SPF's 10-opslagsgrænse gælder for specificerede DNS-afhængige termer, der evalueres under et SPF tjek. Det er ikke en regel, der tillader ti synlige inkludere-udsagn i rodposten. Indlejrede politikker deler evalueringens grænse, og et tidligt match kan stoppe kontrollen, før senere filialer nås.
Når tælletidsgrænsen overskrides, er resultatet permerror. En nyttig diagnose sporer den forbindende afsender gennem den gældende politik og registrerer, hvor evalueringen fortsætter, matcher eller mislykkes. Det spor viser, hvilke afhængigheder der kræver opmærksomhed, og hvilke tilladelser virksomheden stadig har brug for.
Forstå, hvad SPF tæller
RFC 7208 §4.6.4 identificerer omfatte, a, mx, ptr og eksisterer, plus omdirigere modifikator, som DNS-forespørgselsfremkaldende termer underlagt den overordnede grænse, når de evalueres. Under RFC 7208 §4.1, refererede politikker deler evalueringens globale grænse i stedet for at modtage nye uafhængige kvoter.
De alle, ip4 og ip6 mekanismer bruger ikke den term grænse. De eksp modifier bruger det ikke under SPF evalueringen, selvom et forklaringsopslag kan forekomme senere. Andre begrænsninger og operationelle begrænsninger gælder stadig, herunder krav, der involverer MX / PTR -udvidelse og ugyldige opslag.
Det indledende SPF TXT opslag må ikke forveksles med en evalueret inkluderende mekanisme. En diagnostik skal angive, hvad dens viste tal repræsenterer: en protokol-term optælling, et statisk ekspansionsestimat eller observerede DNS forespørgsler.
Bearbejdet eksempel: to inkluderer føre til en ellevte term
Det følgende er en syntetisk armatur, der bruger reserverede eksempeldomæner og dokumentations-IP-adresser. Det er ikke live DNS og er ikke en produktionspost at indsætte.
Grundpolitikken er:
v=spf1 include:billing.example.net include:messages.example.org -allAntag, at faktureringspolitikken evaluerer yderligere tre inkluderer, som hver kun indeholder en ip4 mekanisme og -all. Antag, at budskabspolitikken evaluerer seks yderligere omfatter bygget på samme måde. Antag, at hver nået politik har én syntaktisk gyldig SPF TXT post, alle DNS hentninger lykkes, hver mellemliggende politik ender på -all , og der er ingen andre termer til stede. I dette eksempel matcher ingen af deres autoriserede adresser den tilsluttede afsender.
- Grundfakturering inkluderer: kører i alt 1.
- Tre indlejrede faktureringer inkluderer: kører i alt 4.
- Rodmeddelelser inkluderer: kører i alt 5.
- De første fem indlejrede meddelelser inkluderer: kører i alt 10.
- Sjette indlejrede meddelelser inkluderer: ville overskride grænsen, hvilket producerer permerror .
Roden indeholder kun to synlige omfatter. Den komplette ikke-matchende sti forsøger en ellevte talt term.
Overvej nu en anden afsender, der matcher den første indlejrede faktureringspolitik. I dette armatur kan det passere efter to talte inkluderer. Evaluering fortsætter ikke gennem den senere meddelelsesservicegren bare for at opbruge godtgørelsen.
Dette er grunden til, at en stisporing og dens inputadresse har betydning. Det er også grunden til, at et statisk ekspansionsværktøj og en modtagers særlige evaluering kan vise tællinger med forskelligt udseende uden at måle det samme.
Spor den faktiske svigtende evaluering
Indsaml den forbindende IP, det SPF-evaluerede konvolutdomæne, de komplette relevante TXT svar og modtagerens diagnostik. Bevar timing: En udbyders refererede politik kan ændres efter den oprindelige levering.
Registrer hver nået optalt periode, den refererede politik og resultatet, der får evalueringen til at fortsætte, matche eller mislykkes. Skelne en overdreven-term fejl fra misformet syntaks, flere SPF optager, en cirkulær afhængighed eller en midlertidig DNS fejl.
Et root-record-opslag hjælper med at etablere udgangspunktet:
dig TXT example.com . +noall +svarDe BIND gravemanual dokumenterer disse DNS-forespørgsler/visningsmuligheder. Den evaluerer ikke i sig selv SPF eller etablerer opslagstallet. En DNS -forespørgselskommando er ikke en erstatning for sporingen.
Vælg en korrektion, der kan vedligeholdes
Start med forældede tilladelser. Bekræft, at en inkludering ikke længere er nødvendig, før du fjerner den; delte tjenester og sæsonbestemt post kan gøre et stille interval vildledende.
For aktive tjenester skal du kontrollere udbyderens understøttede konfiguration. Et dedikeret afsendende underdomæne eller en understøttet tilpasset kuvertidentitet kan reducere urelaterede afhængigheder og forbedre styringen, men identiteterne og justering stadig brug for verifikation.
Ændring af mekanismerækkefølgen kan ændre den evaluerede sti. Test repræsentative legitime og ikke-matchende input i stedet for at flytte den travleste tjeneste først og erklære hele politikken for fast.
Udfladning kan erstatte refererede politikker med adressedata og reducere talte termer. Det skaber også vedligeholdelsesarbejde: Ændringer i udbyderens adresse skal afspejles, forældede tilladelser fjernes og fejl opdages. Optagelseslængde og DNS begrænsninger forsvinder ikke. Brug ikke brede intervaller eller eftergivende +all som en genvej.
Tjek effekten på lovlige tjenester
En virksomhed kan nå dette problem efter flere års tilføjelse af tjenester til det samme domæne. Gammel inkluderer forbliver, udbydere tilføjer afhængigheder, og ingen ejer det fulde tilladelsessæt.
Bed om en forklaring på serviceniveau: hvilke legitime meddelelser støder på den fejlagtige sti, hvilke tilladelser der stadig er nødvendige, og hvem vil vedligeholde erstatningen. Den billigste tilsyneladende rettelse kan blive dyr, hvis den kopierer udbyderadresser ind en rekord at ingen holder sig opdateret.
Vurder resultatet ud fra gendannet legitim post og kontrollerede tilladelser. Et lavere checkerantal er nyttigt bevis, men det er ikke hele virksomhedens resultat.
Bekræft de resulterende tilladelser og DMARC justering
Kræv et vedligeholdt service-til-tilladelse-kort, en ansvarlig ændring og bevis for alle berørte legitime ruter. Spørg, om rettelsen introducerede en ny live DNS afhængighed, outsourcet vedligeholdelse eller bibeholdt unødvendig infrastrukturadgang.
Spor årsagen til hver tilladelse og betingelsen for pensionering. En teknisk gyldig SPF politik kan stadig godkende for meget. Det etablerer heller ikke afsenderens omdømme eller sikkerheden af en beskeds indhold.
Efter korrektion skal du revurdere de tidligere svigtende input og repræsentativ legitim trafik. Bekræft derefter DMARC justering separat. Et gendannet rå SPF -pas for et ikke-relateret konvolutdomæne løser ikke en tilpasningsfejl.
Den praktiske takeaway
En vellykket rettelse demonstrerer en kompatibel evaluering af de relevante input og fortsat lovlig afsendelse. Behold afhængighedssporet og årsagen til hver bevaret tilladelse. Bekræft derefter justering på rigtige meddelelser; et repareret rå SPF -resultat er kun en del af DMARC .
Optag den næste beslutning
Den ikke-matchende kamp har 1+3+1+6=11 forsøgte talte termer; den sjette indlejrede meddelelse inkluderer overskrider grænsen efter 10. Den tidlige faktureringsmatch behøver kun to inkluderer. Behold dette antagelsessæt med enhver værktøjssammenligning og etiketgrafudvidelse adskilt fra evalueret stitælling. Ingen evaluator eller netværksforespørgsel blev udført for disse eksempler.