Jak działa sprawdzanie rekordu SPF
Narzędzie odczytuje rekordy TXT podanej domeny i wybiera rekord zaczynający się od v=spf1. Następnie przetwarza każdy mechanizm include i modyfikator redirect tak, jak zrobiłby to serwer odbierający, rejestruje każde wyszukiwanie wymagające zapytania DNS i sprawdza składnię wszystkich elementów.
Nie jest tu używany żaden adres IP. Sprawdzane jest, czy rekord jest prawidłowy i mieści się w limicie zapytań dla każdego, kto musi go przetworzyć, a nie czy konkretny serwer może wysyłać pocztę. Aby to sprawdzić, wyślij wiadomość przez pełny test. Raport pokaże wynik uzyskany przez serwer odbierający.
Za dużo zapytań DNS: limit wynosi 10
RFC 7208 ogranicza sprawdzanie SPF do dziesięciu elementów wymagających zapytania DNS: include, a, mx, ptr, exists i redirect. Licznik obejmuje całe drzewo, więc include, który zawiera trzy kolejne mechanizmy include, wykorzystuje cztery zapytania. Przekroczenie limitu daje wynik permerror, który DMARC uznaje za niezaliczenie SPF.
Narzędzie zlicza każdy element, również te, do których sprawdzanie może nigdy nie dotrzeć, ponieważ rzeczywiste sprawdzanie kończy się po pierwszym dopasowaniu. Serwery wymienione wcześniej nadal zaliczają weryfikację, a te znajdujące się dalej zaczynają ją oblewać. Z zewnątrz wygląda to tak, jakby poczta działała dla niektórych wiadomości, a dla innych nie.
Mechanizmy ip4 i ip6 nie wykorzystują zapytań z limitu. Zastąpienie mechanizmów include zakresami adresów, czyli spłaszczenie rekordu, zmniejsza liczbę zapytań, ale wymaga ręcznego aktualizowania tych zakresów zgodnie ze zmianami u dostawców.
Błędy, na które warto zwrócić uwagę
Dwa rekordy SPF w jednej domenie. Dzieje się tak, gdy instrukcja konfiguracji drugiego dostawcy zaleca dodanie rekordu, ale nikt nie łączy go z pierwszym. Już sama obecność dwóch rekordów powoduje permerror.
Zakończenie +all, które pozwala każdemu serwerowi w internecie zaliczyć weryfikację, albo ?all, które nie określa niczego dla żadnego serwera, więc nie zapewnia żadnej ochrony. Mechanizm ptr, którego RFC 7208 zaleca nie używać. Mechanizmy include dotyczące usług, z których firma przestała korzystać wiele lat temu, nadal wykorzystują po jednym zapytaniu.
Pytania
Jak wygląda rekord SPF?
Jest to jeden rekord TXT w domenie, który zaczyna się od v=spf1, wskazuje, kto może wysyłać pocztę, i kończy się regułą dla wszystkich pozostałych. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all pozwala wysyłać pocztę z Google Workspace i jednego serwera, a dla pozostałych zwraca softfail. Domena może publikować tylko jeden taki rekord.
SPF softfail czy hardfail: ~all czy -all?
Po wdrożeniu DMARC oba warianty są poprawne, ponieważ to DMARC określa, co dzieje się z wiadomością, która nie przejdzie weryfikacji. ~all (softfail) jest bezpieczniejszym wyborem, dopóki identyfikujesz wszystkie usługi wysyłające wiadomości w Twoim imieniu. Przejdź na -all, gdy raporty DMARC przestaną wykazywać odrzucanie prawidłowych wiadomości.
Dlaczego mój rekord przechodzi pełny test, ale tutaj pokazuje ponad dziesięć zapytań?
Serwer odbierający zakończył sprawdzanie przy pierwszym warunku pasującym do Twojego serwera, więc nie wykonywał pozostałych zapytań. Inny serwer znajdujący się dalej na liście spowodowałby przekroczenie limitu dziesięciu zapytań i błąd tej samej weryfikacji.
Czym jest puste zapytanie DNS?
To zapytanie DNS, które nie zwraca żadnych rekordów albo odwołuje się do nieistniejącej nazwy. RFC 7208 dopuszcza dwa takie zapytania podczas jednej weryfikacji. Trzecie powoduje permerror. Zwykle przyczyną są mechanizmy include wskazujące domeny, które już nie istnieją.
Czy domena może mieć dwa rekordy SPF?
Nie. RFC 7208 zezwala na jeden rekord zaczynający się od v=spf1. Jeśli są dwa, każda weryfikacja kończy się wynikiem permerror. Połącz je: pozostaw jeden v=spf1, umieść w nim mechanizmy include i ip4 z obu rekordów i zakończ jednym all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all obejmuje dwóch dostawców w jednym rekordzie.
Pełny poradnik: Multiple SPF records
Co oznacza SPF permerror?
Błąd trwały: rekordu nie można zweryfikować w opublikowanej postaci, więc ponowna próba da ten sam wynik. Najczęstsze przyczyny to ponad 10 zapytań DNS, dwa rekordy SPF w jednej domenie, błąd składni oraz trzecie puste zapytanie. DMARC uznaje permerror za niezaliczenie SPF.
Pełny poradnik: SPF permerror: too many DNS lookups
Co zrobić, jeśli nie znaleziono rekordu SPF?
Serwery odbierające uzyskują wynik none, który DMARC traktuje tak samo jak fail, a każdy może użyć Twojej domeny w adresie nadawcy kopertowego. Opublikuj bezpośrednio dla domeny jeden rekord TXT, który zaczyna się od v=spf1, zawiera usługi wysyłające w Twoim imieniu i kończy się ~all lub -all.