SPF-post
Sender Policy Framework — en DNS-post som listar vilka servrar som har rätt att skicka e-post för en domän. Mottagande servrar kontrollerar den för att avslöja förfalskade avsändare. En av tre pelare (med DKIM och DMARC) mot e-postspoofing.
Mekanik: domänägaren publicerar en TXT-post i DNS (v=spf1 include:_spf.google.com ~all) som räknar upp godkända sändande IP/servrar. När ett mejl kommer in slår mottagaren upp avsändardomänens SPF-post och kontrollerar om det sändande serverns IP finns med — gör det inte det är mejlet troligen förfalskat. Begränsning: SPF kontrollerar bara "envelope from" (kuvertet), inte den synliga From-adressen användaren ser → en angripare kan passera SPF men ändå visa en falsk avsändare, och SPF bryts vid vidarebefordran. Därför räcker SPF inte ensamt — det kombineras med DKIM (signatur) och knyts ihop av DMARC (som faktiskt kontrollerar den synliga avsändaren och säger vad mottagaren ska göra). Grundläggande e-postautentisering. Hör ihop med DKIM och DMARC.