Il server ricevente confronta il dominio del mittente envelope (MAIL FROM, detto anche Return-Path) con il record SPF. Meccanismi come ip4:, a, mx e include: elencano i mittenti ammessi; il finale -all o ~all dice cosa fare con tutti gli altri.
SPF non controlla l'header From visibile: è DMARC a collegare le due cose. L'inoltro rompe SPF, perché il server che inoltra non è nel record del mittente originale.
Errori più comuni: più di 10 lookup DNS a causa di include: annidati (risultato permerror), due record SPF sullo stesso dominio e mittenti dimenticati come strumenti di newsletter o il CRM.
Esempio
v=spf1 mx include:spf.protection.outlook.com -all