为第 3 方添加 SPF 记录，但我自己的域没有

Question

我们有第三方服务代表我们发送一些电子邮件。他们在外发电子邮件中使用我们的域名。他们要求我们为他们配置 SPF 记录。

我们目前没有为我们自己的域定义 SPF 记录，这与第 3 方“欺骗”的记录相同。

我担心的是，如果我们为第 3 方添加记录而没有定义我们自己的记录，那么来自我们服务器的邮件可能会被拒绝。

我的担心有效吗？

Answer 1

如果您没有 SPF 记录，那么接收者通常会安全失败并接受您的电子邮件（尽管这种情况已经开始发生变化）。一旦您提供 SPF 记录，您就必须包括所有合法的邮件发件人，否则未列出的邮件发件人可能会被视为可能的伪造来源。

严格来说，您可以包括~all或?all避免列出所有邮件发件人，但如果您这样做，除了测试它是否准确之外，您将无法从 SPF 记录中获得任何好处。

理想情况下，您的第三方已经拥有通用 SPF 记录，您只需将该include:spf.thirdparty.dom元素添加到您的记录中即可。如果他们不这样做，您可能很想为他们创建自己的记录并无论如何自己将其链接起来，这样您就可以轻松地进行管理。

例如，如果您是contoso.com：

thirdparty1.spf.contoso.com txt 'v=spf1 ... -all' # list their mail senders for you
thirdparty2.spf.contoso.com txt 'v=spf1 ... -all' # list their mail senders for you
spf.contoso.com txt 'v=spf1 ... -all'             # list your mail senders
contoso.com txt 'v=spf1 include:spf.contoso.com include:thirdpart1.spf.contoso.com include:thirdparty2.spf.contoso.com -all'

一些有用的资源：

• DMARC 包含了 SPF 和 DKIM，非常值得考虑。谷歌、雅虎和其他公司正在积极使用它来验证入站电子邮件，https://dmarc.org/overview/
• 设置 SPF 记录时的最佳实践列表，http://www.openspf.org/Best_Practices
• 尽管名称如此，但这是一个设置 SPF 记录的有用方法，http://www.openspf.org/FAQ/Common_mistakes

Answer 2

您可以将您的第 3 方服务放在 SPF 记录中，并为其他服务器设置中立规则：

?all

并至少包括您自己的邮件服务器：

+mx

在您的域上拥有 SPF 记录是一件好事。开始为其他人添加白名单和中立，当您拥有所有服务器的最新 SPF 记录时，您可以将默认值更改为失败 (-all) 或软失败 (~all)。

这里有一个很好的文档，openspf.org上还有很多其他有用的信息