配置SPF�?~all 还是 -all 差异是什么？我该用哪个？

SPF 记录�?~all（softfail）和 -all（fail）定义了未在 SPF 中明确允许的 IP 发信时的处理结果。RFC 7208 §2.5 定义了四种结果：pass、fail�?）、softfail（~）、neutral�?）。核心区别在于接收方 MTA 如何解读�?/p>

1. -all (fail)：声�?除列表中�?IP 外，其他所�?IP 都无权代表本域发�?。接收方 MTA 遇到 SPF 未通过的邮件可以拒绝（550 5.7.1）或�?DMARC 策略处理。最严格，也最容易被误伤——如果你漏配了一个发信来源，该来源发的所有邮件都会被拒�?br>2. ~all (softfail)：声�?列表以外�?IP 发信可能有问题，但我不强硬拒�?。接收方 MTA 会标记为 softfail（spf=softfail），通常不会直接拒绝，而是将邮件标记为可疑（可能进垃圾箱）。Gmail 等多数邮箱对 softfail 不拒收但降低信誉�?br>3. 推荐策略：大多数场景�?~all。原因：你的发信来源可能比你以为的多（第三方 CRM、客服系统、自动通知、打印扫码转发等）。用 -all 漏配一个来源就会导致业务邮件静默丢失。先�?~all 跑一段时间，通过 DMARC rua 报告确认所有合法来源都�?SPF 中覆盖后，再切换�?-all�?br>4. 过渡步骤�?br>   - 阶段1�?-3个月）：v=spf1 mx include:_spf.google.com ~all，收�?DMARC 报告
  - 阶段2：分�?rua 报告，把遗漏的合法来源补充到 SPF
  - 阶段3：确认无遗漏后改�?-all
5. 验证命令�?code>nslookup -type=txt yourdomain.com 确认 SPF 记录末尾是哪�?all�?/p>