Inkluderingsmekanismen lader en SPF politik stole på et andet domænes godkendelsesbeslutning. Det er nyttigt, når en afsendende tjeneste vedligeholder skiftende infrastruktur. I stedet for at kopiere en adresseliste ind i din post, evaluerer du udbyderens nuværende politik, når denne medtagelse er nået.
Denne bekvemmelighed er også en afhængighed. En inkludering kan ændre tilladelser, efterhånden som dens mål ændres, forbruge SPF opslagsbudgettet eller udbrede en målfejl. Dens adfærd er specificeret i RFC 7208 afsnit 5.2.
Læs inkludere som beståelsesprøve
En normal include:service.example.net matcher kun, hvis den rekursivt evaluerede servicepolitik returnerer passer til den tilsluttede IP. Den ydre mekanismes standard + kvalifikation producerer derefter bestået.
Hvis tjenesten returnerer mislykkedes, softfail eller neutral, matcher include ikke, og evalueringen fortsætter i den ydre politik. Hvis tjenesten vender tilbage temperror eller permerror, forplanter den fejl sig. Et mål med nr SPF rekord producerer permerror for inkludere, snarere end at blive harmløst ignoreret.
En kvalifikation kan også gå forud for inkluderer. For eksempel, -include producerer mislykkes, når barnet returnerer pass. Det er gyldig syntaks, men normalt ikke den tilsigtede måde at autorisere en udbyder på. Tjek kvalifikationen i stedet for at antage, at ordet inkluderer altid giver adgang.
Bearbejdet eksempel: bevar din egen politikafslutning
Forudsat gyldig syntaks, én valgt SPF record ved hvert navn og vellykket DNS hentning, bruger denne syntetiske armatur v=spf1 ip4:192.0.2.10 include:service.example.net -all på example.com . Tjenesten udgiver v=spf1 ip4:198.51.100.9 -all.
En forbindelse fra 192.0.2.10 videregiver den lokale mekanisme. En forbindelse fra 198.51.100.9 når inkludere og bestå, fordi barnet består. En forbindelse fra 203.0.113.20 når barnet, modtager underordnet fejl, genoptager den ydre politik og modtager fejl fra sin endelige -all .
Skift den ydre slutning til ~all og den sidste adresse modtager softfail i stedet. Udbyderen afgør stadig, om der skal inkluderes kampe, men din politik bestemmer det ordinære resultat, når det ikke gør det. Den skelnen er grunden til, at kopiering af hele barnets tekst ikke svarer til at bruge include.
Bekræft, at include tilhører din tjeneste
Få det nøjagtige mål fra den aktuelle førsteparts produktvejledning. En leverandørs marketingplatform, transaktionsplatform og medarbejderposttjeneste kan have forskellige afsendelsesstier. Vælg ikke et plausibelt udseende værtsnavn fra en tredjepartsartikel.
Fastlæg også hvilket domæne produktet bruger i MAIL FRA. Udgivelse af en include på example.com hjælper ikke en SPF kontrol udført mod et leverandørejet konvolutdomæne. Hvis du har brug for en brugerdefineret konvolut, skal du konfigurere denne funktion gennem produktet og bekræfte den i modtaget post.
Oprethold en ejer, formål og pensionsforhold for hver inkluderer. En annulleret tjeneste bør ikke beholde tilladelsen på ubestemt tid, men fjerne den kun efter at have kontrolleret planlagte job, sjældne kampagner og delegerede teams.
Budget for rekursive afhængigheder
Under RFC 7208 §4.1 og RFC 7208 §4.6.4, en include er et af de DNS-forespørgselsfremkaldende udtryk, der er dækket af SPF 's ti-term evalueringsgrænse. Dens indlejrede termer tæller også, når de evalueres. Flere inkluderinger på topniveau kan derfor overskride grænsen, selv når den synlige rekord ser kort ud.
Brug input-specifikke spor til legitime afsendende IP'er og til en uautoriseret IP, der krydser mere af politikken. Registrer målsvarene og evalueringstiden. En vellykket test i dag er ikke et bevis på, at en udbyder aldrig vil ændre sit afhængighedstræ.
Udskiftning af inkluderer med kopierede IP-områder overfører vedligeholdelsesansvaret til dig. Beskriv det ikke som en gratis forenkling. Du har brug for en verificeret opdateringsproces, IPv6 dækning og en plan for ændringer, der sker, mens DNS svar er cachelagret.
Den praktiske takeaway
Inkluder importer en godkendelsesbeslutning og en operationel afhængighed, ikke et løfte om den synlige forfatter eller meddelelsessikkerhed. Hold målet verificeret, tilladelsen tilsigtet og den rekursive vej inden for grænser.
Hold beslutningen reproducerbar
Registrer underordnede resultat og ydre resultat i forskellige kolonner: bestået→kamp→ydre kvalifikation; fail/ softfail /neutral→ikke-match→fortsæt; temperror / permerror →samme fejl; ingen→ permerror . For -inkluder betyder børnebeståelse ydre fejl. Bevar det nøjagtige mål, kvalifikation, DNS observation og input-IP med enhver supportanmodning. Dette er RFC-kortlægningen, ikke live-udbyderbevis.