供商、连接表单的承包商。

每次编辑都很小，并且没有经过审查。计划扫描将其转变为您被告知的差异：此记录获得了一个条目，此政策从 -all 回到了 ~all。警报通过电子邮件到达应用程序内，或通过 Slack、Teams、Jira 或 Webhook。

步骤 01 · 命名域名

您控制的域已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。上面的快速检查跳过了这一点：没有帐户，没有验证，只有 IP 速率限制以及目标必须是公共地址的规则。

步骤02·让检查运行

SPF 记录是公开的，因此它是读取而不是探测。它以接收邮件服务器的方式查找记录。

步骤03·读取结果

结果按严重程度排序，得分从 A+ 到 F。授权所有人的记录和软失败并不位于同一个无差别列表中。

这是什么部分

SPF 是 AYAsec 检查的几个与邮件相关的记录之一，作为其 DNS 扫描的一部分，与 DKIM 一起，DMARC、MTA-STS、TLS-RPT 和 DNSSEC。 这是一次扫描，此页仅介绍其所查看内容的一部分。

DNS 承担综合等级的 20%。其他为 HTTP，占 30%，TLS 和端口，各占 20%，域可信度为 10%。所有这些加在一起就是攻击面管理是指在实践中。

检查前的问题

我可以检查什么？

您拥有或签约测试的基础设施。上面的快速检查并不能为您验证这一点 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。相反，将域添加到 AYAsec 帐户，并在任何计划运行之前验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

SPF 记录是公开的。为什么需要这个验证？

记录是公开的，支票是只读的，因此支票本身是无害的。验证是关于接下来发生的事情：您的 AYAsec 帐户中的域受到监控、评分并保存在您的历史记录中，对于不属于您的域来说，这一切都不应该发生。

SPF 本身就足够了吗？

不需要。SPF 授权服务器；它不会在转发后继续存在，并且它没有说明消息是否被更改。就是这样DKIM 是为了，而 DMARC 是将两者联系在一起并决定它们失败时会发生什么。

如何达到十次查找限制？

通常，通过删除不再使用的提供商、将广泛的 include: 替换为您需要的特定机制，或者扁平化记录 - 自行解析链并直接列出地址。扁平化是有效的，但会带来一定的成本：当记录停止更新时提供商更改了他们的服务器，因此必须按计划重新扁平化。

一条记录可以覆盖子域名吗？

不是自动的。 SPF 根据信封发件人中的域进行检查，因此发送邮件的子域需要有自己的记录。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。相反，将域添加到 AYAsec 帐户，并且每次扫描都会被保留 - 一系列的信息会告诉您哪个编辑破坏了它。保留取决于您的计划。

保留历史，而不仅仅是历史结果

按计划对您自己的域运行完整的 DNS 检查，并将每个更改标记给需要查看它的任何人。

开始免费扫描比较计划

其他跳棋

View all free security scanners

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec SPF Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/spf-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。