SPF পরীক্ষক কী করে
এটি আপনার দেওয়া ডোমেইনের TXT রেকর্ড পড়ে এবং v=spf1 দিয়ে শুরু হওয়া রেকর্ডটি বেছে নেয়। এরপর গ্রহণকারী সার্ভারের মতো করে প্রতিটি include ও redirect অনুসরণ করে, DNS কোয়েরি লাগে এমন প্রতিটি লুকআপ নথিভুক্ত করে এবং প্রতিটি টার্মের সিনট্যাক্স পরীক্ষা করে।
এখানে কোনো IP ঠিকানা ব্যবহৃত হয় না। এখানে প্রশ্ন হলো, রেকর্ডটি বৈধ কি না এবং যেকোনো মূল্যায়নকারী সার্ভারের জন্য এর DNS খরচ সীমার মধ্যে আছে কি না, কোনো নির্দিষ্ট সার্ভার পাঠাতে পারবে কি না তা নয়। সেটি জানতে পূর্ণ পরীক্ষার মাধ্যমে একটি বার্তা পাঠান। প্রতিবেদনে গ্রহণকারী সার্ভার আসলে যে ফল পেয়েছে তা দেখানো হবে।
অতিরিক্ত DNS লুকআপ: সর্বোচ্চ দশটি
RFC 7208 অনুযায়ী, DNS কোয়েরি লাগে এমন সর্বোচ্চ দশটি টার্ম পর্যন্ত একটি SPF মূল্যায়ন করা যায়: include, a, mx, ptr, exists এবং redirect। পুরো ট্রিজুড়ে এই সংখ্যা গণনা করা হয়। তাই কোনো include নিজে আরও তিনটি include করলে মোট চারটি লুকআপ ব্যবহৃত হয়। সীমা ছাড়ালে ফল হয় permerror, যাকে DMARC SPF পাস না করা হিসেবে গণনা করে।
পরীক্ষক প্রতিটি টার্ম গণনা করে, এমনকি মূল্যায়নের সময় যেগুলোতে কখনো পৌঁছানো নাও হতে পারে সেগুলোও। কারণ বাস্তব মূল্যায়ন প্রথম মিল পাওয়ার পর থেমে যায়। তালিকার শুরুর দিকের সার্ভারগুলো পাস করতে থাকে, আর পরের দিকেরগুলো ব্যর্থ হতে শুরু করে। বাইরে থেকে এটি এমন দেখায় যেন কিছু বার্তার ক্ষেত্রে ইমেল কাজ করছে, অন্যগুলোর ক্ষেত্রে করছে না।
ip4 ও ip6 টার্মের জন্য কোনো লুকআপ খরচ হয় না। include-এর বদলে ঠিকানার রেঞ্জ ব্যবহার করলে, যাকে flattening বলা হয়, লুকআপের সংখ্যা কমে। তবে তখন প্রদানকারীদের পরিবর্তনের সঙ্গে মিল রেখে ওই রেঞ্জগুলো আপনাকে নিজে হালনাগাদ করতে হবে।
যেসব SPF ভুল খুঁজবেন
একটি ডোমেইনে দুটি SPF রেকর্ড। এটি ঘটে যখন দ্বিতীয় কোনো প্রদানকারীর সেটআপ নির্দেশিকায় নতুন রেকর্ড যোগ করতে বলা হয়, কিন্তু কেউ সেটিকে প্রথম রেকর্ডের সঙ্গে একত্র করে না। শুধু দুটি রেকর্ড থাকাই permerror সৃষ্টি করে।
রেকর্ডের শেষে +all থাকলে ইন্টারনেটের যেকোনো সার্ভার পাস করতে পারে। আর ?all কারও সম্পর্কে কোনো সিদ্ধান্ত দেয় না, তাই কোনো সুরক্ষা দেয় না। RFC 7208 অনুযায়ী ptr টার্ম ব্যবহার করা উচিত নয়। প্রতিষ্ঠান বহু বছর আগে ব্যবহার বন্ধ করেছে এমন পরিষেবার include-ও প্রতিটির জন্য একটি করে লুকআপ খরচ করে।
প্রশ্ন
SPF রেকর্ড দেখতে কেমন?
এটি ডোমেইনের একটি TXT রেকর্ড, যা v=spf1 দিয়ে শুরু হয়, কারা ইমেল পাঠাতে পারবে তা তালিকাভুক্ত করে এবং অন্য সবার জন্য একটি নিয়ম দিয়ে শেষ হয়। v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all Google Workspace ও একটি সার্ভারকে পাঠানোর অনুমতি দেয় এবং বাকিদের softfail করে। একটি ডোমেইন কেবল একটি SPF রেকর্ড প্রকাশ করতে পারে।
SPF softfail না hardfail: ~all না -all?
DMARC কার্যকর থাকলে দুটিই কাজ করে, কারণ কোনো মেসেজ ব্যর্থ হলে কী হবে তা DMARC নির্ধারণ করে। আপনার হয়ে ইমেল পাঠানো সব পরিষেবা খুঁজে বের করার সময় ~all (softfail) নিরাপদ বিকল্প। DMARC রিপোর্টে বৈধ কোনো ইমেল ব্যর্থ হচ্ছে না দেখা গেলে -all ব্যবহার করুন।
সম্পূর্ণ পরীক্ষায় আমার রেকর্ড pass করলেও এখানে দশটির বেশি lookup দেখায় কেন?
আপনার server-এর সঙ্গে মিলে যাওয়া প্রথম term-এই প্রাপক মূল্যায়ন থামিয়েছে, তাই বাকি অংশের lookup করতে হয়নি। তালিকার আরও নিচে থাকা অন্য কোনো server-এর ক্ষেত্রে একই মূল্যায়ন দশটি lookup ছাড়িয়ে গিয়ে ব্যর্থ হবে।
Void lookup কী?
এমন একটি DNS query, যা কোনো record ফেরত দেয় না বা এমন একটি নাম খোঁজে যার অস্তিত্ব নেই। RFC 7208 অনুযায়ী একটি মূল্যায়নে এমন দুটি query থাকতে পারে, তৃতীয়টি হলে permerror হয়। যেসব ডোমেইনের আর অস্তিত্ব নেই, সেগুলোর include সাধারণত এর কারণ।
একটি ডোমেইনে কি দুটি SPF রেকর্ড থাকতে পারে?
না। RFC 7208 অনুযায়ী v=spf1 দিয়ে শুরু হওয়া মাত্র একটি রেকর্ড থাকতে পারে। দুটি থাকলে প্রতিটি মূল্যায়ন permerror দিয়ে শেষ হয়। এগুলো একত্র করুন: একটি v=spf1 রাখুন, উভয় রেকর্ডের include ও ip4 টার্ম এতে যোগ করুন এবং একটি all দিয়ে শেষ করুন। v=spf1 include:_spf.google.com include:servers.mcsv.net ~all একটি রেকর্ডে দুই প্রদানকারীকে অন্তর্ভুক্ত করে।
সম্পূর্ণ নির্দেশিকা: Multiple SPF records
SPF permerror বলতে কী বোঝায়?
স্থায়ী ত্রুটি: প্রকাশিত অবস্থায় রেকর্ডটি মূল্যায়ন করা যায় না, তাই আবার চেষ্টা করলেও একই ফল পাওয়া যায়। সাধারণ কারণগুলো হলো দশটির বেশি DNS লুকআপ, একই ডোমেইনে দুটি SPF রেকর্ড, সিনট্যাক্স ত্রুটি এবং তৃতীয় void lookup। DMARC একটি permerror-কে SPF পাস না করা হিসেবে গণ্য করে।
সম্পূর্ণ নির্দেশিকা: SPF permerror: too many DNS lookups
কোনো SPF রেকর্ড পাওয়া না গেলে কী হয়?
গ্রহণকারী সার্ভার none ফল পায়, যাকে DMARC একটি fail-এর মতোই বিবেচনা করে। এছাড়া যে কেউ envelope sender-এ আপনার ডোমেইন ব্যবহার করতে পারে। ডোমেইনটিতেই একটি TXT রেকর্ড প্রকাশ করুন, যা v=spf1 দিয়ে শুরু হবে, আপনার হয়ে ইমেল পাঠানো পরিষেবাগুলো তালিকাভুক্ত করবে এবং ~all বা -all দিয়ে শেষ হবে।