Τι κάνει ο έλεγχος SPF
Διαβάζει τις εγγραφές TXT του domain που εισάγετε και εντοπίζει εκείνη που αρχίζει με v=spf1. Στη συνέχεια ακολουθεί κάθε include και redirect όπως θα έκανε ένας διακομιστής παραλαβής, καταγράφει κάθε αναζήτηση που απαιτεί ερώτημα DNS και ελέγχει τη σύνταξη κάθε όρου.
Δεν εμπλέκεται κάποια διεύθυνση IP. Το ερώτημα εδώ είναι αν η εγγραφή είναι έγκυρη και μπορεί να αξιολογηθεί εντός των επιτρεπόμενων ορίων από οποιονδήποτε χρειάζεται να την ελέγξει, όχι αν επιτρέπεται να στέλνει ένας συγκεκριμένος διακομιστής. Για να το ελέγξετε αυτό, στείλτε ένα μήνυμα μέσω της πλήρους δοκιμής και η αναφορά θα εμφανίσει το αποτέλεσμα που έλαβε πραγματικά ο παραλήπτης.
Πάρα πολλά DNS lookups: το όριο των δέκα
Το RFC 7208 περιορίζει μια αξιολόγηση SPF σε δέκα όρους που απαιτούν ερώτημα DNS: include, a, mx, ptr, exists και redirect. Η καταμέτρηση καλύπτει ολόκληρο το δέντρο, επομένως ένα include που περιλαμβάνει άλλα τρία χρησιμοποιεί συνολικά τέσσερις αναζητήσεις. Αν ξεπεραστεί το όριο, το αποτέλεσμα είναι permerror, το οποίο το DMARC θεωρεί αποτυχία του SPF.
Ο έλεγχος μετρά κάθε όρο, ακόμη και εκείνους στους οποίους μπορεί να μη φτάσει ποτέ η αξιολόγηση, επειδή μια πραγματική αξιολόγηση σταματά στην πρώτη αντιστοίχιση. Οι διακομιστές που αναφέρονται νωρίς συνεχίζουν να περνούν, ενώ εκείνοι που βρίσκονται πιο κάτω αρχίζουν να αποτυγχάνουν. Από έξω, αυτό μοιάζει με email που λειτουργεί για ορισμένα μηνύματα αλλά όχι για άλλα.
Οι όροι ip4 και ip6 δεν κοστίζουν καμία αναζήτηση. Η αντικατάσταση των include με εύρη διευθύνσεων, γνωστή ως flattening, μειώνει τον αριθμό, αλλά απαιτεί να ενημερώνετε χειροκίνητα αυτά τα εύρη ώστε να συμβαδίζουν με τους παρόχους σας.
Λάθη που αξίζει να ελέγξετε
Δύο εγγραφές SPF στο ίδιο domain. Αυτό συμβαίνει όταν ο οδηγός ρύθμισης ενός δεύτερου παρόχου ζητά να προστεθεί μια εγγραφή και κανείς δεν τη συγχωνεύει με την πρώτη. Η ύπαρξη δύο εγγραφών προκαλεί από μόνη της permerror.
Μια κατάληξη +all, η οποία επιτρέπει σε οποιονδήποτε διακομιστή στο διαδίκτυο να περάσει, ή ?all, η οποία δεν δηλώνει τίποτα για κανέναν και επομένως δεν παρέχει καμία προστασία. Ένας όρος ptr, τον οποίο το RFC 7208 συνιστά να μη χρησιμοποιείτε. Τα include για υπηρεσίες που η εταιρεία σταμάτησε να χρησιμοποιεί πριν από χρόνια εξακολουθούν να κοστίζουν από μία αναζήτηση το καθένα.
Ερωτήσεις
Πώς είναι μια εγγραφή SPF;
Είναι μία εγγραφή TXT στο domain, η οποία αρχίζει με v=spf1, αναφέρει ποιοι επιτρέπεται να στέλνουν και τελειώνει με έναν κανόνα για όλους τους υπόλοιπους. Το v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all επιτρέπει την αποστολή από το Google Workspace και από έναν διακομιστή, ενώ δίνει softfail στους υπόλοιπους. Ένα domain μπορεί να δημοσιεύει μόνο μία.
SPF softfail ή hardfail: ~all ή -all;
Αφού εφαρμοστεί το DMARC, λειτουργούν και τα δύο, επειδή το DMARC αποφασίζει τι θα συμβεί σε ένα μήνυμα που αποτυγχάνει. Το ~all (softfail) είναι η ασφαλέστερη επιλογή όσο εξακολουθείτε να εντοπίζετε όλες τις υπηρεσίες που στέλνουν για λογαριασμό σας. Αλλάξτε το σε -all όταν οι αναφορές DMARC δείξουν ότι δεν αποτυγχάνει τίποτα νόμιμο.
Γιατί η εγγραφή μου περνά στον πλήρη έλεγχο, αλλά εδώ εμφανίζει περισσότερες από δέκα αναζητήσεις;
Ο παραλήπτης σταμάτησε την αξιολόγηση στον πρώτο όρο που αντιστοιχούσε στον διακομιστή σας, επομένως δεν εκτέλεσε τις υπόλοιπες αναζητήσεις. Ένας άλλος διακομιστής πιο κάτω στη λίστα θα οδηγούσε την ίδια αξιολόγηση σε περισσότερες από δέκα αναζητήσεις και θα αποτύγχανε.
Τι είναι η κενή αναζήτηση;
Ένα ερώτημα DNS που δεν επιστρέφει εγγραφές ή αφορά ένα όνομα που δεν υπάρχει. Το RFC 7208 επιτρέπει δύο τέτοιες αναζητήσεις σε μια αξιολόγηση. Η τρίτη προκαλεί permerror. Η συνήθης αιτία είναι τα include για domain που δεν υπάρχουν πλέον.
Μπορεί ένας τομέας να έχει δύο εγγραφές SPF;
Όχι. Το RFC 7208 επιτρέπει μία εγγραφή που αρχίζει με v=spf1 και, αν υπάρχουν δύο, κάθε αξιολόγηση καταλήγει σε permerror. Συγχωνεύστε τις: διατηρήστε ένα μόνο v=spf1, προσθέστε σε αυτό τους όρους include και ip4 και των δύο και ολοκληρώστε με ένα all. Το v=spf1 include:_spf.google.com include:servers.mcsv.net ~all καλύπτει δύο παρόχους σε μία εγγραφή.
Πλήρης οδηγός: Multiple SPF records
Τι σημαίνει SPF permerror;
Μόνιμο σφάλμα: η εγγραφή δεν μπορεί να αξιολογηθεί όπως έχει δημοσιευτεί, επομένως μια νέα προσπάθεια δίνει το ίδιο αποτέλεσμα. Οι συνήθεις αιτίες είναι περισσότερα από δέκα DNS lookups, δύο εγγραφές SPF σε έναν τομέα, ένα συντακτικό σφάλμα και ένα τρίτο κενό lookup. Το DMARC θεωρεί το permerror αποτυχία του SPF.
Πλήρης οδηγός: SPF permerror: too many DNS lookups
Τι γίνεται αν δεν βρεθεί εγγραφή SPF;
Οι παραλήπτες λαμβάνουν το αποτέλεσμα none, το οποίο το DMARC αντιμετωπίζει όπως το fail, και οποιοσδήποτε μπορεί να χρησιμοποιήσει τον τομέα σας ως envelope sender. Δημοσιεύστε μία εγγραφή TXT στον ίδιο τον τομέα, η οποία αρχίζει με v=spf1, αναφέρει τις υπηρεσίες που στέλνουν για λογαριασμό σας και τελειώνει σε ~all ή -all.