Sådan fungerer SPF-tjekket
Værktøjet læser TXT-posterne for det domæne, du indtaster, og finder den post, der begynder med v=spf1. Derefter følger det alle include og redirect, som en modtagende server ville gøre, registrerer hvert opslag, der kræver en DNS-forespørgsel, og kontrollerer syntaksen for hvert led.
Der indgår ingen IP-adresse. Spørgsmålet her er, om posten er gyldig og holder sig inden for grænsen for alle, der skal evaluere den, ikke om en bestemt server må sende. For at kontrollere det skal du sende en mail gennem den fulde test. Rapporten viser det resultat, som modtageren faktisk fik.
For mange DNS-opslag: Grænsen er ti
RFC 7208 begrænser en SPF-evaluering til ti led, der kræver en DNS-forespørgsel: include, a, mx, ptr, exists og redirect. Optællingen gælder for hele træet, så en include, der selv indeholder yderligere tre include, bruger fire opslag. Overskrides grænsen, bliver resultatet permerror, som DMARC regner som en SPF-kontrol, der ikke er bestået.
Værktøjet tæller alle led med, også dem evalueringen måske aldrig når, fordi en virkelig evaluering stopper ved det første match. Servere, der står tidligt, bliver fortsat godkendt, mens dem længere nede begynder at fejle. Udefra ser det ud som mail, der virker for nogle beskeder, men ikke for andre.
ip4- og ip6-led koster ingen opslag. Hvis du erstatter include med adresseområder, også kaldet flattening, falder antallet af opslag. Til gengæld skal du manuelt holde områderne opdateret i forhold til dine udbydere.
SPF-fejl, du bør se efter
To SPF-poster på samme domæne. Det sker, når opsætningsvejledningen fra en anden udbyder siger, at der skal tilføjes en post, og ingen fletter den sammen med den første. To poster giver i sig selv en permerror.
En afslutning med +all, som lader enhver server på internettet bestå, eller ?all, som ikke siger noget om nogen og derfor ikke beskytter noget. Et ptr-led, som RFC 7208 fraråder at bruge. include for tjenester, som virksomheden holdt op med at bruge for flere år siden, koster stadig ét opslag hver.
Spørgsmål
Hvordan ser en SPF-post ud?
Det er én TXT-post på domænet, som begynder med v=spf1, angiver, hvem der må sende, og slutter med en regel for alle andre. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all lader Google Workspace og én server sende og giver softfail for resten. Et domæne må kun offentliggøre én SPF-post.
SPF softfail eller hardfail: ~all eller -all?
Når DMARC er på plads, virker begge dele, fordi DMARC afgør, hvad der sker med en meddelelse, som ikke består kontrollen. ~all (softfail) er det sikreste valg, mens du stadig finder alle de tjenester, der sender på dine vegne. Skift til -all, når DMARC-rapporterne viser, at ingen legitime meddelelser fejler.
Hvorfor består mit record den fulde test, men viser mere end ti opslag her?
Modtageren stoppede evalueringen ved det første led, der matchede din server, så resten blev aldrig slået op. En anden server længere nede på listen ville få den samme evaluering over ti opslag og få den til at fejle.
Hvad er et tomt opslag?
En DNS-forespørgsel, der ikke returnerer nogen records, eller et navn, der ikke findes. RFC 7208 tillader to af dem i en evaluering. Det tredje medfører en permerror. include for domæner, der ikke længere findes, er den mest almindelige årsag.
Kan et domæne have to SPF-records?
Nej. RFC 7208 tillader én record, der starter med v=spf1. Hvis der er to, ender hver evaluering med permerror. Slå dem sammen: Behold én v=spf1, indsæt include- og ip4-leddene fra begge, og afslut med én all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all dækker to udbydere i én record.
Komplet guide: Multiple SPF records
Hvad betyder SPF permerror?
Permanent fejl: Recorden kan ikke evalueres, som den er udgivet, så et nyt forsøg giver samme resultat. De sædvanlige årsager er mere end ti DNS-opslag, to SPF-records på ét domæne, en syntaksfejl og et tredje tomt opslag. DMARC regner en permerror som en SPF, der ikke består.
Komplet guide: SPF permerror: too many DNS lookups
Hvad sker der, hvis der ikke findes en SPF-record?
Modtagere får resultatet none, som DMARC behandler på samme måde som fail, og alle kan bruge dit domæne som envelope-afsender. Udgiv én TXT-record på selve domænet, der starter med v=spf1, angiver de tjenester, der sender for dig, og slutter med ~all eller -all.