Cara kerja pemeriksa SPF
Alat ini membaca record TXT dari domain yang Anda masukkan dan memilih record yang diawali dengan v=spf1. Kemudian alat ini mengikuti setiap include dan redirect seperti yang dilakukan server penerima, mencatat setiap lookup yang memerlukan kueri DNS, dan memeriksa sintaks setiap bagian.
Tidak ada alamat IP yang terlibat. Pertanyaannya adalah apakah record tersebut valid dan dapat dievaluasi tanpa melampaui batas oleh siapa pun yang perlu memeriksanya, bukan apakah satu server tertentu boleh mengirim. Untuk memeriksanya, kirim pesan melalui pengujian lengkap. Laporan akan menunjukkan hasil yang benar-benar diterima oleh penerima.
Terlalu banyak lookup DNS: batasnya sepuluh
RFC 7208 membatasi evaluasi SPF hingga sepuluh bagian yang memerlukan kueri DNS: include, a, mx, ptr, exists, dan redirect. Penghitungan berlaku untuk seluruh struktur, jadi satu include yang menyertakan tiga include lain menggunakan empat lookup. Jika batas terlampaui, hasilnya adalah permerror, yang dihitung DMARC sebagai SPF tidak lolos.
Pemeriksa menghitung setiap bagian, termasuk bagian yang mungkin tidak pernah dicapai saat evaluasi, karena evaluasi sebenarnya berhenti pada kecocokan pertama. Server yang tercantum lebih awal tetap lolos, sedangkan server di bagian berikutnya mulai gagal. Dari luar, kondisi ini terlihat seperti email yang berfungsi untuk sebagian pesan, tetapi tidak untuk pesan lainnya.
Bagian ip4 dan ip6 tidak menggunakan lookup. Mengganti include dengan rentang alamat, atau flattening, mengurangi jumlah lookup, tetapi Anda harus memperbarui rentang tersebut secara manual agar tetap sesuai dengan penyedia Anda.
Kesalahan SPF yang perlu diperiksa
Dua record SPF pada satu domain. Hal ini terjadi ketika panduan penyiapan penyedia kedua meminta penambahan record dan tidak ada yang menggabungkannya dengan record pertama. Dua record tersebut sudah cukup untuk menghasilkan permerror.
Akhiran +all, yang mengizinkan semua server di internet untuk lolos, atau ?all, yang tidak menyatakan apa pun tentang siapa pun sehingga tidak memberikan perlindungan. Bagian ptr, yang menurut RFC 7208 tidak boleh digunakan. include untuk layanan yang sudah tidak digunakan perusahaan selama bertahun-tahun tetap menggunakan satu lookup untuk masing-masing layanan.
Pertanyaan
Seperti apa bentuk record SPF?
Record SPF adalah satu record TXT pada domain yang diawali dengan v=spf1, mencantumkan pihak yang boleh mengirim, dan diakhiri dengan aturan untuk pihak lainnya. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all mengizinkan Google Workspace dan satu server untuk mengirim, serta menghasilkan softfail untuk sisanya. Satu domain hanya boleh menerbitkan satu record.
SPF softfail atau hardfail: ~all atau -all?
Setelah DMARC diterapkan, keduanya dapat digunakan karena DMARC menentukan tindakan terhadap pesan yang gagal. ~all (softfail) adalah pilihan yang lebih aman selama Anda masih mencari semua layanan yang mengirim atas nama Anda. Beralihlah ke -all ketika laporan DMARC tidak lagi menunjukkan kegagalan pada pengiriman yang sah.
Mengapa record saya lolos dalam pengujian lengkap tetapi menunjukkan lebih dari sepuluh lookup di sini?
Server penerima berhenti mengevaluasi pada term pertama yang cocok dengan server Anda, sehingga lookup lainnya tidak dihitung. Server lain yang berada lebih bawah dalam daftar akan membuat evaluasi yang sama melewati sepuluh lookup dan gagal.
Apa itu void lookup?
Kueri DNS yang tidak menghasilkan record atau mengarah ke nama yang tidak ada. RFC 7208 mengizinkan dua void lookup dalam satu evaluasi. Void lookup ketiga menghasilkan permerror. Penyebab umumnya adalah include untuk domain yang sudah tidak ada.
Bisakah domain memiliki dua record SPF?
Tidak. RFC 7208 hanya mengizinkan satu record yang diawali dengan v=spf1. Jika ada dua, setiap evaluasi berakhir dengan permerror. Gabungkan keduanya: pertahankan satu v=spf1, masukkan entri include dan ip4 dari kedua record, lalu akhiri dengan satu all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all mencakup dua penyedia dalam satu record.
Panduan lengkap: Multiple SPF records
Apa arti SPF permerror?
Kesalahan permanen: record tidak dapat dievaluasi sebagaimana dipublikasikan, sehingga mencoba lagi akan memberikan hasil yang sama. Penyebab umumnya adalah lebih dari sepuluh lookup DNS, dua record SPF pada satu domain, kesalahan sintaks, dan lookup kosong ketiga. DMARC menganggap permerror sebagai SPF yang tidak lolos.
Panduan lengkap: SPF permerror: too many DNS lookups
Bagaimana jika record SPF tidak ditemukan?
Penerima mendapatkan hasil none, yang diperlakukan DMARC sama seperti fail, dan siapa pun dapat menggunakan domain Anda sebagai pengirim envelope. Publikasikan satu record TXT pada domain itu sendiri yang diawali dengan v=spf1, mencantumkan layanan yang mengirim atas nama Anda, dan diakhiri dengan ~all atau -all.