SPF-checker

RFC 7208 gunt een ontvangende server tien DNS-lookups om een beleid te beoordelen. Elke include, a, mx, ptr, exists en redirect kost er één, en de includes waar je naar delegeert betalen uit hetzelfde budget. Ga je erover, dan stopt de beoordeling met een permanente fout.

Ontvangers behandelen een permerror alsof het domein helemaal geen SPF-record had. Het record kan elk van je verzenders correct noemen en toch niets beschermen — daarom is dit het meten waard in plaats van aannemen.

Omdat de kosten grotendeels niet van jou zijn. Een include geeft de telling door aan het record van iemand anders, en als die provider een verzender toevoegt, stijgt jouw totaal zonder dat er bij jou iets verandert.

Vervang de zwaarste includes door de ip4- en ip6-reeksen waar ze op uitkomen; adresmechanismen kosten niets. Haal providers weg waar je niet meer via verstuurt: een dode include kost nog steeds een lookup. Biedt een provider een lichtere include aan, neem die.

Begin met ~all (softfail) zolang je controleert of alle legitieme verzenders erin staan, en scherp aan naar -all zodra je DMARC-rapporten schoon zijn. Nooit +all: dat machtigt het hele internet om als jouw domein te versturen.

Nee. SPF zegt wie er mag versturen; DMARC is wat ontvangers opdraagt te handelen als een controle mislukt, en wat jou rapporteert wie er namens jouw domein verstuurt. SPF zonder DMARC kost een vervalser meestal niets.