Giao diện

Công cụ phổ biến

Tạo Bản Ghi SPF (SPF Record Generator)

Chọn các dịch vụ gửi thư của bạn và nhận một bản ghi SPF, với số lượt tra cứu DNS nó tốn của máy chủ nhận được đếm trực tiếp ngay khi bạn tạo.

Cách đi qua các lượt tra cứu theo RFC 7208, giống công cụ kiểm tra SPF của chúng tôi · include được ghi trong tài liệu của 71 bên gửi · chạy trong trình duyệt của bạn
DNS được đọc từ trình duyệt của bạn

Tải bản ghi SPF của tên miền vào biểu mẫu, cùng các bên gửi. Hoặc chọn bên gửi ở dưới: bản ghi cập nhật ngay.

Thử

Chạy ngay trong trình duyệt của bạn. Chỉ các câu hỏi DNS rời khỏi trình duyệt, qua HTTPS tới bộ phân giải của Cloudflare (và của Google để đối chiếu).

Ví dụ

Một bản ghi ví dụ cho example.com

Nhập tên miền của bạn ở trên để bắt đầu từ bản ghi đang công bố, hoặc đổi bất cứ điều gì ở dưới. Bản ghi bên phải cập nhật ngay.

Ai gửi thư dưới tên example.com?
Máy chủ riêng của bạn
Địa chỉ hoặc dải IPv4
Địa chỉ hoặc dải IPv6
Các include khác
Một tên miền mà nhà cung cấp bảo bạn include.
allThư từ mọi máy chủ khác

Máy chủ không có trong danh sách bị đánh dấu đáng ngờ, không bị từ chối. Với DMARC ở quarantine hoặc reject, DMARC quyết định dựa trên DKIM. M3AAWG khuyến nghị ~all.

Tên miền này không gửi thư
v=spf1 -all: không máy chủ nào được gửi dưới tên này.

Máy chủ nhận tốn bao nhiêu cho bản ghi này

Hạn mức 10 lượt tra cứu · example.com0 trong 2 lượt rỗng

/ 10 lượt tra cứu đã dùng

110

Lượt tra cứu DNS rỗng

Đang đếm các include…

Các lượt tra cứu đi đâu

include:_spf.google.comGoogle Workspace1

Trước khi bạn công bố

Sẵn sàng để công bố

Một bản ghi, không có gì mà máy chủ nhận sẽ bỏ qua hay đọc sai.

Tốt

Dán bản ghi này ở đâu?

Chọn nhà cung cấp DNS của bạn: các ô dưới đây được viết đúng như biểu mẫu của họ cần.

Dòng trong tệp zone
example.com. 3600 IN TXT "v=spf1 include:_spf.google.com ~all"

Sau khi bạn công bố

Kiểm tra đầy đủ: example.comLiên kết mang các thiết lập này, không bao giờ mang khóa. Hỏi từ trình duyệt của bạn: bộ phân giải của Cloudflare, và của Google để đối chiếu.

Làm thế nào để tạo bản ghi SPF?

Hãy liệt kê mọi dịch vụ gửi thư dưới tên miền của bạn, đặt các term include: của chúng và địa chỉ máy chủ riêng của bạn vào một bản ghi TXT tại tên miền, và kết thúc bằng ~all.

Đặt các term rẻ lên trước: địa chỉ IP không tốn lượt tra cứu DNS nào, a và mx tốn mỗi cái một lượt, include tốn một lượt cộng với những gì nó chứa.

Rồi đếm: máy chủ nhận dừng ở 10 lượt tra cứu DNS. Trình tạo đi qua mọi include trực tiếp, nên con số đếm được là con số máy chủ nhận sẽ thấy.

Ai gửiGoogle WorkspaceMailjet192.0.2.25
Bản ghi, theo thứ tự máy chủ nhận đọc
v=spf1ip4:192.0.2.250 lượt tra cứuinclude:_spf.google.com1 lượt tra cứuinclude:spf.mailjet.com1 lượt tra cứu~all0 lượt tra cứu
Từ các bên gửi đến một bản ghi
Trình tạo bản ghi SPF đếm lượt tra cứu DNS của một bản ghi vượt giới hạn 10, cùng các bên gửi tốn nhiều nhấtTrình tạo bản ghi SPF đếm lượt tra cứu DNS của một bản ghi vượt giới hạn 10, cùng các bên gửi tốn nhiều nhấtCon số máy chủ nhận sẽ đếmMọi include được đi qua trực tiếp từ trình duyệt của bạn, cả include lồng nhau, đúng như máy chủ nhận đếm.Mỗi lượt tra cứu một ôTô màu theo bên gửi tiêu tốn nó; quá 10 các ô được gạch chéo: lỗi vĩnh viễn.Các lượt tra cứu đi đâuMỗi term kèm dấu hiệu, các include lồng nhau của nó và chi phí.Ai tốn nhiều nhấtKhi vượt 10, các bên tốn nhiều nhất và những cách quay lại dưới giới hạn một cách trung thực, kể cả cái giá của việc làm phẳng.Các bên gửi nằm ở nơi khácDịch vụ có SPF nằm trên tên miền con, hoặc không ở đâu cả, sẽ cho biết nó ở đâu.
Microsoft 365, Freshdesk, Salesforce, Zendesk và Mimecast trong một bản ghi: mỗi include được đi qua trực tiếp từ trình duyệt, vượt xa giới hạn 10, kèm các bên gửi tốn nhiều nhất và các cách quay lại dưới giới hạn.

Bản ghi SPF gồm những gì?

Các cơ chế nêu ai được gửi (ip4, ip6, a, mx, include, exists) và một phần kết, all hoặc redirect, mỗi cái kèm một qualifier; mọi term hỏi DNS đều tốn một trong 10 lượt tra cứu.

Qualifier cho biết một lần khớp nghĩa là gì: + pass (mặc định), - fail, ~ softfail, ? neutral. Máy chủ nhận đọc từ trái sang phải và dừng ở lần khớp đầu tiên.

ptr đã bị khuyến cáo không dùng và chậm: đừng dùng.

TermVí dụLượt tra cứu DNSDùng cho
ip4ip4:192.0.2.0/240Máy chủ IPv4 riêng của bạn
ip6ip6:2001:db8::/320Máy chủ IPv6 riêng của bạn
aa1Địa chỉ của chính tên miền
mxmx1 + tối đa 10 tênMáy chủ nhận thư cũng gửi thư
includeinclude:_spf.google.com1 + của chính nóBản ghi của một dịch vụ
existsexists:%{i}._spf.example.com1Kiểm tra theo từng địa chỉ (macro)
redirectredirect=_spf.example.com1Dùng toàn bộ bản ghi của tên miền khác
all~all0Mọi thứ còn lại (phần kết)
+pass-fail~softfail?neutral
Mọi cơ chế và chi phí của chúng

Bản ghi SPF cho Google Workspace, Microsoft 365 và các dịch vụ khác

Google Workspace là include:_spf.google.com và Microsoft 365 là include:spf.protection.outlook.com; hầu hết dịch vụ công bố một term include:, và một số không cần gì trong bản ghi của bạn.

Mỗi chi phí dưới đây được đo trên bản ghi trực tiếp của dịch vụ và gồm mọi thứ lồng bên trong, đúng là thứ máy chủ nhận tiêu tốn.

Các dịch vụ được đánh dấu ở nơi khác gửi bằng return path riêng hoặc một tên miền con của bạn, nên SPF của chúng nằm ở đó.

Dịch vụThêm vào bản ghi của bạnLượt tra cứuỞ đâu
Google Workspaceinclude:_spf.google.com1bản ghi của bạn
Microsoft 365include:spf.protection.outlook.com1bản ghi của bạn
Zoho Mailinclude:zohomail.com2bản ghi của bạn
Amazon SESinclude:amazonses.com1một tên miền con
SendGridinclude:sendgrid.net2một tên miền con
Mailguninclude:mailgun.org5một tên miền con
Mailchimp——không cần thêm gì
Brevo—1không cần thêm gì
HubSpotinclude:<HubID>.spf0N.hubspotemail.net—bản ghi của bạn
Salesforceinclude:_spf.salesforce.com2bản ghi của bạn
Zendeskinclude:mail.zendesk.com1bản ghi của bạn
Freshdeskinclude:email.freshdesk.com7bản ghi của bạn
Postmark—1không cần thêm gì
Mimecast (global)include:_netblocks.mimecast.com9bản ghi của bạn
Proton Mailinclude:_spf.protonmail.ch2bản ghi của bạn
Fastmailinclude:spf.messagingengine.com1bản ghi của bạn
Các bên gửi, include của họ và chi phí

Giới hạn 10 lượt tra cứu của SPF là gì?

Máy chủ nhận dừng sau 10 term hỏi DNS, tính cả include lồng nhau, và SPF khi đó fail với lỗi vĩnh viễn cho mọi thư; lượt tra cứu thứ ba trả về rỗng cũng làm nó fail (RFC 7208).

Để quay lại dưới giới hạn: chuyển một bên gửi sang tên miền con có bản ghi riêng, bỏ a hoặc mx nếu các máy chủ đó không gửi thư, hoặc nhờ nhà cung cấp một include hẹp hơn.

Làm phẳng, tức thay một include bằng các địa chỉ IP của nó, tiết kiệm lượt tra cứu nhưng sẽ lỗi thời ngay ngày nhà cung cấp đổi địa chỉ: hãy kiểm tra lại mỗi tháng.

12 / 10 · lỗi vĩnh viễn

mx1include:spf.protection.outlook.com1include:email.freshdesk.com7include:_spf.salesforce.com2include:mail.zendesk.com1
Tên miền conBỏ a/mxinclude hẹp hơnLàm phẳng (sẽ lỗi thời)
Năm bên gửi, 12 lượt tra cứu

SPF nên kết thúc bằng ~all hay -all?

Hãy dùng ~all cho tên miền có gửi thư và -all cho tên miền không gửi: khi DMARC ở mức thực thi, DMARC quyết định dựa trên DKIM, còn -all có thể khiến thư được chuyển tiếp bị từ chối trước khi DMARC chạy.

M3AAWG khuyến nghị ~all cho tên miền có gửi thư và -all cho tên miền không gửi thư. Google ghi ~all trong tài liệu cho Workspace; Microsoft ghi -all trong tài liệu cho Microsoft 365.

~allsoftfailĐược nhận, đánh dấu đáng ngờ; DMARC quyết định cùng DKIM
-allfailCó thể bị từ chối ngay, kể cả khi DKIM đạt
?allneutralNhư thể bạn không có SPF
Một thư từ máy chủ bạn không liệt kê

Những bên gửi nào không cần có trong bản ghi SPF của bạn?

Các dịch vụ gửi bằng return path riêng, như Mailchimp, Postmark, SparkPost, Klaviyo và Shopify, đạt SPF trên tên miền của chính họ; Amazon SES, SendGrid và Mailgun thuộc về một tên miền con gửi thư của bạn.

SPF kiểm tra người gửi phong bì (Return-Path), không phải địa chỉ From mà mọi người thấy. Với DMARC, các dịch vụ đó căn chỉnh qua DKIM, nên hãy công bố các bản ghi DKIM của chúng thay vào đó.

From (điều mọi người thấy)From: news@example.com
Return-Path (điều SPF kiểm tra)Return-Path: bounce@esp.example.net

Không cần thêm gì ở đây

MailchimpMandrillPostmarkSparkPostBrevoKlaviyoShopifyDynamics 365

Trên một tên miền con của bạn

Amazon SESSendGridMailgun
SPF kiểm tra Return-Path, không phải dòng From

Một tên miền có thể có hai bản ghi SPF không?

Không: với hai bản ghi v=spf1 tại một tên, máy chủ nhận dừng với lỗi vĩnh viễn và SPF fail, nên hãy gộp chúng thành một bản ghi.

Hãy giữ mọi bên gửi từ cả hai, một phần kết, và đếm lượt tra cứu của bản ghi đã gộp: hai bản ghi mà mỗi cái đều vừa có thể vượt 10 khi cộng lại.

Được công bố tại example.orgv=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -all
Một bản ghiv=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Hai bản ghi, được gộp thành một

Bản ghi SPF dài hoạt động thế nào với nhà cung cấp DNS?

Một chuỗi TXT chứa 255 byte; bản ghi dài hơn được tách thành nhiều chuỗi mà máy chủ nhận nối lại không chèn gì ở giữa, và hầu hết nhà cung cấp DNS tự tách giúp bạn.

Cloudflare và Azure nhận toàn bộ giá trị trong một ô; Route 53 và Google Cloud DNS muốn các chuỗi 255 byte có dấu ngoặc kép. RFC 7208 yêu cầu giữ toàn bộ phản hồi dưới 450 byte.

v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203.0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all
1255 B272 B
example.com. 3600 IN TXT ( "v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203"
	".0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all" )
Một bản ghi dài, như DNS lưu nó

Câu hỏi thường gặp về trình tạo bản ghi SPF

Bản ghi SPF là gì?

Bản ghi SPF là bản ghi TXT tại tên miền của bạn, bắt đầu bằng v=spf1, liệt kê các máy chủ được phép gửi thư dùng tên miền của bạn làm người gửi phong bì. Máy chủ nhận so sánh máy chủ gửi với danh sách đó rồi cho thư pass, softfail hoặc fail. Nó được định nghĩa trong RFC 7208, và DMARC dùng kết quả của nó khi các tên miền căn chỉnh.

Bản ghi SPF cho Google Workspace là gì?

v=spf1 include:_spf.google.com ~all. Một include đó bao phủ các máy chủ gửi của Google và tốn một trong mười lượt tra cứu DNS của bạn. Nếu các dịch vụ khác cũng gửi dưới tên miền của bạn, hãy thêm term include của chúng trước phần kết, và giữ một bản ghi duy nhất: bản ghi v=spf1 thứ hai làm SPF fail với tất cả.

Bản ghi SPF cho Microsoft 365 là gì?

v=spf1 include:spf.protection.outlook.com -all, như Microsoft ghi trong tài liệu; ~all cũng được và êm hơn với thư được chuyển tiếp. include tốn một lượt tra cứu DNS. Các đám mây chính phủ dùng include riêng, như spf.protection.office365.us cho GCC High, mà trình tạo liệt kê như các bên gửi riêng.

Tôi có thể có hai bản ghi SPF không?

Không. Với hai bản ghi v=spf1 tại cùng một tên, máy chủ nhận dừng với lỗi vĩnh viễn và SPF fail với mọi thư. Hãy gộp chúng: giữ mọi bên gửi từ cả hai trong một bản ghi với một phần kết. Hãy tải tên miền của bạn vào trình tạo và nó gộp các bản trùng giúp bạn, rồi đếm lượt tra cứu của kết quả.

Điều gì xảy ra nếu bản ghi SPF của tôi có hơn 10 lượt tra cứu?

Máy chủ nhận dừng ở term hỏi DNS thứ mười một và trả về lỗi vĩnh viễn, nên SPF fail với mọi thư, kể cả thư hợp lệ. DMARC vẫn có thể đạt nhờ DKIM căn chỉnh, nhưng SPF không còn giúp được gì. Hãy chuyển một bên gửi sang tên miền con, bỏ a hoặc mx nếu các máy chủ đó không gửi thư, hoặc nhờ nhà cung cấp một include hẹp hơn.

Tôi nên dùng ~all hay -all?

Hãy dùng ~all cho tên miền có gửi thư và -all cho tên miền không gửi. Với ~all, thư lỗi bị đánh dấu đáng ngờ và DMARC quyết định dựa trên DKIM; với -all, một số máy chủ nhận từ chối thẳng, có thể chặn cả thư được chuyển tiếp trước khi DMARC chạy. M3AAWG khuyến nghị ~all cho các tên miền có gửi thư.

Tên miền con có cần bản ghi SPF riêng không?

Có, nếu chúng gửi thư. SPF không được kế thừa: news.example.com được kiểm tra theo bản ghi TXT của chính nó, không phải của example.com. Một tên miền con không gửi gì nên công bố v=spf1 -all, và các dịch vụ như Amazon SES hay Mailgun mong bản ghi của chúng nằm trên tên miền con gửi thư bạn đã thiết lập với họ.

Thêm bản ghi SPF ở đâu?

Tại nhà cung cấp DNS của bạn, dưới dạng bản ghi TXT trên chính tên miền: nhập @ vào ô tên (Route 53 muốn để trống), rồi dán giá trị. Nếu đã có bản ghi SPF ở đó, hãy sửa nó thay vì thêm bản khác. Hãy chọn nhà cung cấp của bạn trong trình tạo để xem tên các ô và cách nó nhận giá trị dài.

Làm phẳng SPF (flattening) là gì, và tôi có nên dùng không?

Làm phẳng thay các term include bằng các địa chỉ IP chúng chứa, để bản ghi cần ít lượt tra cứu DNS hơn. Nó hiệu quả, nhưng bản sao sẽ lỗi thời mỗi khi nhà cung cấp đổi địa chỉ, và thư từ các địa chỉ mới fail SPF. Hãy ưu tiên tên miền con hoặc include hẹp hơn; nếu làm phẳng, hãy kiểm tra lại bản ghi mỗi tháng.

Trình tạo SPF có miễn phí không, và có gì được gửi tới máy chủ của chúng tôi không?

Nó miễn phí, không cần đăng ký. Bản ghi được tạo trong trình duyệt của bạn, và mọi include được đếm bằng các câu hỏi DNS trình duyệt gửi qua HTTPS tới bộ phân giải của Cloudflare (và của Google khi Cloudflare chậm), nên tên miền và bản ghi của bạn không đi qua máy chủ của chúng tôi. Không có gì bạn nhập được lưu lại.

Còn thiếu điều gì?Đề xuất tính năng hoặc công cụ mới

Công cụ liên quan