SPF (Sender Policy Framework) is een e-mailauthenticatiemethode gedefinieerd in RFC 7208 waarmee domeineignaren een lijst met geautoriseerde mailservers kunnen publiceren via een DNS TXT record. Ontvangende mailservers vragen deze record op om te verifiëren dat het IP-adres van de verzendende server gemachtigd is om e-mail van dat domein te verzenden.
Hoe SPF werkt
Wanneer een mailserver een e-mail ontvangt, extraheert deze het envelop-afzenderdomein (het SMTP MAIL FROM-adres) en vraagt DNS op voor de SPF record van dat domein. De server evalueert vervolgens de mechanismen in de record (zoals ip4, include, mx of a) van links naar rechts. Elk mechanisme bevat een qualifier (+ voor pass, - voor fail, ~ voor softfail) die het resultaat bepaalt. Het uiteindelijke all-mechanisme stelt het standaardbeleid in voor elk IP-adres dat niet expliciet is opgenomen.
Voorbeeld SPF record
v=spf1 ip4:192.0.2.0/24 include:_spf.google.com -all
Dit autoriseert het bereik 192.0.2.0/24 en alle servers gepubliceerd in Google's SPF include, en weigert (-all) alle anderen.
SPF authenticeert alleen het envelop-afzenderdomein — het authenticeert niet de zichtbare "From:"-header die aan gebruikers wordt getoond. Voor volledige e-mailbeveiliging combineert u SPF met DKIM en DMARC.
WarningSPF heeft een limiet van 10 DNS-lookups volgens RFC 7208. Het overschrijden hiervan (gewoonlijk door te veel
include:-statements te keten) veroorzaakt een PermError, die de meeste ontvangers als een fout behandelen. Controleer uw lookup-aantal bij gebruik van meerdere e-mailservices van derden.
Gebruik de SPF generator tool om uw SPF record te bouwen en te valideren.