Alle mekanismen matcher altid. Dens kvalifikation afgør derfor hvad SPF siger om en forbindelsesadresse, der når den. De velkendte endelser -all , ~all , ?all og +all er fire forskellige godkendelsesudsagn, ikke fire garanterede leveringshandlinger.
En tidligere mekanisme kan allerede have returneret et resultat. Læs hele evalueringsstien, før du fortolker det sidste ord i posten. RFC 7208 §2.6 og RFC 7208 §5.1 definere denne semantik.
Sammenlign de fire slutninger
Med -all mislykkes en afsender, der når alle modtager. Politikken siger, at adressen ikke er godkendt til den evaluerede identitet. Med ~all modtager den softfail , et svagere negativt udsagn i stedet for et bestået. Med ?all modtager den neutral, hvilket betyder, at politikken ikke fremsætter en godkendelsespåstand for den adresse. Med +all modtager den pass.
Under RFC 7208 §4.6.2, en ukvalificeret alle har standarden + kvalifikation og består derfor også. Det gør blot alle til et valg af en konsekvens af tilladelsen, ikke en harmløs terminator. Når alle matcher, kan senere mekanismer ikke bidrage med yderligere tilladelser.
Bearbejdet eksempel: Hold den autoriserede afsender konstant
Brug den syntetiske politik v=spf1 ip4:192.0.2.90 QUALIFIERall. For en forbindelse fra 192.0.2.90 matcher ip4 først og returnerer passerer under hver afslutning. For 192.0.2.91 passer den første mekanisme ikke. Den valgte slutning returnerer derefter henholdsvis fail, softfail , neutral eller pass.
Ændring af ~all til -all ændrer ikke resultatet for den første adresse i denne opstilling. Det ændrer behandlingen af adresser, der ikke allerede var matchet. Derfor er det rigtige beredskabsspørgsmål, om alle legitime afsendelsesveje er blevet identificeret, ikke om en fælles afsender bestod én test.
En politik bestående af v=spf1 -all autoriserer ingen adresser gennem SPF . Det kan udtrykke en ikke-afsendende identitet, men det er ikke en universel instruktion om, at enhver modtager skal kassere hver besked, der viser det pågældende domæne i From.
Hold resultat og håndtering adskilt
SPF returnerer et godkendelsesresultat. Modtageren beslutter, hvad der skal gøres med beskeden ved hjælp af lokal politik og andre beviser under RFC 7208 §8.4 og RFC 7208 §8.5. Et fejl er ikke et bevis på, at hver modtager afviste beskeden, og softfail er ikke et løfte om, at den vil blive leveret med en advarsel.
SPF softfail og neutral bliver ikke passerende SPF stier for DMARC. Under RFC 9989 §4.4.2, DMARC kræver bestået med justering for sin SPF sti, eller en separat passerende justeret DKIM sti. En besked kan derfor sende DMARC gennem DKIM trods SPF fejl. Omvendt kan +all producere SPF -pas til en adresse uden at gøre dens indhold troværdigt.
Brug ikke +all til at dæmpe et fejlbetjeningspanel. Den autoriserer enhver adresse, der når den, for denne identitet og besejrer den tilsigtede begrænsning. Reparer i stedet manglende afsendere, forkerte identiteter eller brudte afhængigheder.
Skelne politiske slutninger fra evalueringsfejl
Permerror og temperror er ikke andre stavemåder af fejl. Flere SPF optager, ugyldig syntaks eller overskredet behandlingsgrænser kan forhindre normal evaluering. Midlertidige DNS problemer kan forårsage temperror . At erstatte -all med ~all reparerer ikke en fejl, der opstår før slutningen nås.
Saml det faktiske resultat og spor før du vælger en ændring. For en DNS afbrydelse skal du undersøge afhængigheden og resolverstien. For en ikke-genkendt legitim afsender skal du etablere dens ejer og forventede kuvertidentitet, før du giver den tilladelse.
Udrul en strengere erklæring med beviser
Regelmæssig beholdning, failover, IPv6 og sjældne afsendelsesruter. Test den foreslåede politik i forhold til disse adresser og en uautoriseret kontrol. Bevar den tidligere registrering, definer servicebaserede rollback-betingelser og bekræft modtaget post efter offentliggørelse.
Hvor videresendelse er en del af lovlig levering, skal du gennemgå det bredere autentificeringsdesign, herunder tilpasset DKIM og modtageradfærd. Giv ikke bredt tilladelse til ukendte speditører til at få enhver indirekte SPF sti til at passere.
Den praktiske takeaway
Vælg kvalifikatoren for den erklæring, du har til hensigt at komme med om ellers umatchede afsendere. Bekræft først beholdningen og fejlstierne, og mål derefter godkendelse og levering som separate resultater.
Optag den næste beslutning
For 192.0.2.91 i det syntetiske armatur giver de fire afslutninger henholdsvis fail/ softfail /neutral/pass; 192.0.2.90 rester passerer gennem den tidligere ip4-match. Hvis der opstår en syntaks- eller afhængighedsfejl før et normalt resultat, er ændring af den endelige kvalifikation ikke en reparation. Disse er analytiske kontrol-flow-resultater, ikke leveringstests.