Bản ghi SPF là gì?
SPF (Sender Policy Framework) là một bản ghi TXT đặt tại domain, liệt kê những máy chủ nào được phép gửi email thay mặt domain đó. Khi một mail server nhận email, nó sẽ tra SPF của domain gửi để kiểm tra xem IP gửi email có nằm trong danh sách được phép hay không.
Vì sao SPF không phải là 1 loại DNS record riêng?
Khác với NS, MX, CAA — SPF không có DNS record type riêng. Nó được lưu
dưới dạng bản ghi TXT có nội dung bắt đầu bằng v=spf1. Đây là lý do công cụ
này cần lọc riêng trong các TXT record của domain thay vì query trực tiếp
kiểu "SPF".
Cú pháp SPF cơ bản
v=spf1 include:_spf.google.com ~all
- include: — cho phép domain khác thay mặt gửi mail (VD dùng Google Workspace)
- ip4: / ip6: — liệt kê IP cụ thể được phép gửi
- ~all — soft fail, mail từ nguồn không khớp sẽ bị đánh dấu nghi ngờ chứ không từ chối hẳn
- -all — hard fail, từ chối hẳn mail từ nguồn không khớp
Lỗi thường gặp
- Domain có nhiều hơn 1 bản ghi SPF — theo chuẩn chỉ được có đúng 1 bản ghi SPF, có nhiều bản ghi sẽ khiến kết quả kiểm tra không xác định (permerror).
- Dùng quá 10 lượt "DNS lookup" trong chuỗi
include/redirect— vượt giới hạn RFC 7208 sẽ khiến SPF bị coi là lỗi (permerror), toàn bộ email có thể bị ảnh hưởng. - Quên thêm SPF khi chuyển sang dùng thêm 1 dịch vụ gửi mail thứ 3 (VD dùng thêm Mailchimp/SendGrid để gửi newsletter ngoài Google Workspace).