Docs
Sender Policy Framework, oftewel SPF, is een allowlist voor uitgaande mail die in DNS staat. Je publiceert een TXT-record dat zegt welke servers namens jouw domein mogen versturen, en ontvangende mailsystemen kunnen die claim controleren.
SPF controleert of de verzendende server het domein in de SMTP-envelopidentiteit mag gebruiken. Het helpt ontvangers om vervalste mail te weigeren of te markeren, maar beschermt op zichzelf niet de zichtbare From-header zoals DMARC-uitlijning dat doet.
In de praktijk is SPF één laag van moderne e-mailauthenticatie, naast DKIM en DMARC. Is SPF kapot, dan kan echte mail niet aankomen. Is SPF te ruim, dan krijgt vervalste mail meer bewegingsruimte.
Dit zijn de onderdelen die je het vaakst in een echt SPF-record tegenkomt.
| Mechanisme | Betekenis |
|---|---|
| v=spf1 | Markeert de TXT-waarde als een SPF-beleid. |
| ip4: / ip6: | Staat mail toe vanaf specifieke IPv4- of IPv6-adressen of -reeksen. |
| include: | Delegeert een deel van je SPF-beleid aan het SPF-record van een ander domein. |
| a | Staat de IP's toe die de A- of AAAA-records van het domein teruggeven. |
| mx | Staat de IP's van de MX-hosts van het domein toe. |
| ~all | Soft fail: mail buiten het beleid is waarschijnlijk niet toegestaan. |
| -all | Hard fail: mail buiten het beleid is niet toegestaan. |
v=spf1 include:_spf.google.com include:sendgrid.net -all
Dit zegt: mail is toegestaan als die past binnen het SPF-beleid van Google Workspace of SendGrid. Al het andere hoort hard te falen.
RFC 7208 is de gezaghebbende SPF-specificatie, in april 2014 gepubliceerd door de RFC Editor. Die legt de syntaxis van een SPF-record vast, de evaluatieregels, de limiet van 10 lookups en de resultaatcodes die ontvangers gebruiken, zoals pass, fail, softfail, temperror en permerror.
Officiële bron: RFC Editor RFC 7208.
