SPF配置疑问：~all是否存漏洞？如何解决域名仿冒邮件问题

问题真实性确认 #

你遇到的情况是真实的：

• 当前SPF记录v=spf1 mx ~all中的~all是软失败规则，它仅标记未授权IP发送的邮件，但不会强制拒收。大部分邮件服务商只会将这类邮件标记为可疑，部分宽松的服务器仍会投递到收件箱，这就给仿冒者提供了利用你域名发邮件的空间，你收到的自家域名可疑邮件正是由此产生。
• 主机服务商说“没问题”，是因为SPF记录语法本身合法，不会影响你方正常邮件的投递，但从反域名仿冒的安全性维度看，这个配置确实存在漏洞。

解决方法 #

1. 补全SPF授权范围 #

不要直接修改~all，先确保所有合法发送你域名邮件的源都被纳入SPF规则：

• 除了mx（对应你的邮件服务器），如果使用第三方邮件工具（比如邮件营销平台、CRM邮件功能），要添加include:第三方服务商的SPF域名；
• 如果有固定IP的内部邮件服务器，添加ip4:xxx.xxx.xxx.xxx（IPv6则用ip6:）。

2. 测试验证 #

修改SPF记录后，通过以下方式验证：

• 用dig yourdomain.com TXT命令查询SPF记录，确认语法正确；
• 发送测试邮件到不同服务商的邮箱（比如Gmail、Outlook），检查是否被正常接收，没有被标记为垃圾邮件。

3. 切换到硬失败(-all) #

确认所有合法发件源都被覆盖后，将~all替换为-all。此时，未授权IP发送的邮件会被收件服务器直接拒收，彻底阻断仿冒邮件的投递。

4. 配合DKIM和DMARC强化防护 #

单独的SPF不足以完全杜绝仿冒，建议同时配置：

• DKIM：给邮件添加数字签名，验证邮件内容未被篡改；
• DMARC：设置p=reject规则，要求收件服务器严格执行SPF和DKIM的验证结果，进一步拦截仿冒邮件。

内容的提问来源于stack exchange，提问作者Sudha Sathya