我并不是一个电子邮件专家，所以请原谅我缺乏正确的术语。
我对 SPF 的理解是，接收邮件的邮件服务器将查看返回路径域，并通过检查 DNS 中的 SPF 记录来检查发送该邮件的服务器是否被授权。但这如何与 Office 365 等“云电子邮件”解决方案配合使用？
例如，我的域使用 Office 365 Exchange Online 发送电子邮件。对于 SPF，我们有记录v=spf1 include:spf.protection.outlook.com -all。这是否授权任何 Office 365 用户（即使是我域外的用户）以我域内用户的身份向其 Office 365 邮件服务器提交带有返回路径的邮件并让其通过 SPF？毕竟，我已授权所有 protection.outlook.com 服务器作为有效发件人，对吧？或者 Office 365 是否使用其他身份验证机制来防止这种欺骗？
我试图解决的具体问题是，我的一个用户收到了一封我们怀疑是垃圾邮件的电子邮件，这封邮件似乎是来自他们的一个联系人。当我查看电子邮件标题时，我看到 SPF 已通过，并且返回路径与电子邮件中的“发件人”相匹配，作为实际联系人的电子邮件地址。联系人使用 Office 365 发送电子邮件，其域的 SPF 授权所有 proptection.outlook.com 服务器作为有效发件人。这是什么意思？这是否意味着他们的电子邮件帐户已被盗用？或者返回路径是否仍然可以被欺骗并在 Office 365 上传递 SPF？
答案1
SPF 绝不是一个完美的系统，它仅仅是您反欺骗工具箱和其他人的反垃圾邮件工作中的一个附加工具。
您的 SPF 记录将（假设人们的入站服务器具有 SPF 检查）阻止来自 Microsoft Office 365 电子邮件系统之外的任何欺骗。SPF 方面的 Office 365 用户可以肆意互相欺骗。
您的 SPF 记录绝不是无用的 - 它会减少以您的名义非法发送的电子邮件数量，但不会将其减少到零。
真正防止欺骗的唯一方法是拥有自己的外发电子邮件服务器 (mail.yourdomain.com) 并将其包含在 SPF 记录中，前提是每个人都进行了 SPF 检查。不幸的是，对于大多数人来说，这是一个非常理论化的设置，因为最终您必须授权不同的提供商代表您发送电子邮件（即 MailChimp、Freshdesk 等），并且允许他们的用户（SPF 方面）欺骗您的电子邮件地址。
简而言之：SPF 无法阻止来自 Office 365 用户的欺骗，因为这在您的 SPF 记录中（这是正确的）。