هر دو یعنی «هر فرستنده‌ای که در این رکورد نیامده، مجاز نیست» — تفاوت در شدت است:

• -all (hard fail) — به گیرنده می‌گوید این پیام قطعاً جعلی است، ردش کن.
• ~all (soft fail) — می‌گوید مشکوک است، ولی کاملاً ردش نکن؛ معمولاً به اسپم می‌رود.

توصیه‌ی عملی:

1. وقتی تازه SPF را راه‌اندازی کرده‌اید، با ~all شروع کنید. اگر فرستنده‌ای را جا انداخته باشید، ایمیل‌ها به‌کلی از بین نمی‌روند.
2. چند هفته گزارش‌های DMARC را بررسی کنید تا مطمئن شوید همه‌ی منابع ارسال قانونی در رکورد هستند.
3. بعد به -all تغییر دهید.

هدف نهایی -all است، چون محافظت واقعی در برابر جعل هویت دامنه را همان می‌دهد. ولی ماندن طولانی‌مدت روی ~all بهتر از رفتن زودهنگام به -all و از دست دادن ایمیل‌های واقعی است.

از +all هرگز استفاده نکنید — یعنی «هر کسی می‌تواند به نام من ایمیل بفرستد».