混合 SPF 记录

Question

我的 DNS 中有通常的 Google Apps SPF 记录：

v=spf1 include:_spf.google.com ~all

现在，由于我们使用的是 ZenDesk，我还应该添加：

v=spf1 include:support.zendesk.com ~all

它们是否应该像这样合并为一个：

v=spf1 include:_spf.google.com include:support.zendesk.com ~all

Answer 1

是的，这是正确的，除非_spf.google.com包含重定向（它没有）。在这种情况下，include:_spf.google.com应将其移至列表末尾以避免将包含后的所有条目替换为redirect

此外，请注意 RFC ( IETF RFC4408 ) 指定最多应允许 10 次 MX 或 PTR 查找，之后应终止对单个记录的验证。这是为了确保 SPF 解析器不会陷入无休止的查找场景（潜在的 DoS）。

这在现实生活中如何应用？
假设两者都包含使用“mx”机制，并且每个包含 6 个不同的 MX 记录。现在，当第一个 include ( _spf.google.com) 处理完毕后，可以这么说，您只剩下 4 次查找了。如果正在验证的 MTA 位于第二个包含 ( support.zendesk.com)的最后 2 个不同 MX 记录中，则即使您已正确包含所有记录，验证实际上也可能会失败。

对于上述情况，情况并非如此，但值得考虑，因为并非所有公司在设计其 SPF 结构时都会考虑这一点。只需尝试查找 ebay.com 的 TXT，并尝试计算可能导致的查找次数；-)