SPF: механизмы, лимиты и типовые ловушки

Что проверяет receiving MTA

SPF-запись ограничивает число DNS-механизмов десяти — redirect и каждый include считаются за механизм с рекурсией. Практический предел — 10 DNS-lookup, дальше письмо уходит на permsoftfail.

Частые ошибки

• -all вместо ~all на домене без исходящей почты — законная защита от spoofing
• включённые сервисы (CRM, рассылки), чьи IP-диапазоны меняются — дублируйте явно через ip4
• второй TXT на уровень домена: SPF должен быть ровно один

Проверка

dig +short TXT example.com

Ищите строку v=spf1. Если сервисов несколько, начинайте с include:_spf.service.example ~all и переводите на -all после обкатки.