SPF-запись — это TXT-запись, например v=spf1 ip4:192.0.2.0/24 include:_spf.example.net mx -all. Механизмы (ip4, ip6, a, mx, include, exists, ptr, all) вычисляются слева направо с квалификаторами + (pass, по умолчанию), - (fail), ~ (softfail) и ? (neutral); redirect= передаёт вычисление другому домену. Возможные результаты: pass, fail, softfail, neutral, none, temperror и permerror.
SPF проверяет отправителя конверта (RFC5321.MailFrom, адрес возврата), а не видимый пользователю заголовок From, поэтому сам по себе не защищает от подделки отправителя в этом заголовке; DMARC требует, чтобы домен конверта был выровнен с From. Пересылка ломает SPF, потому что IP пересылающего сервера отсутствует в записи исходного домена, если только пересылающий сервер не перезаписывает конверт (SRS).
При вычислении может сработать не более 10 элементов с DNS-запросами (RFC 7208, § 4.6.4), и длинные цепочки include сторонних отправителей (SaaS) часто превышают этот предел, что даёт permerror. Домену следует публиковать ровно одну SPF-запись: две записи тоже дают permerror.