Nástroj zdarma · Bez registrace · Vše v prohlížeči
SPF generátor
Sestavte správný SPF záznam
Zaškrtněte služby, které z vaší domény odesílají, doplňte IP vlastních serverů a zvolte politiku. Dostanete hotový TXT záznam s kontrolou limitu 10 DNS dotazů a návodem, kam ho vložit. Nic se neodesílá na server.
// jak SPF funguje
Příjemce vezme doménu z obálkové adresy odesílatele (Return-Path), načte její TXT záznam v=spf1 … a mechanismy prochází zleva doprava: ip4:/ip6: jsou konkrétní adresy, a a mx odkazují na A a MX záznamy domény, include: připojí SPF jiné domény (typicky odesílací služby). První shoda rozhoduje; když se nic neshoduje, platí koncové ~all nebo -all. Pro DMARC navíc musí doména Return-Path odpovídat doméně ve From (SPF alignment), což u mnoha služeb nevyjde, a DMARC se pak opírá o DKIM.
Poznámka: Hodnoty include předvolených služeb vycházejí z jejich veřejné dokumentace; pokud služba hostname změní, řiďte se její nápovědou. Počet vnořených DNS dotazů je odhad, skutečný stav ukáže
Kontrola domény.
Časté dotazy
Co je SPF záznam a k čemu slouží?+
SPF (Sender Policy Framework) je TXT záznam v DNS domény, který říká příjemcům, které servery smějí z této domény odesílat e-maily. Přijímací server se podívá na IP adresu, ze které e-mail přišel, a porovná ji se záznamem. Když IP v záznamu není, e-mail podle koncové politiky (~all nebo -all) dostane horší skóre nebo je odmítnut. SPF je spolu s DKIM a DMARC základní podmínka doručitelnosti u Gmailu, Seznamu i Microsoftu.
Můžu mít na doméně dva SPF záznamy?+
Ne. RFC 7208 vyžaduje právě jeden TXT záznam začínající v=spf1; při dvou a více příjemce vyhodnotí SPF jako trvalou chybu (permerror), tedy jako by SPF neexistovalo. Když přidáváte novou službu, upravte stávající záznam: vložte do něj další include: nebo ip4: před koncové ~all / -all. Generátor vám sestaví celý záznam se všemi službami najednou.
Co znamená limit 10 DNS dotazů?+
Mechanismy include, a, mx, ptr, exists a modifikátor redirect vyžadují další DNS dotaz, a to včetně include vnořených v include jiných služeb (například _spf.google.com sám spotřebuje čtyři). Celkem jich smí být nejvýše 10, jinak příjemce SPF ignoruje (permerror). Generátor počítá přímé mechanismy a u známých služeb odhaduje i vnořené; po nasazení ověřte skutečný počet nástrojem Kontrola domény. Řešení při překročení: odebrat nepoužívané služby, nahradit a/mx konkrétními ip4:, nebo odesílat marketing ze subdomény s vlastním SPF.
Mám použít -all nebo ~all?+
Při zavádění ~all (softfail): e-maily z neuvedených serverů projdou, jen s horším skóre, takže zapomenutá služba nepřestane fungovat. Jakmile DMARC reporty několik týdnů ukazují, že všechny legitimní zdroje jsou v záznamu, přepněte na -all (fail). ?all (neutral) nedoporučujeme, prakticky nic nechrání. Pro doménu, která e-maily vůbec neodesílá, použijte v=spf1 -all.
Jak dlouho trvá, než se změna SPF projeví?+
Podle TTL záznamu a registrátora: obvykle minuty, výjimečně až několik hodin. Změnu ověříte nástrojem Kontrola domény, který se ptá veřejných DNS resolverů (Cloudflare, Google), tedy vidí to, co uvidí příjemci. Pokud e-maily i po propagaci neprocházejí, zkontrolujte hlavičky doručeného e-mailu v Analyzátoru hlaviček: výsledek SPF a IP odesílajícího serveru jsou v hlavičce Authentication-Results.