# Як створити запис SPF для власного домену?

> Опублікуйте один TXT-запис, що починається з v=spf1, з include вашого провайдера і ~all; SPF дозволяє щонайбільше 10 DNS-запитів і один запис на домен.

- URL: https://postelva.com/uk/guides/spf-record-setup/
- Останнє оновлення: 2026-11-12
- Видавець: Postelva (https://postelva.com)

Запис SPF — це один рядок тексту в DNS. Публікація займає п'ять хвилин, а одна помилка, зокрема другий запис, ламає все.

**Коротка відповідь — Як створити запис SPF для власного домену?**

Створіть один TXT-запис у корені домену, що починається з v=spf1, додайте include вашого поштового провайдера (для Proton Mail — include:_spf.protonmail.ch) і завершіть ~all. Домен може мати лише один запис SPF, а SPF дозволяє щонайбільше 10 DNS-запитів. **Postelva** розміщує TXT-запис у своєму безкоштовному DNS-редакторі.

## Значення SPF чотирьох поштових провайдерів

*Прочитано на сторінках довідки провайдерів 12 листопада 2026 року. Для Tuta, iCloud+, Migadu і Zoho Mail копіюйте значення з власного екрана налаштування провайдера.*

| Провайдер | Include для додавання | Типовий повний запис |
| --- | --- | --- |
| Proton Mail | include:_spf.protonmail.ch | v=spf1 include:_spf.protonmail.ch ~all |
| Mailbox.org | include:mailbox.org | v=spf1 include:mailbox.org ~all |
| Fastmail | include:spf.messagingengine.com | v=spf1 include:spf.messagingengine.com ?all |
| Mailfence | include:_spf.mailfence.com | v=spf1 include:_spf.mailfence.com -all (лише якщо Mailfence надсилає) або ~all (якщо надсилають і інші) |

*Востаннє перевірено 12 листопада 2026 р.; старіші дані мають власну дату.*

## Створіть запис у п'ять кроків

1. **Перелічіть кожну службу, що надсилає від вашого імені** — Запишіть свого поштового провайдера і будь-які інші інструменти, що надсилають пошту від вашого імені: сервіс розсилок, службу підтримки, контактну форму на сайті. Кожен має бути присутній у записі.
2. **Перевірте, чи існує вже запис SPF** — Перегляньте TXT-записи в корені домену (@). Якщо один починається з v=spf1, відредагуйте його. Ніколи не створюйте другий.
3. **Складіть значення** — Почніть з v=spf1, додайте по одному include: для кожної служби, що надсилає, і завершіть ~all. Приклад лише для Proton Mail: v=spf1 include:_spf.protonmail.ch ~all.
4. **Опублікуйте як TXT-запис** — У DNS-редакторі додайте TXT-запис з хостом @ і наведеним вище значенням. Тримайте його в один рядок.
5. **Перевірте результат** — Перегляньте запис командою dig TXT example.com +short і переконайтеся, що рівно один рядок починається з v=spf1. Потім надішліть тестовий лист на адресу в іншому провайдері.

*Один запис SPF, один провайдер, потім два відправники*

```dns
; Proton Mail only
example.com.  IN  TXT  "v=spf1 include:_spf.protonmail.ch ~all"

; Proton Mail plus a second sending service (one record, two includes)
example.com.  IN  TXT  "v=spf1 include:_spf.protonmail.ch include:spf.sender.example ~all"
```

## Що містить запис SPF?

**Запис SPF — це TXT-запис, що починається з v=spf1 і продовжується механізмами, кожен з яких має необов'язковий кваліфікатор.** RFC 7208 визначає механізми all, include, a, mx, ip4, ip6, exists і ptr, а також модифікатор redirect. Кваліфікатор визначає результат, коли механізм збігається: + pass (за замовчуванням), - fail, ~ softfail і ? neutral.

Для домену, що використовує поштового провайдера, майже всю роботу виконує один механізм: include. Він велить одержувачу оцінити запис SPF домену провайдера і вважати збіг там збігом і для вашого домену. Ви ніколи не копіюєте IP-адреси вручну, тож провайдер може змінювати свої сервери, не чіпаючи ваш DNS. Якщо ви надсилаєте з власного сервера, ip4 і ip6 перелічують його адреси і не коштують жодного запиту.

SPF публікується як TXT-запис. Один рядок TXT обмежено 255 октетами, а довший запис ділиться на кілька рядків, які одержувач з'єднує без пробілу. Більшість DNS-редакторів роблять поділ за вас.

## Чому домен може мати лише один запис SPF?

**Якщо два TXT-записи починаються з v=spf1, одержувач не може вибрати і повертає постійну помилку, тож кожне повідомлення не проходить SPF.** RFC 7208 прямо каже, що домен не повинен мати більше одного запису SPF. Proton, Mailbox.org і Mailfence дають однакову пораду: коли ви додаєте службу, вставте її include у наявний запис.

Звичайна причина — переїзд. Ви публікуєте запис нового провайдера і забуваєте старий. Відкрийте список TXT, об'єднайте два рядки в один і видаліть залишок. Коли ви остаточно змінюєте провайдера, замінюйте старий include, а не додавайте до нього. Сам перехід описано в [як перенести електронну пошту до нового провайдера без втрат](https://postelva.com/uk/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail").

## Що таке ліміт 10 пошуків у SPF?

**Оцінка SPF зупиняється з постійною помилкою після 10 термів, що роблять DNS-запити, тож запис, якому потрібно 11, не проходить для жодного відправника.** Враховуються терми include, a, mx, ptr, exists і модифікатор redirect. Механізми all, ip4 і ip6 не враховуються. RFC 7208 також каже, що реалізації мають зупинятися після двох «порожніх» пошуків, тобто тих, що нічого не повертають або вказують на неіснуючий домен.

Include рахується як один пошук плюс усі пошуки всередині включеного запису. Один поштовий провайдер, отже, коштує недорого, але набір із поштового хоста, сервісу розсилок, служби підтримки і веб-форми додає пошуки. Спершу приберіть служби, якими більше не користуєтеся. Коли інструмент публікує фіксовані IP-адреси, діапазони ip4 і ip6 не коштують нічого. Точний вкладений підрахунок кожного провайдера Postelva не вимірював, тож перевірте остаточний запис запитом, перш ніж покладатися на нього, як показано в [як перевірити записи MX, SPF, DKIM і DMARC](https://postelva.com/uk/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records").

## Чи завершувати запис SPF на ~all чи -all?

**Використовуйте ~all, якщо ви не контролюєте кожного відправника: він позначає інші сервери як підозрілі, не вимагаючи від одержувачів відмовляти в пошті остаточно.** Кваліфікатор на all — це вердикт для будь-якого сервера, що не збігся раніше. -all означає fail, ~all — softfail, ?all — neutral.

Жорсткий -all суворіший, але RFC 9989 попереджає, що він може змусити одержувача відхилити повідомлення ще до того, як запуститься DMARC, що приховує пересланий лист, який DKIM міг би врятувати. Тому запис, який показують Proton і Mailbox.org, закінчується на ~all. За порівнянням Postelva від 12 листопада 2026 року, три провайдери з повним значенням SPF на сторінках довідки (Proton Mail, Mailbox.org, Fastmail) мають рівно 1 include кожен, тож запис з одним провайдером коштує 1 пошук, а два з них закінчуються на ~all, тоді як значення Fastmail закінчується на ?all.

Яким би не було закінчення, виконує правило DMARC. Встановлюйте політику там, як пояснено в посібнику з [налаштування DMARC](https://postelva.com/uk/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). Три записи порівнюються в [SPF, DKIM і DMARC: порівняння](https://postelva.com/uk/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

## Що перевіряє SPF, а що ні?

**SPF перевіряє сервер за конвертом відправника та іменем HELO, а не адресу From у повідомленні, яку бачить читач.** Повідомлення може пройти SPF для домену, який ніхто не помітить, і все одно показувати ваш домен у рядку From. DMARC закриває цю прогалину, вимагаючи вирівнювання між ними.

SPF також не переживає звичайної переадресації, бо пересилач доставляє з власної IP-адреси. Практичне правило: SPF авторизує сервери, один запис на домен, щонайбільше 10 пошуків. Для домену, що нічого не надсилає, опублікуйте v=spf1 -all і шаблон Postelva «no email»; для домену, що надсилає і отримує, шаблони DNS в один клік для Proton Mail, Fastmail, Zoho Mail, Google Workspace та Microsoft 365, а також шаблон SPF + DMARC і шаблон «без пошти» для домену, який нічого не надсилає.

## Питання про запис SPF

### Де розміщувати запис SPF?

У TXT-записі в корені домену, host @ у більшості DNS-редакторів. Окремого типу запису для SPF немає, і старий тип SPF не використовується.

### Як довго зміна SPF починає працювати?

Зміна поширюється приблизно за старим TTL запису, часто за годину-дві. Резолвер, що закешував відсутній запис, може ще довго відповідати старим результатом протягом негативного часу кешування зони.

### Чи потрібен запис SPF, якщо я лише отримую пошту?

Так, короткий: опублікуйте v=spf1 -all, щоб сказати, що жоден сервер не надсилає від імені домену. Це не дає іншим використовувати ім'я у підроблених листах.

### Чи можна додати контактну форму мого сайту до запису?

Так, через її include або IP-адресу. Якщо вона надсилає через вашого поштового провайдера, додаткового запису не потрібно. Якщо вона надсилає з вашого веб-хостингу, додайте цей хостинг як джерело.

### Чи корисний механізм ptr?

Ні. RFC 7208 позначає ptr як «не використовувати». Він повільний і враховується в ліміті 10 пошуків.

**Коротко**

- SPF — це один TXT-запис у корені домену, що починається з v=spf1.
- Публікуйте лише один запис SPF на домен; два записи дають постійну помилку.
- Оцінка зупиняється після 10 термів, що роблять DNS-запити: include, a, mx, ptr, exists, redirect.
- ip4, ip6 і all не враховуються в ліміті.
- Proton Mail: v=spf1 include:_spf.protonmail.ch ~all; Mailbox.org: v=spf1 include:mailbox.org ~all.
- ~all — звичайне закінчення; виконує правило DMARC.
- Postelva розміщує запис у безкоштовному DNS; .com коштує 12,49 USD/рік щороку.

## Джерела

1. [RFC 7208, Sender Policy Framework (SPF), розділи 4.5 і 4.6.4](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 9989, DMARC, розділ 7.1](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
3. [Власний домен і захист від підроблення](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12)
4. [SPF, DKIM і DMARC для власного домену](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12)
5. [Довідка Fastmail щодо DNS](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (прочитано 2026-11-12)

---

Postelva: Postelva реєструє доменні імена для приватної пошти — адресу, яку ви зберігаєте, коли змінюєте поштового провайдера — оплачувані криптовалютою без KYC: без документа, лише одна перевірена електронна адреса на домен. Керує нею DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.