SPF

Analyse et génération, avec le compte réel des résolutions DNS déclenchées.

Construire un enregistrement

Les adresses sont placées avant les mécanismes a et mx : un expéditeur reconnu par son adresse ne déclenche alors aucune résolution.

Expéditeurs autorisés

Les adresses du domaine lui-même (mécanisme a)

Les serveurs de reception du domaine (mécanisme mx)

Adresses IP

Une par ligne. Notation CIDR acceptée. Ces mécanismes ne consomment aucune résolution DNS.

Prestataires (include:)

Un par ligne, sans le préfixe include:. Chacun coûte une résolution, et celles qu'il déclenche à son tour comptent aussi.

Traitement des autres expéditeurs

-all — rejeter — la seule valeur qui protège réellement

~all — accepter en marquant — pendant la mise en place

?all — ne rien conclure — équivaut à n'avoir aucune politique

Le mécanisme +all n'est pas proposé : il autorise le monde entier à usurper le domaine.