我尝试使用电子邮件营销服务配置/验证我的域 DNS。要验证 SPF，我应该添加一些代码。
我想使用各种服务，在他们提供的 TXT 中，最后，有些使用“-all”，有些使用“~all”，有些使用“?all” 比如：v=spf1 include:spf.mailjet.com include:spf.sendinblue.com mx ~all
我想知道两个这样的记录是否互斥，?all -all 和 ~all 有什么区别
【问题讨论】：
all 机制是 SPF 记录中列出的最后一个机制，它告诉检查器如果没有其他机制与传入的 IP 匹配，该怎么办。 -all 表示默认结果是硬失败，~all 表示“软失败”，表示这不是通过，但也不是硬拒绝（也许表明您应该将其放入垃圾邮件文件夹 - 尽管应该是 DMARC 的决定）。 ?all 表示它是“中性的”，相当于什么都没有。
当这样的服务推荐 ?all 时，他们是超级保守的，不想增加任何风险 - 这是一个“故障安全”选项，提供最小的中断，但也没有保护。我想说这会适得其反，最终只会让伪造发生，完全违背了使用 SPF 的全部意义。见my own service's recommendations。
“正确的方法”是使用~all 默认值，并将您的 DMARC 记录配置为要求 DKIM 和 SPF “通过”结果。这有一个历史原因：如果遇到-all，早期的 SPF 过滤器实现将完全停止电子邮件处理，而 DMARC 处理将没有机会做它的事情，所以给出一个软失败更安全，然后有DMARC 认为这是一个失败。
简而言之，如果您不使用 DMARC，请瞄准 -all，如果您是，请使用 ~all。
【讨论】：