Tjek SPF: hvem må sende e-mails i dette domænes navn?

SPF er den DNS-post, hvor et domæne opremser de servere, der må sende dets e-mails. Uden den, eller med en, der er defekt eller for åben, er det lettere at sende falske e-mails i domænets navn. Indtast et domæne, en e-mailadresse eller et link, så læser vi dets SPF og forklarer den.

Tilføj som foretrukken kilde Hent påGoogle Play Hent påApp Store

Sådan bruger du det

Skriv det domæne, du vil tjekke, eller indsæt en e-mailadresse eller et link: vi bruger kun domænet.
Tryk på »Tjek SPF«. Vi læser SPF-posten og følger hver include, sådan som en modtagerserver ville gøre.
Se på, hvordan posten slutter, og på antallet af opslag: det, du gerne vil se, er »-all« eller »~all« og 10 opslag eller færre.

Hvad hvert resultat betyder

Dette domæne har ingen SPF: Det angiver ikke, hvilke servere der må sende dets e-mails, hvilket gør det lettere at udgive sig for at være det. Hvis det er dit domæne, så offentliggør en SPF-post.
SPF-posten indeholder fejl: Modtagerservere kan ikke anvende den, så for dem har domænet ingen SPF. Signalerne nedenfor viser, hvad der er galt.
Alle kan sende e-mails i dette domænes navn: Posten slutter med »+all«, som godkender alle servere i verden. Sat sådan op beskytter SPF ingenting.
SPF beskytter ikke domænet helt: Posten siger ikke, hvad der skal ske med servere, der ikke står på listen, så falske e-mails i domænets navn bliver ikke markeret.
SPF er sat korrekt op: Domænet opremser de servere, der må sende dets e-mails, og beder modtagerservere om at markere eller afvise resten. SPF alene stopper ikke efterligning: det er DMARC, der fortæller modtagerservere, hvad de skal gøre.

Hvad hvert signal betyder

Domænet offentliggør ingen SPF-post.
Et domæne (dette eller et inkluderet) offentliggør mere end én SPF-post. Kun én er tilladt, så modtagerservere behandler det som en fejl.
Posten har et led, der er skrevet forkert, så modtagerservere behandler den som en fejl.
Posten kræver mere end 10 DNS-opslag, når alle dens include regnes med. Over 10 behandler modtagerservere den som en fejl.
En include peger på et domæne, der ikke har en SPF-post, så modtagerservere behandler posten som en fejl.
Dens include går i ring: et domæne ender med at inkludere sig selv.
Den slutter med »+all«: enhver server i verden må sende e-mails i dette domænes navn.
Den slutter med »?all«: den siger intet om servere, der ikke står på listen, så den beskytter ikke.
Den slutter med »~all«: e-mails fra andre servere markeres som mistænkelige, men afvises ikke. Det er den mest almindelige indstilling.
Den har intet »all« til sidst, så servere, der ikke står på listen, får et neutralt resultat og ingen beskyttelse.
Den bruger »ptr«, en langsom mekanisme, som standarden fraråder. Mange modtagerservere springer den over.
Den bruger makroer (led med %), der ændrer sig for hver besked, så vi kan ikke følge den del, og det reelle antal opslag kan være højere.

Hvilke lande det dækker

Virker med domæner fra alle lande. Vi læser posten, som modtagerservere gør (RFC 7208): dens mekanismer, hvordan den slutter, hver include og redirect op til 30 opslag, og dens antal DNS-opslag i forhold til grænsen på 10.

Vi læser domænets offentlige DNS-poster. Hvis du indtaster en e-mailadresse eller et link, er det kun domænet, der forlader din browser. Det domæne, du slår op, gemmes ikke.

Ofte stillede spørgsmål

Hvad er SPF?

Sender Policy Framework: en DNS-post, hvor et domæne opremser de servere, der må sende dets e-mails. Den server, der modtager en besked, tjekker, om den server, der leverede den, står på listen.

Hvad er bedst, »-all« eller »~all«?

»-all« beder modtagerservere om at afvise e-mails fra servere, der ikke står på listen; »~all« beder dem om at markere dem som mistænkelige. Begge beskytter, og mange domæner bruger »~all« og lader DMARC afgøre, hvad der skal ske. »+all« og »?all« beskytter ikke.

Hvorfor betyder grænsen på 10 opslag noget?

Hver include, a, mx, ptr, exists og redirect får modtagerserveren til at slå op i DNS. Hvis hele posten kræver mere end 10, behandles den som en fejl, og SPF holder op med at virke. Fjern tjenester, du ikke længere bruger, eller bed din udbyder om en enklere include.

Stopper SPF alene falske e-mails?

Nej. SPF tjekker den skjulte konvolutafsender, ikke den adresse, du ser i »Fra«. Det er DMARC, der forbinder de to og beder modtagerservere om at sætte e-mails, der ikke består tjekket, i karantæne eller afvise dem. Tjek også domænets DMARC.