Generator rekordu SPF
Wygeneruj rekord SPF (Sender Policy Framework) dla swojej domeny. Zapobiegaj spoofingowi i phishingowi email. Składnia SPF, mechanizmy, testy. Bezpłatnie.
-
1Wprowadź dane
Wpisz treść, wklej tekst lub załaduj plik z dysku. -
2Kliknij przycisk
Narzędzie natychmiast przetworzy Twoje dane w przeglądarce. -
3Pobierz wynik
Skopiuj gotowy tekst lub zapisz plik na urządzeniu.
return "Wynik gotowy w 0.1s";
}
Długość rekordu
TXT w DNS dzieli się co 255 znaków
Zapytania DNS
limit oceny SPF to 10 zapytań
Mechanizmy
poza startem v=spf1
Fragmenty TXT
po 255 znaków w jednym rekordzie
Polityka końcowa
all na końcu lub redirect=
v=spf1 a mx ip4:203.0.113.10 ip4:203.0.113.0/24 ip6:2001:db8::/32 include:_spf.google.com ~all
| Mechanizm | Co robi | Zapytania DNS | Uwagi z silnika |
|---|---|---|---|
| v=spf1 | start każdego rekordu, zawsze pierwszy | 0 | doklejany automatycznie na początku rekordu |
| a[:domena] | serwery z rekordu A/AAAA domeny (własnej lub wskazanej) | 1 | bez domeny odnosi się do domeny rekordu |
| mx[:domena] | serwery z rekordów MX domeny | 1 | tyle zapytań, ile MX plus lookup domeny |
| ip4:adres[/maska] | pojedynczy adres lub blok IPv4 (maska 0-32) | 0 | silnik waliduje filter_var i zakres CIDR |
| ip6:adres[/maska] | pojedynczy adres lub blok IPv6 (maska 0-128) | 0 | nieprawidłowe wpisy są pomijane z ostrzeżeniem |
| include:domena | dołącza ocenę rekordu SPF innej domeny (dostawca) | 1 | wymaga prawidłowej nazwy DNS — walidowana regexem |
| exists:domena | dopasowanie, gdy domena ma rekord A (makra %%, typowe dla list blokowych) | 1 | mechanizm zaawansowany, wymaga domeny |
| ptr | weryfikacja odwrotna (PTR) nadawcy | 1 | niezalecany — silnik dodaje ostrzeżenie o wolności i nieprzewidywalności |
| redirect=domena | przenosi ocenę do rekordu innej domeny, gdy nic nie pasuje | 1 | zastępuje politykę all — silnik dodaje ostrzeżenie |
| ~all / -all / ?all / +all | polityka końcowa: softfail, hardfail, neutral, przepuszczenie | 0 | zawsze ostatni mechanizm rekordu |
Do limitu liczą się a, mx, include, exists, ptr i redirect=; ip4/ip6 oraz polityka all są sprawdzane bez zapytania DNS. Zagnieżdżone include (rekord dostawcy, który sam zawiera include) podbijają licznik w ocenie odbiorcy — szacunek narzędzia pokazuje minimum pierwszego poziomu.
| Scenariusz | Rekord / wyjście | Kiedy użyć |
|---|---|---|
| Minimalny (brak własnej wysyłki) | v=spf1 -all | domena nie wysyła poczty — blokuje podszycie się nadawcą |
| Typowy (domyślny przykład narzędzia) | v=spf1 a mx ip4:203.0.113.10 ip4:203.0.113.0/24 ip6:2001:db8::/32 include:_spf.google.com ~all | własny serwer + jeden dostawca (tu Google Workspace) |
| Z przekierowaniem | v=spf1 redirect=spf.example.net | zarządzanie listą serwerów w jednej wspólnej domenie |
| Wyjście „Plik zony” (fragmenty po 255) | @ IN TXT "v=spf1 a mx ip4:203.0.113.10 …" "…include:_spf.google.com ~all" | długie rekordy do pliku strefy BIND / panelu DNS |
Format „Wiersz DNS” dodaje etykiety Host/Typ/Wartość dla paneli DNS, a „Plik zony” dzieli wartość na cudzysłowowe fragmenty po 255 znaków: @ IN TXT "v=spf1 …" "…" — wszystkie fragmenty należą do tego samego rekordu TXT.
Warto wiedzieć — rekord SPF
Co weryfikuje SPF
Odbiorca poczty sprawdza rekord TXT domeny z adresu nadawcy (HELO/koperta) i pyta, czy IP serwera wysyłającego znajduje się na liście dozwolonych mechanizmów. SPF chroni domenkę koperty — nie treść ani nagłówek „Od”, dlatego łączy się go z DKIM i DMARC.
Limit 10 zapytań DNS
Każdy mechanizm a, mx, include, exists, ptr i redirect= kosztuje zapytanie (zagnieżdżone include swoje). Po dziesiątym ocena kończy się błędem PermError i rekord jest niejawny jako nieważny — lepiej użyć ip4/ip6 dla własnych serwerów i skrócić łańcuch include do niezbędnych dostawców.
~all, -all, ?all czy +all
~all (softfail) nie pasuje na ostro — bezpieczny start. -all (hardfail) każe odrzucić nieautoryzowaną pocztę — po przetestowaniu wszystkich źródeł. ?all jest neutralne, a +all przepuszcza świat i służy wyłącznie do testów. redirect= przenosi ocenę do rekordu innej domeny i wtedy zwykle rezygnuje się z all.
Wdrożenie i pułapki
Jeden rekord SPF na host (dyrektywa „v=spf1” może wystąpić raz), aktualizuj po zmianie dostawców mailowych, pamiętaj o ptr (niezalecany — wolny i nieprzewidywalny) oraz o limicie 255 znaków na string TXT — panel dzieli rekord, ale cały musi pozostać jednym rekordem. Narzędzie liczy na żywo, a eksport .txt zawiera dokładnie to, co wkleisz do panelu DNS.
Oceń to narzędzie:
Powiązane narzędzia
Inne narzędzia, które mogą Ci się przydaćGenerator rekordu SPF – ochrona poczty przed spoofingiem email
SPF (Sender Policy Framework) to rekord DNS TXT określający które serwery mają prawo wysyłać email w imieniu Twojej domeny. Bez SPF spamerzy mogą podszywać się pod Twoją domenę. Narzędzie tworzy poprawny rekord SPF na podstawie Twoich ustawień i weryfikuje składnię.
Czym jest SPF i jak działa
SPF: TXT rekord DNS dla domeny, np. v=spf1 include:_spf.google.com ip4:203.0.113.1 ~all. Mechanizm działania: (1) Email wysłany z serwera X w imieniu [email protected]. (2) Serwer odbiorcy odpytuje DNS: jaki jest rekord SPF domena.pl? (3) Sprawdza czy serwer X jest na liście. (4) Wynik: pass, fail, softfail, neutral. Wynik wpływa na decyzję o przyjęciu/odrzuceniu emaila.
Składnia rekordu SPF
v=spf1: wersja (zawsze spf1). Mechanizmy: ip4:x.x.x.x (konkretny IP), ip6:..., a (A record domeny), mx (MX record domeny), include:domena.com (delegacja do innego SPF), all (pozostałe). Kwalifikatory: + (pass, domyślny), - (fail), ~ (softfail), ? (neutral). Przykład: v=spf1 ip4:1.2.3.4 include:sendgrid.net -all. -all = odrzuć wszystkie inne.
SPF dla popularnych usług
Google Workspace: include:_spf.google.com. Microsoft 365: include:spf.protection.outlook.com. SendGrid: include:sendgrid.net. Mailchimp: include:servers.mcsv.net. Amazon SES: include:amazonses.com. OVH: include:mx.ovh.com. Hetzner: include:_spf.hetzner.com. Combinacja: v=spf1 include:_spf.google.com include:sendgrid.net ~all.
Limity i pułapki SPF
Max 10 lookups DNS: każdy include, a, mx = 1 lookup. Przekroczenie = permerror (SPF fail). Flatten SPF: zamień include na ip4/ip6 by zmniejszyć lookups. Max 2 void lookups (puste wyniki). Długość TXT record: max 255 znaków w jednym stringu, ale możliwe wiele stringów. Subdomen: SPF dla domena.pl nie obejmuje sub.domena.pl – potrzebny osobny rekord.
Najczęstsze pytania
Jaka jest różnica między -all, ~all i ?all?
-all (fail): odrzuć email z serwerów spoza listy. Rygorystyczne, może blokować legalne emaile z nieznanego serwera. ~all (softfail): oznacz podejrzany, ale dostarcz. Najczęstszy wybór na początku. ?all (neutral): brak oceny. +all (pass all): każdy może wysyłać – niebezpieczne! Zalecenie: zacznij od ~all, przejdź do -all gdy pewny że lista serwerów jest kompletna.
Co to jest DMARC i jak łączy się z SPF?
DMARC (Domain-based Message Authentication Reporting and Conformance): polityka co zrobić gdy SPF lub DKIM fail. Rekord: _dmarc.domena.pl TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]". Polityki: p=none (monitoruj), p=quarantine (spam folder), p=reject (odrzuć). SPF + DKIM + DMARC = pełna ochrona. DMARC wymaga alignment: From: domena = SPF/DKIM domena.
Jak przetestować rekord SPF?
dig TXT domena.pl | grep spf (Linux/Mac). nslookup -type=TXT domena.pl (Windows). Online: MXToolbox SPF Check, Mail-tester.com (wyślij email i sprawdź wynik). Testuj z konkretnego serwera: kmail-checker. Sprawdź nagłówki odebranego emaila: Authentication-Results: spf=pass lub spf=fail.
Ile czasu zajmuje propagacja rekordu SPF?
TTL rekordu DNS: zazwyczaj 300-3600 sekund (5-60 minut). Propagacja globalna: do 48 godzin w teorii, w praktyce 30 minut dla większości providerów. Podczas zmiany: ustaw TTL=300 godzinę przed zmianą by przyspieszyć propagację. Sprawdź propagację: dnschecker.org (wiele lokalizacji globalnych).
Czy SPF wystarczy do ochrony email?
SPF samo w sobie: ograniczone – chroni "envelope from", ale nie "header from" (widoczny dla użytkownika). Kompletna ochrona wymaga: SPF + DKIM (podpis kryptograficzny treści emaila) + DMARC (polityka i raporty). Google/Yahoo 2024: wymagają SPF + DKIM + DMARC dla bulk senderów (> 5000 email/dzień).
Powiązane narzedzia: generator rekordu DKIM, sprawdzanie rekordow DNS i tester naglowkow email.