[إجابة سريعة]
سجل نظام التعرف على هوية SPF هو سجل TXT واحد على نطاقك يبدأ بـ v=spf1, ويسرد المرسلين المعتمدين بآليات مثل include:, ip4: و ip6:, وينتهي بمؤهل الكل. مثال: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
حقائق أساسية
- ›الآليات: ip4، ip6، a، mx، تشمل، موجودة؛ المعدل: إعادة التوجيه.
- ›المؤهلات: + تمرير، ~ softfail ، - فشل،؟ حيادي.
- ›احتفظ بـ 10 عمليات بحث DNS و255 حرفًا لكل سلسلة.
- ›تجنب ptr و +all .
تمت المراجعة بواسطة فريق بحث EmailAuth
سجل SPF هو سجل TXT DNS واحد يسرد كل خادم وخدمة مصرح لها بإرسال البريد الإلكتروني لنطاقك. يبدأ بعلامة الإصدار v=spf1, ويحتوي على سلسلة من الآليات التي تحدد المصادر المعتمدة، وينتهي بآلية الكل التي تحدد الإجابة الافتراضية لأي شيء غير مدرج. تقوم خوادم البريد المتلقية بقراءة هذا السجل لتحديد ما إذا كان خادم الاتصال مسموحًا له بالإرسال كمجالك.
مثال على سجل SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
وأوضح الآليات
تصف كل آلية طريقة واحدة لتخويل المرسل. يقوم المتلقي بتقييمهم من اليسار إلى اليمين ويتوقف عند المباراة الأولى. تقوم بعض الآليات بتشغيل عمليات بحث DNS ويتم احتسابها ضمن حد 10 عمليات بحث الذي حدده RFC 7208 .
- يتضمن: سحب سجل SPF الخاص بنطاق آخر، وهو أمر شائع لدى البائعين مثل _spf.google.com ، ويتم احتسابه كعملية بحث.
- IP4: يسمح بعنوان أو نطاق IPv4 محدد، بدون تكلفة بحث DNS .
- IP6: يسمح بعنوان أو نطاق IPv6 محدد، بدون تكلفة بحث DNS .
- a: يأذن بعناوين IP في سجل المجال، ويعتبر بمثابة بحث.
- mx: يسمح بتفويض خوادم البريد في سجلات MX الخاصة بالمجال، ويتم احتسابه كعملية بحث.
- all: المصيد -all في النهاية الذي يقرر ما يحدث للمصادر غير المدرجة.
Hardfail مقابل softfail : -all و ~all
المؤهل الموجود أمام كل شيء يغير مدى صرامة سجلك. استخدم -all (hardfail) لإخبار المستلمين بأن أي خادم غير مدرج غير مرخص ويجب رفض الرسالة أو التعامل معها على أنها فاشلة. استخدم ~all ( softfail ) للإشارة إلى أن الخوادم غير المدرجة ربما تكون غير مصرح بها ولكن يجب قبولها ووضع علامة عليها، وهو أمر مفيد أثناء الاختبار. إن الفشل الصعب هو الموقف الأقوى بمجرد أن تكون واثقًا من تضمين كل مرسل شرعي. تجنب +all الذي يسمح للجميع ويبطل الغرض.
سوفتفيل أثناء الاختبار
ابدأ بـ ~all لمراقبة النتائج دون حظر البريد، ثم انتقل إلى -all بمجرد تأكيد كل مرسل.
سجل واحد، شاهد عمليات البحث الخاصة بك
يجب أن ينشر المجال سجل SPF واحدًا بالضبط. يتسبب سجلان SPF TXT في permerror . عند إضافة الموردين، يتوسع كل تضمين ليشمل المزيد من عمليات البحث، ويتم تجميع الخدمات الشائعة بسرعة. عند تجاوز 10 عمليات بحث، يفشل السجل بصمت بالنسبة للبريد الشرعي. يقوم EmailAuth SmartSPF بتسوية سلاسل التضمين الخاصة بك في سجل واحد محسن ويحافظ على مزامنة نطاقات IP الخاصة بالموردين لـ Microsoft 365 و Google Workspace و Salesforce و SendGrid تلقائيًا. يُظهر فحص النطاق المجاني آلياتك الحالية وعدد عمليات البحث. قم بإقران SPF مع DKIM و DMARC بحيث تستمر المحاذاة حتى عند إعادة توجيه البريد.
الأسئلة المتداولة
ما الفرق بين -all و ~all في سجل SPF ؟
-all عبارة عن فشل صعب يخبر المستلمين برفض أو فشل أي خادم غير مدرج في السجل. ~all عبارة عن softfail يقبل المرسلين غير المدرجين ولكنه يضع علامة عليهم كمشتبه بهم. استخدم ~all أثناء الاختبار و- -all بمجرد تضمين كل مرسل شرعي.
هل يمكنني الحصول على أكثر من سجل SPF واحد؟
لا، يجب أن ينشر النطاق سجل SPF TXT واحد فقط. يتسبب سجلان أو أكثر من سجلات نظام التعرف على SPF في permerror وكسر المصادقة. دمج جميع المصادر في سجل واحد يبدأ بـ v=spf1.
هل يتم احتساب آليات IP4 وip6 ضمن حد البحث البالغ 10؟
رقم ip4 وip6 يسمحان بالعناوين مباشرة ولا يتطلبان تحليل DNS ، لذلك لا يستهلكان عمليات البحث. آليات مثل include وa وmx وptr وexistes يتم احتسابها ضمن الحد الأقصى البالغ 10.
ماذا تفعل آلية التضمين؟
تستورد آلية التضمين سجل SPF الخاص بنطاق آخر، وهي الطريقة التي تسمح بها للمرسلين الخارجيين مثل Google Workspace أو SendGrid . يتم احتساب كل تضمين على أنه بحث DNS واحد على الأقل، وأي تضمينات متداخلة بداخله تضيف المزيد.
كيف يمكنني التحقق من سجل SPF الخاص بي؟
استخدم مدقق SPF . يقوم بجلب السجل وتوسيع كل تضمين وحساب عمليات بحث DNS مقابل الحد 10.
كيف أقوم بدمج سجلات SPF ؟
قم بدمج آليات كلا السجلين في سجل واحد v=spf1 واحتفظ بسجل واحد في النهاية.
هل يجب أن أستخدم ~all أو -all ؟
استخدم ~all أثناء تأكيد كل مرسل، ثم -all . مع وجود DMARC عند p=reject, يعمل أي منهما لأن DMARC يتخذ القرار النهائي.
[ SPF مرشد ]
مصدر المؤسسة
لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.
تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.
EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.
SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK