SPF चेकर क्या जाँचता है
यह आपके द्वारा दर्ज किए गए डोमेन के TXT रिकॉर्ड पढ़ता है और v=spf1 से शुरू होने वाले रिकॉर्ड को चुनता है। फिर यह हर include और redirect को उसी तरह जाँचता है जैसे कोई प्राप्तकर्ता सर्वर करेगा, DNS क्वेरी की जरूरत वाले हर lookup को दर्ज करता है और हर term का syntax जाँचता है।
इसमें कोई IP पता शामिल नहीं होता। यहाँ सवाल यह है कि रिकॉर्ड वैध है या नहीं और उसका मूल्यांकन करने वाले किसी भी सर्वर के लिए वह lookup सीमा के भीतर है या नहीं, यह नहीं कि कोई खास सर्वर ईमेल भेज सकता है या नहीं। इसकी जाँच के लिए पूरे परीक्षण के माध्यम से एक संदेश भेजें। रिपोर्ट वह परिणाम दिखाती है जो प्राप्तकर्ता को वास्तव में मिला।
बहुत अधिक DNS लुकअप: सीमा दस है
RFC 7208 के अनुसार, SPF मूल्यांकन में DNS क्वेरी की जरूरत वाले अधिकतम दस term हो सकते हैं: include, a, mx, ptr, exists और redirect। गिनती पूरे tree में होती है, इसलिए ऐसा include जो खुद तीन और include करता है, कुल चार lookup इस्तेमाल करता है। सीमा पार होने पर परिणाम permerror होता है, जिसे DMARC में SPF pass नहीं माना जाता।
चेकर हर term को गिनता है, उनमें वे term भी शामिल हैं जिन तक मूल्यांकन शायद कभी न पहुँचे, क्योंकि वास्तविक मूल्यांकन पहला match मिलते ही रुक जाता है। शुरुआत में सूचीबद्ध सर्वर pass होते रहते हैं और बाद में सूचीबद्ध सर्वर fail होने लगते हैं। बाहर से यह ऐसा दिखता है जैसे ईमेल कुछ संदेशों के लिए काम करता है और कुछ के लिए नहीं।
ip4 और ip6 term में कोई lookup खर्च नहीं होता। include को address range से बदलने, यानी flattening, से गिनती कम हो जाती है, लेकिन इसके लिए आपको उन ranges को अपने providers के साथ मैन्युअल रूप से अपडेट रखना पड़ता है।
SPF रिकॉर्ड में जाँचने योग्य गलतियाँ
एक डोमेन पर दो SPF रिकॉर्ड। ऐसा तब होता है जब किसी दूसरे provider की setup guide नया रिकॉर्ड जोड़ने को कहती है और कोई उसे पहले रिकॉर्ड में merge नहीं करता। केवल दो रिकॉर्ड होना ही permerror है।
अंत में +all होना, जो इंटरनेट के किसी भी सर्वर को pass होने देता है, या ?all होना, जो किसी के बारे में कुछ नहीं बताता और इसलिए कोई सुरक्षा नहीं देता। ptr term, जिसे RFC 7208 इस्तेमाल न करने के लिए कहता है। जिन सेवाओं का कंपनी ने वर्षों पहले इस्तेमाल बंद कर दिया था, उनके include अब भी हर बार एक lookup खर्च करते हैं।
सवाल
SPF रिकॉर्ड कैसा दिखता है?
यह डोमेन पर मौजूद एक TXT रिकॉर्ड होता है, जो v=spf1 से शुरू होता है, यह सूची देता है कि कौन ईमेल भेज सकता है और बाकी सभी के लिए एक नियम पर समाप्त होता है। v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all Google Workspace और एक सर्वर को ईमेल भेजने देता है और बाकी को softfail करता है। एक डोमेन केवल एक SPF रिकॉर्ड प्रकाशित कर सकता है।
SPF softfail या hardfail: ~all या -all?
DMARC लागू होने के बाद दोनों में से कोई भी काम करता है, क्योंकि DMARC तय करता है कि विफल होने वाले संदेश के साथ क्या होगा। जब आप अभी भी अपनी ओर से ईमेल भेजने वाली हर सेवा की पहचान कर रहे हों, तब ~all (softfail) अधिक सुरक्षित विकल्प है। जब DMARC रिपोर्ट में कोई वैध ईमेल विफल होता न दिखे, तब -all अपनाएँ।
मेरा रिकॉर्ड पूरे परीक्षण में पास क्यों होता है, लेकिन यहाँ दस से अधिक लुकअप क्यों दिखते हैं?
प्राप्तकर्ता ने आपके सर्वर से मेल खाने वाला पहला टर्म मिलते ही जाँच रोक दी, इसलिए बाकी लुकअप नहीं किए गए। सूची में और नीचे आने वाला कोई दूसरा सर्वर इसी जाँच को दस लुकअप से आगे ले जाएगा और वह विफल हो जाएगी।
वॉइड लुकअप क्या है?
ऐसी DNS क्वेरी जो कोई रिकॉर्ड नहीं लौटाती या ऐसे नाम की क्वेरी जो मौजूद नहीं है। RFC 7208 के अनुसार एक जाँच में ऐसे दो लुकअप हो सकते हैं, तीसरा लुकअप permerror होता है। जो डोमेन अब मौजूद नहीं हैं, उनके include आमतौर पर इसका कारण होते हैं।
क्या किसी डोमेन में दो SPF रिकॉर्ड हो सकते हैं?
नहीं। RFC 7208 केवल एक रिकॉर्ड की अनुमति देता है जो v=spf1 से शुरू होता है। ऐसे दो रिकॉर्ड होने पर हर मूल्यांकन permerror पर समाप्त होता है। उन्हें मर्ज करें: केवल एक v=spf1 रखें, उसमें दोनों रिकॉर्ड के include और ip4 पद जोड़ें और अंत में एक all रखें। v=spf1 include:_spf.google.com include:servers.mcsv.net ~all एक रिकॉर्ड में दो प्रदाताओं को कवर करता है।
पूरी गाइड: Multiple SPF records
SPF permerror का क्या मतलब है?
स्थायी त्रुटि: प्रकाशित रिकॉर्ड का मूल्यांकन नहीं किया जा सकता, इसलिए दोबारा प्रयास करने पर भी वही परिणाम मिलता है। सामान्य कारण हैं दस से अधिक DNS लुकअप, एक डोमेन पर दो SPF रिकॉर्ड, सिंटैक्स त्रुटि और तीसरा void lookup। DMARC, permerror को SPF पास न होने के रूप में गिनता है।
पूरी गाइड: SPF permerror: too many DNS lookups
अगर कोई SPF रिकॉर्ड न मिले तो क्या होगा?
प्राप्तकर्ताओं को none परिणाम मिलता है, जिसे DMARC fail के समान मानता है, और कोई भी आपके डोमेन को envelope sender में डाल सकता है। डोमेन पर ही एक TXT रिकॉर्ड प्रकाशित करें, जो v=spf1 से शुरू हो, आपकी ओर से ईमेल भेजने वाली सेवाओं को सूचीबद्ध करे और ~all या -all पर समाप्त हो।