I record SPF si applicano a tutti i sottodomini?

Non riesco a vedere nulla nello standard SPF che implicherebbe che un record SPF copra anche tutti i sottodomini. Dato che i sottodomini sono talvolta gestiti da parti diverse (specialmente in organizzazioni più grandi come le università), non avrebbe molto senso includere implicitamente i sottodomini. E lo standard dice in sezione 4.4 :

4.4. Record Lookup
In accordance with how the records are published (see Section 3 above), a DNS query needs to be made for the <domain> name, querying for type TXT only.

"< dominio > nome" è qui il dominio della posta elettronica, non un dominio superiore.

SPF non si "arrotonda" al dominio organizzativo (questo è il termine di DMARC per ciò che si registra, immediatamente sotto il TLD / suffisso pubblico ). Quando SPF fa riferimento a un "dominio", significa il nome di dominio pienamente qualificato (FQDN, "host").

Puoi effettuare il rollover con un record DNS con caratteri jolly , quindi se controlli example.com con BIND :

*         IN  TXT     v=spf1 a 192.0.2.0/24 -all
@         IN  TXT     v=spf1 a mx 192.0.2.0/24 ~all

Ho scelto di rendere @ (il livello più alto) consentire lo scambio di mail e di essere più indulgente nei confronti dei relé mancanti (saranno SOFTFAIL) mentre qualsiasi altro host attiverà il jolly e invierà la posta ( A record, che influenza anche AAAA di IPv6), più il CIDR di rete consentito, con un FAIL più finale per gli elementi che non passano. Questo non è autorevole senza DMARC, che potrebbe anche essere impostato con un carattere jolly, se desiderato.