Un enregistrement est une entrée TXT comme v=spf1 ip4:192.0.2.0/24 include:_spf.example.net mx -all. Les mécanismes (ip4, ip6, a, mx, include, exists, ptr, all) sont évalués de gauche à droite avec les qualificateurs + (pass, la valeur par défaut), - (fail), ~ (softfail) et ? (neutral) ; redirect= confie l’évaluation à un autre domaine. Les résultats possibles sont pass, fail, softfail, neutral, none, temperror et permerror.
SPF vérifie l’expéditeur d’enveloppe (RFC5321.MailFrom, l’adresse de rebond), et non l’en-tête From que voit l’utilisateur, si bien qu’à lui seul il n’empêche pas l’usurpation de l’expéditeur visible ; DMARC exige que le domaine de l’enveloppe soit aligné sur From. Le transfert casse SPF, car l’IP du serveur qui transfère ne figure pas dans l’enregistrement du domaine d’origine, sauf si ce serveur réécrit l’enveloppe (SRS).
L’évaluation peut déclencher au plus 10 termes qui interrogent le DNS (RFC 7208 §4.6.4), une limite que dépassent souvent les longues chaînes d’include des expéditeurs SaaS, ce qui produit un permerror. Un domaine devrait publier exactement un enregistrement SPF ; deux enregistrements donnent aussi un permerror.