为什么Amazon SES在当前的实现中不需要修改SPF？

Question

亚马逊当前的SES文档显示：

如果您使用AmazonSES从您的域发送邮件，您需要知道当前的SES实现涉及从SES拥有的邮件域发送电子邮件。这意味着您无需对DNS记录进行任何更改，即可使您的电子邮件通过SPF身份验证。

资料来源：http://sesblog.amazon.com/post/Tx3IREZBQXXL8O8/SPF-and-Amazon-SES

OpenSPF这样描述SPF：

什么是SPF？

SPF（在RFC 4408中定义）验证作为SMTP协议（RFC 2821-信封层）的一部分给出的HELO域和MAIL from地址。如果您在电子邮件客户端中选择“显示所有标题”选项，邮件发件地址通常显示为“html" target="_blank">返回路径”。域所有者通过DNS发布记录，这些记录描述了他们的策略，对于这些策略，机器被授权在SMTP协议的一部分HELO和MAIL from地址中使用他们的域。

来源：http://www.openspf.org/SPF_vs_Sender_ID

我不明白这两个人怎么配得上。

如果我当前的SPF记录如下所示：

v=spf1 mx a~all

（亚马逊不在我的MX记录中。）

我可以想象接受者得到。。。

HELO abc.smtp-out.amazonses.com
MAIL FROM: <[e-mail]>

...然后接收器会得到“mydomain.com”SPF TXT记录，并说，“嘿，abc.smtp-out.amazonses.com没有列出，因此SPF=FAIL。”

我有什么误会？

P. S.亚马逊SES似乎曾经让你在防晒霜记录中添加“包括：amazonses.com”，这对我来说非常有意义。来源：如何知道SPF配置是否有效（亚马逊SES/Route53）？

Answer 1

因此，您引用的SPF记录不涉及，因为亚马逊SES使用的邮件发件地址不是您域名上的地址。

假设你有一封通过Amazon SES发送的电子邮件，打开它并查看返回路径地址。它将是亚马逊拥有的某个域名的地址（可能是amazonses.com，可能是其他地址）。这是亚马逊拥有的域的MX和SPF记录，用于分别确定接收跳转消息的MTA和授权消息的SPF标识。

因此，亚马逊消息的接收者永远不会检查“来自”域（mydomain.com）的SPF记录，因此它不需要添加到mydomain.com的SPF记录中。事实上，添加它可能是有害的，因为SPF中有10个域查找限制（当评估消息的SPF结果时，接收者应该只发出总共10个DNS请求）。

验证Amazon SES原始电子邮件的正确方法是使用Easy DKIM。这确保电子邮件经过身份验证，并且身份验证使用与发件人相同的域。这确保了电子邮件可以通过DMARC进行身份验证