ตรวจสอบ SPF

วัตถุประสงค์

ตรวจสอบระเบียน SPF ของโดเมน: เซิร์ฟเวอร์ใดส่งอีเมลในนามโดเมนได้ เซิร์ฟเวอร์อื่นทั้งหมดจะเป็นอย่างไร (“-all”, “~all”, “+all”) ต้องใช้การค้นหา DNS กี่ครั้งเมื่อเทียบกับขีดจำกัด 10 ครั้ง และ include ทุกรายการ

ข้อกำหนด

ทุกคนอ่านคู่มือเหล่านี้ได้โดยไม่ต้องมีบัญชี เครื่องมือบางอย่างต้องใช้ Pro ตามที่ระบุในแต่ละคู่มือ

SPF คือระเบียน DNS ที่โดเมนใช้ระบุเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งอีเมลของโดเมน หากไม่มีระเบียนนี้ หรือมีแต่เสียหรือเปิดกว้างเกินไป ก็จะส่งอีเมลปลอมในนามโดเมนนั้นได้ง่ายขึ้น พิมพ์โดเมน ที่อยู่อีเมล หรือลิงก์ แล้วเราจะอ่าน SPF ของโดเมนและอธิบายให้คุณเข้าใจ

วิธีใช้งาน

1. 1

   พิมพ์โดเมนที่ต้องการตรวจสอบ หรือวางที่อยู่อีเมลหรือลิงก์: เราใช้เฉพาะส่วนโดเมนเท่านั้น

2. 2

   กด “ตรวจสอบ SPF” เราจะอ่านระเบียน SPF และติดตาม include ทุกรายการ เหมือนที่เซิร์ฟเวอร์ผู้รับทำ

3. 3

   ดูว่าระเบียนลงท้ายอย่างไรและดูจำนวนการค้นหา: สิ่งที่ควรเห็นคือ “-all” หรือ “~all” และการค้นหาไม่เกิน 10 ครั้ง

ตัวอย่างสมมติ

v=spf1 include:_spf.example.com ~all

ทำความเข้าใจผลลัพธ์

โดเมนนี้ไม่มี SPF: โดเมนนี้ไม่ได้ระบุว่าเซิร์ฟเวอร์ใดส่งอีเมลของโดเมนได้ จึงถูกแอบอ้างได้ง่ายขึ้น หากเป็นโดเมนของคุณ ให้เผยแพร่ระเบียน SPF

ระเบียน SPF มีข้อผิดพลาด: เซิร์ฟเวอร์ผู้รับนำระเบียนนี้ไปใช้ไม่ได้ สำหรับเซิร์ฟเวอร์เหล่านั้นจึงเท่ากับว่าโดเมนไม่มี SPF สัญญาณด้านล่างจะบอกว่าผิดพลาดตรงไหน

ใครก็ส่งอีเมลในนามโดเมนนี้ได้: ระเบียนลงท้ายด้วย “+all” ซึ่งอนุญาตเซิร์ฟเวอร์ทุกเครื่องในโลก เมื่อตั้งค่าแบบนี้ SPF จะไม่ได้ป้องกันอะไรเลย

SPF ป้องกันโดเมนได้ไม่เต็มที่: ระเบียนไม่ได้ระบุว่าจะทำอย่างไรกับเซิร์ฟเวอร์ที่ไม่อยู่ในรายชื่อ อีเมลปลอมในนามโดเมนจึงไม่ถูกทำเครื่องหมาย

SPF ตั้งค่าไว้อย่างถูกต้อง: โดเมนระบุเซิร์ฟเวอร์ที่ส่งอีเมลของโดเมนได้ และขอให้เซิร์ฟเวอร์ผู้รับทำเครื่องหมายหรือปฏิเสธอีเมลจากเซิร์ฟเวอร์อื่น SPF อย่างเดียวหยุดการแอบอ้างไม่ได้: DMARC คือสิ่งที่บอกเซิร์ฟเวอร์ผู้รับว่าต้องทำอย่างไร

+all: เซิร์ฟเวอร์ใดก็ส่งได้ (อันตราย)

?all: ระเบียนไม่ได้ระบุอะไรเกี่ยวกับเซิร์ฟเวอร์เหล่านี้

~all: ถูกทำเครื่องหมายว่าน่าสงสัย

-all: ถูกปฏิเสธ

ไม่มี “all”: ระเบียนไม่ได้ระบุอะไรเกี่ยวกับเซิร์ฟเวอร์เหล่านี้

ข้อจำกัด

การแก้ไขปัญหา

ดูเหมือนว่านี่ไม่ใช่โดเมนสาธารณะ ลองพิมพ์แบบ example.com

DNS ไม่ตอบกลับภายในเวลาที่กำหนด ลองอีกครั้งในอีกไม่กี่วินาที

คุณตรวจสอบติดต่อกันหลายครั้งเกินไป รอสักหนึ่งนาทีแล้วลองอีกครั้ง

ใช้งานผ่าน API

อ่านระเบียน SPF ของโดเมนแบบเดียวกับเซิร์ฟเวอร์ผู้รับ (RFC 7208): ส่วนประกอบ (term) ต่าง ๆ การลงท้ายของระเบียน การค้นหา DNS ทั่วทั้งโครงสร้าง include เทียบกับขีดจำกัด 10 ครั้ง include ทุกรายการและแต่ละรายการเผยแพร่ SPF หรือไม่ รวมถึงปัญหาของระเบียนในรูปแบบสัญญาณ ไม่มีการจัดเก็บข้อมูลใด

ส่ง JSON body ไปยังเส้นทางของ tool นั้นโดยตรง หรือไปยัง POST /v2/tools โดยเพิ่มฟิลด์ tool ทั้งสองเส้นทางให้ผลลัพธ์เหมือนกัน

POST https://api.nocall.io/v2/spf-check
POST https://api.nocall.io/v2/tools  {"tool":"spf-check","domain":"example.com"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/spf-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"domain":"example.com"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/spf-check',
    method='POST',
    data=json.dumps({'domain': 'example.com'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/spf-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ domain: 'example.com' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "spf-check",
    "result": {
      "domain": "example.com",
      "domainAscii": "example.com",
      "found": true,
      "record": "v=spf1 include:_spf.google.com ~all",
      "recordCount": 1,
      "terms": [
        {
          "qualifier": "pass",
          "mechanism": "include",
          "value": "_spf.google.com"
        },
        {
          "qualifier": "softfail",
          "mechanism": "all",
          "value": null
        }
      ],
      "allResult": "softfail",
      "lookups": 1,
      "includes": [
        {
          "domain": "_spf.google.com",
          "found": true
        }
      ],
      "signals": [
        "softfail_all"
      ],
      "valid": true,
      "attention": false
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• เอกสารอ้างอิง API ↗

คำถามที่พบบ่อย

คู่มือที่เกี่ยวข้อง

• ตรวจสอบ DMARC
• ตรวจสอบ DKIM
• ค้นหาระเบียน MX