郵件伺服器 SPF 機制：原理、重要性與實作指南

SPF（Sender Policy Framework，寄件者政策架構）是一項反垃圾郵件機制，其核心功能是讓收信端郵件伺服器根據郵件中寄件者的網域資訊，主動向寄信端所屬的 DNS 伺服器查詢 SPF 記錄，並依據比對結果決定是否接收該郵件。此機制不受 SMTP、IMAP、POP3 等郵件伺服器類型限制，具有通用性。

為何需要 SPF？

網路上常見詐騙手法：垃圾郵件發送者盜用他人郵箱地址發信以避免退信；詐騙集團冒充他人身分隱藏行蹤；電腦病毒隨機使用郵箱地址模糊來源；駭客偽裝成好友竊取機密。這些行為的共同點是「偽造寄件者地址」。

SPF 機制要求寄信端在 DNS 中發布「授權寄送 IP 清單」（即 SPF 記錄），收信端驗證來源 IP 是否在授權清單中。若不符合，可判定為偽造郵件並拒收或標記為垃圾郵件。這相當於寄信端出示「良民證」，收信端向官方機關（DNS）核實身分。

如何建立 SPF 記錄？

對於大多數中小企業使用固定 IP 的 ADSL 環境，SPF 記錄只需一行簡單設定即可涵蓋大多數需求：

v=spf1 a mx ptr ~all

• v=spf1：SPF 版本 1
• a：允許網域 A 記錄指向的 IP 寄信
• mx：允許網域 MX 記錄指向的郵件伺服器 IP 寄信
• ptr：允許反向解析指向該網域的 IP 寄信
• ~all：軟性失敗，其他來源視為可疑但不直接拒收（建議初期使用；確認無誤後可改 -all 硬性拒絕）

進階設定範例

• 指定特定 IP：v=spf1 ip4:203.0.113.5 ip6:2001:db8::1 a mx ~all
• 包含第三方郵件服務（如 Google Workspace）：v=spf1 include:_spf.google.com a mx ~all
• 多機制組合：v=spf1 a mx ip4:192.0.2.0/24 include:spf.protection.outlook.com -all

驗證與除錯

1. 使用 dig txt example.com 或 nslookup -type=txt example.com 查詢 SPF 記錄是否生效。
2. 線上工具：Kitterman SPF Validator、MXToolbox。
3. 寄送測試郵件至 Gmail、Outlook 等，檢視郵件標頭中的 Received-SPF 與 Authentication-Results 欄位。

注意事項

• SPF 記錄長度不得超過 255 字元，單一查詢不得超過 10 次 DNS 查詢（包含 include、a、mx、ptr、exists、redirect）。
• 若超過查詢限制，需改用 ip4/ip6 直接列舉 IP 或拆分子網域。
• SPF 僅驗證「信封寄件者」（Envelope From / Return-Path），不驗證「信件標頭寄件者」（From:）。需搭配 DKIM、DMARC 才能完整防禦郵件偽造。