¿Qué cuantificador de SPF se aplica cuando se usa un SPF incluido?

Con el mecanismo include , la declaración SPF "incluida" no se incluye literalmente en la original, solo se usa el resultado. De la sección 5.2 de RFC 7208 :

  

En retrospectiva, el nombre "incluir" fue mal elegido. Sólo el      se utiliza el resultado evaluado del registro SPF al que se hace referencia , en lugar de      Incluyendo literalmente los mecanismos del registro referenciado en el      primero. Por ejemplo, evaluando una directiva "-todos" en la referencia      El registro no finaliza el procesamiento general y no      necesariamente resulta en un "error" general.

Esto significa que el resultado de la declaración SPF "incluida" se trata como match , not match o permerror similar a cualquier otra declaración SPF. El estándar incluso contiene explícitamente una tabla de cómo el resultado de la declaración SPF "incluida" afecta a la declaración principal:

+---------------------------------+---------------------------------+
| A recursive check_host() result | Causes the "include" mechanism  |
| of:                             | to:                             |
+---------------------------------+---------------------------------+
| pass                            | match                           |
|                                 |                                 |
| fail                            | not match                       |
|                                 |                                 |
| softfail                        | not match                       |
|                                 |                                 |
| neutral                         | not match                       |
|                                 |                                 |
| temperror                       | return temperror                |
|                                 |                                 |
| permerror                       | return permerror                |
|                                 |                                 |
| none                            | return permerror                |
+---------------------------------+---------------------------------+

Traduciendo la documentación a su ejemplo:

En el siguiente ejemplo, la IP del cliente es 1.2.3.4 y el dominio actual es example1.com.

v=spf1 include:example2.com -all

Si example2.com no tiene un registro SPF, el resultado es PermError.

Supongamos que el registro SPF de example2.com fuera v=spf1 a -all .

Busque el registro A para example2.com. Si coincide con 1.2.3.4, devuelve el Pase.

Si no hay ninguna coincidencia, aparte de example2.com's -all , la inclusión como un todo no coincide; el resultado final sigue siendo Error de la directiva externa establecida en este ejemplo.

Relaciones de confianza: el mecanismo include: está diseñado para cruzar los límites administrativos. Es necesario tener mucho cuidado para garantizar que los mecanismos include: no pongan a los dominios en riesgo de dar los resultados del paso de SPF a los mensajes que resultan de la falsificación entre usuarios. A menos que existan mecanismos técnicos en el otro dominio especificado para evitar la falsificación entre usuarios, los mecanismos include: deben dar un resultado Neutral en lugar de Pasar. Esto se hace agregando ? frente a include: . El ejemplo anterior sería:

v=spf1 ?include:example.com -all

Entonces, la confianza se transfiere al dominio "secundario" (y existen mecanismos para limitar ese impacto).