Poradnik · aktualizacja 05.11.2026

Co to jest SPF i jak napisać poprawny rekord

SPF to rekord TXT w DNS z listą serwerów, które mogą wysyłać pocztę z Twojej domeny. Jeden źle ustawiony rekord potrafi wysłać do spamu całą firmową pocztę albo w ogóle nie chronić przed podszywaniem.

Sprawdź swoją domenę za darmo

Jak wygląda rekord SPF

Przykład dla firmy z pocztą w Google Workspace i programem do faktur, który wysyła z własnego serwera:

v=spf1 include:_spf.google.com ip4:203.0.113.10 -all

v=spf1 zaczyna każdy rekord SPF.
include: dołącza listę serwerów dostawcy. Właściwą wartość podaje dostawca poczty w swojej dokumentacji.
ip4: i ip6: dopisują pojedyncze adresy albo zakresy.
a i mx dopuszczają serwery z rekordów A i MX domeny.
-all na końcu mówi: serwery spoza listy nie przechodzą SPF.

Końcówka "all"

-all (fail): poczta z serwerów spoza listy nie przechodzi SPF; odbiorca zwykle ją odrzuca albo ocenia jako podejrzaną. Docelowe ustawienie.
~all (softfail): poczta spoza listy jest tylko oznaczana. Dobre na czas przeglądu, gdy nie masz pewności, czy lista jest pełna.
?all (neutral): SPF nic nie mówi o obcych serwerach i nie chroni.
+all: każdy serwer na świecie może wysyłać pocztę w imieniu domeny. To najgorsze możliwe ustawienie.

Najczęstsze błędy

Dwa rekordy SPF. Domena może mieć tylko jeden rekord zaczynający się od v=spf1. Przy dwóch odbiorca zgłasza błąd trwały (permerror) i SPF nie przechodzi. Nowego dostawcę dopisuje się do istniejącego rekordu.
Ponad 10 odwołań DNS. Mechanizmy include, a, mx, ptr i exists oraz modyfikator redirect wymagają zapytań DNS, a specyfikacja (RFC 7208) dopuszcza najwyżej 10 takich elementów w jednym sprawdzeniu, wliczając te zagnieżdżone w rekordach dostawców. Trzy-cztery usługi potrafią przekroczyć limit i wtedy wynik to permerror. Dodatkowo więcej niż 2 odwołania do nazw, które nie istnieją, też może skończyć się błędem.
Brak jednego z nadawców: newslettera, sklepu, CRM-u, formularza na stronie. Ich wiadomości nie przechodzą SPF.
Mechanizm ptr. Jest przestarzały i powolny; lepiej go usunąć.

Czego SPF nie robi

SPF sprawdza adres nadawcy z koperty (MAIL FROM, później widoczny w nagłówku Return-Path) i nazwę serwera z powitania HELO, a nie adres z pola "Od", który widzi odbiorca. Dlatego sam SPF nie zatrzyma podszywania. Potrzebny jest jeszcze DKIM i DMARC: poradnik DMARC.

Swój rekord sprawdzisz narzędziem SPF: pokaże składnię, końcówkę all i liczbę odwołań DNS.