Cum funcționează verificarea SPF
Instrumentul citește înregistrările TXT ale domeniului introdus și o identifică pe cea care începe cu v=spf1. Apoi urmărește fiecare include și redirect la fel ca un server destinatar, înregistrează fiecare căutare care necesită o interogare DNS și verifică sintaxa fiecărui termen.
Nu este implicată nicio adresă IP. Aici se verifică dacă înregistrarea este validă și se încadrează în limita de interogări pentru orice server care trebuie să o evalueze, nu dacă un anumit server poate trimite. Pentru asta, trimite un mesaj prin testul complet, iar raportul îți arată rezultatul obținut efectiv de serverul destinatar.
Prea multe interogări DNS: limita de zece
RFC 7208 limitează o evaluare SPF la zece termeni care necesită o interogare DNS: include, a, mx, ptr, exists și redirect. Numărătoarea se aplică întregului arbore, astfel că un include care include la rândul său alte trei folosește patru interogări. Dacă depășești limita, rezultatul este permerror, pe care DMARC îl consideră drept SPF nevalidat.
Instrumentul numără fiecare termen, inclusiv termenii la care evaluarea ar putea să nu ajungă niciodată, deoarece o evaluare reală se oprește la prima potrivire. Serverele enumerate la început continuă să treacă verificarea, iar cele aflate mai jos încep să eșueze. Din exterior, pare că e-mailul funcționează pentru unele mesaje, dar nu și pentru altele.
Termenii ip4 și ip6 nu consumă interogări. Înlocuirea include cu intervale de adrese, numită flattening, reduce numărul de interogări, dar trebuie să menții manual aceste intervale sincronizate cu cele ale furnizorilor tăi.
Erori SPF pe care merită să le verifici
Două înregistrări SPF pe același domeniu. Se întâmplă când ghidul de configurare al unui al doilea furnizor îți cere să adaugi o înregistrare, iar nimeni nu o combină cu prima. Prezența a două înregistrări produce singură un permerror.
Un final +all, care permite oricărui server de pe internet să treacă verificarea, sau ?all, care nu spune nimic despre niciun server și, prin urmare, nu oferă nicio protecție. Un termen ptr, pe care RFC 7208 recomandă să nu îl folosești. Fiecare include pentru servicii pe care compania nu le mai folosește de ani întregi consumă în continuare câte o interogare.
Întrebări
Cum arată o înregistrare SPF?
Este o singură înregistrare TXT pe domeniu, care începe cu v=spf1, enumeră cine poate trimite și se încheie cu o regulă pentru toți ceilalți. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all permite Google Workspace și unui server să trimită, iar pentru restul produce softfail. Un domeniu poate publica o singură înregistrare.
SPF softfail sau hardfail: ~all sau -all?
După configurarea DMARC, ambele variante funcționează, deoarece DMARC decide ce se întâmplă cu un mesaj care nu trece verificarea. ~all (softfail) este opțiunea mai sigură cât timp încă identifici toate serviciile care trimit în numele tău. Treci la -all când rapoartele DMARC arată că niciun mesaj legitim nu eșuează.
De ce înregistrarea mea trece testul complet, dar aici apar peste zece interogări?
Serverul destinatar a oprit evaluarea la primul termen care s-a potrivit cu serverul tău, deci nu a mai efectuat interogările pentru restul termenilor. Un alt server aflat mai jos în listă ar duce aceeași evaluare peste limita de zece interogări și ar eșua.
Ce este o interogare fără rezultat?
O interogare DNS care nu returnează nicio înregistrare sau care indică un nume inexistent. RFC 7208 permite două astfel de interogări într-o evaluare, iar a treia produce o eroare permerror. Cauza obișnuită sunt directivele include pentru domenii care nu mai există.
Poate un domeniu să aibă două înregistrări SPF?
Nu. RFC 7208 permite o singură înregistrare care începe cu v=spf1, iar dacă există două, fiecare evaluare se încheie cu permerror. Combină-le: păstrează un singur v=spf1, adaugă în el termenii include și ip4 din ambele și încheie cu un singur all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all acoperă doi furnizori într-o singură înregistrare.
Ghid complet: Multiple SPF records
Ce înseamnă SPF permerror?
Eroare permanentă: înregistrarea nu poate fi evaluată așa cum este publicată, deci o nouă încercare va da același rezultat. Cauzele obișnuite sunt mai mult de zece interogări DNS, două înregistrări SPF pe același domeniu, o eroare de sintaxă și o a treia interogare fără rezultat. DMARC consideră că SPF nu trece verificarea când apare permerror.
Ghid complet: SPF permerror: too many DNS lookups
Ce se întâmplă dacă nu este găsită nicio înregistrare SPF?
Serverele destinatare obțin rezultatul none, pe care DMARC îl tratează la fel ca fail, iar oricine îți poate folosi domeniul ca expeditor în plic. Publică pe domeniul propriu-zis o singură înregistrare TXT care începe cu v=spf1, enumeră serviciile care trimit pentru tine și se încheie cu ~all sau -all.