Jak kontrola SPF funguje
Načte TXT záznamy zadané domény a vybere ten, který začíná v=spf1. Potom projde všechny include a redirect stejně jako přijímající server, zaznamená každé vyhledání vyžadující DNS dotaz a zkontroluje syntaxi všech výrazů.
Žádná IP adresa zde nehraje roli. Kontroluje se, zda je záznam platný a zda jeho vyhodnocení nepřekračuje povolený počet dotazů, nikoli zda smí odesílat jeden konkrétní server. To zjistíte odesláním zprávy přes úplný test, jehož report zobrazí výsledek, který příjemce skutečně obdržel.
Příliš mnoho DNS dotazů: limit je deset
RFC 7208 omezuje vyhodnocení SPF na deset výrazů vyžadujících DNS dotaz: include, a, mx, ptr, exists a redirect. Počet se sčítá v celém stromu, takže include, který sám obsahuje další tři include, využije čtyři dotazy. Překročení limitu vede k výsledku permerror, který DMARC považuje za neúspěšné ověření SPF.
Kontrola počítá každý výraz, včetně těch, ke kterým se vyhodnocení nemusí nikdy dostat, protože skutečné vyhodnocení končí při první shodě. Servery uvedené na začátku dál procházejí, zatímco servery uvedené později začnou selhávat. Zvenčí to vypadá, jako by e-mail u některých zpráv fungoval a u jiných ne.
Výrazy ip4 a ip6 se do limitu nepočítají. Nahrazení include rozsahy adres, tedy zploštění, počet sníží, ale tyto rozsahy pak musíte ručně udržovat v souladu se změnami u poskytovatelů.
Chyby, které je vhodné hledat
Dva SPF záznamy na jedné doméně. K tomu dochází, když návod k nastavení druhého poskytovatele doporučí přidat záznam a nikdo ho nesloučí s prvním. Už samotná existence dvou záznamů vede k výsledku permerror.
Zakončení +all, které umožní projít libovolnému serveru na internetu, nebo ?all, které o nikom nic neříká, a proto neposkytuje žádnou ochranu. Výraz ptr, který se podle RFC 7208 nemá používat. Každý include pro služby, které společnost přestala používat už před lety, stále spotřebuje jeden DNS dotaz.
Otázky
Jak vypadá SPF záznam?
Je to jeden TXT záznam na doméně, který začíná v=spf1, uvádí, kdo smí odesílat, a končí pravidlem pro všechny ostatní. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all umožní odesílat službě Google Workspace a jednomu serveru, zatímco ostatní obdrží výsledek softfail. Doména smí zveřejnit pouze jeden SPF záznam.
SPF softfail, nebo hardfail: ~all, nebo -all?
Jakmile je DMARC nastaven, fungují obě varianty, protože DMARC určuje, co se stane se zprávou, která kontrolou neprojde. ~all (softfail) je bezpečnější volba, dokud ještě hledáte všechny služby, které za vás odesílají. Na -all přejděte, až hlášení DMARC ukážou, že žádný legitimní odesílatel kontrolou neprochází.
Proč můj záznam projde v úplném testu, ale zde se zobrazuje více než deset dotazů?
Přijímající server ukončil vyhodnocování u prvního výrazu, který odpovídal vašemu serveru, takže se zbývající dotazy neprovedly. U jiného serveru uvedeného dále v seznamu by stejné vyhodnocování překročilo deset dotazů a skončilo chybou.
Co je void lookup?
DNS dotaz, který nevrátí žádné záznamy nebo odkazuje na název, který neexistuje. RFC 7208 povoluje při jednom vyhodnocování dva takové dotazy, třetí způsobí permerror. Obvyklou příčinou jsou include pro domény, které již neexistují.
Může mít doména dva SPF záznamy?
Ne. RFC 7208 povoluje jeden záznam začínající v=spf1. Pokud jsou dva, každé vyhodnocení skončí výsledkem permerror. Slučte je: ponechte jeden v=spf1, vložte do něj výrazy include a ip4 z obou záznamů a zakončete jej jedním all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all pokrývá dva poskytovatele v jednom záznamu.
Podrobný návod: Multiple SPF records
Co znamená SPF permerror?
Trvalá chyba: publikovaný záznam nelze vyhodnotit, takže další pokus skončí stejně. Obvyklými příčinami jsou více než deset DNS dotazů, dva SPF záznamy na jedné doméně, chyba syntaxe a třetí DNS dotaz bez výsledku. DMARC považuje permerror za neúspěšné ověření SPF.
Podrobný návod: SPF permerror: too many DNS lookups
Co když není nalezen žádný SPF záznam?
Příjemci získají výsledek none, který DMARC vyhodnocuje stejně jako fail, a kdokoli může uvést vaši doménu jako obálkového odesílatele. Publikujte přímo na doméně jeden TXT záznam, který začíná v=spf1, uvádí služby odesílající vaším jménem a končí ~all nebo -all.