Ændring ~all til -all styrker det udsagn, et domæne fremsætter om en uovertruffen afsendende IP. Det gør ikke domæneejeren til modtagerens mailfilter. En nyttig beslutning starter med to spørgsmål: hvilke legitime forbindelser forbliver umatchede, og hvad sker der med de beskeder i de modtagende systemer, der betyder noget?
Læs resultatet, før du bedømmer levering
SPF kontrollerer, om den tilsluttende vært må bruge den evaluerede SMTP identitet. En matchende positiv mekanisme producerer pass. Hvis evalueringen når frem ~all, producerer det softfail , en kvalificeret erklæring om, at værten sandsynligvis er uautoriseret. At nå -all producerer fail, en klar erklæring om, at det er uautoriseret. "Hardfail" er almindelig stenografi; protokolresultatet navngives svigte.
RFC 7208 §8.4 og RFC 7208 §8.5 adskille denne erklæring fra håndtering. Mislykket disposition er modtager-lokal politik. For softfail anbefaler RFC mod afvisning udelukkende baseret på dette resultat, mens det tillader nærmere undersøgelse. Ingen af kvalifikationerne lover en indbakke, placering af spam-mapper eller en universel SMTP afvisning. En modtager kan afvise af ikke-relaterede årsager, selv når SPF består.
Mekanismer vurderes i rækkefølge under RFC 7208 §4.6.2. Ændring af den sidste kvalifikation gør intet for en besked, der allerede matcher en tidligere positiv mekanisme. En alt for bred ip4 rækkevidde eller service inkludere forbliver overdrevent bredt efter tilføjelse -all.
Adskil manglende afsendere fra indirekte levering
Byg en liste over faktiske SMTP afsendelsestjenester, deres konvolutdomæner og repræsentative modtagerobservationer. En medarbejderpostkasse, faktureringsapplikation og marketingplatform kan bruge forskellige konvolutdomæner, selv når deres synlige Fra-adresse ser identisk ud. Diagnostiser det domæne, der vises i den betroede modtagers SPF resultat, ikke det domæne, der kun vises på skærmen.
Videresendelse ændrer den tilsluttede IP. Hvis den originale kuvertidentitet bibeholdes, kan den endelige modtager se en legitim besked fra en vært, som det oprindelige domæne ikke har godkendt. Tilføjelse af hver videresender til den oprindelige afsenderes SPF politik er ikke en skalerbar reparation og kan godkende infrastruktur uden for din kontrol. Undersøg videresendelsesdesignet og meddelelsens andre autentificeringsbeviser. Klassificer ikke enhver videresendt fejl som en glemt udgående tjeneste. RFC 7208 §10.3 diskuterer denne arkitektoniske vanskelighed.
Arbejd gennem et kontrolleret eksempel
Illustrativt eksempel, der kun bruger dokumentationsadresser: v=spf1 ip4:192.0.2.10 ~all bemyndiger en direkte forbindelse fra 192.0.2.10 . En forbindelse fra 198.51.100.20 når softfail . Udskiftning ~all med -all ændrer sidstnævnte resultat til mislykket, men efterlader førstnævnte som bestået.
Antag nu, at 198.51.100.20 videresender post oprindeligt sendt af 192.0.2.10 og bevarer sin kuvertidentitet. SPF resultatet ved den endelige modtager følger videresendelsesforbindelsen, ikke det første hop. Dette er et forventet testscenarie, ikke et bevis på, at den oprindelige tjeneste holdt op med at sende korrekt.
Træf en reversibel politisk beslutning
Før du ændrer kvalifikationen, skal du bevare den eksisterende TXT post og TTL, verificere afsenderens ejerskab og aftal, hvilke beviser der ville udløse en gendannelse. Test kritiske direkte stier og kendte indirekte stier separat. Registrer kilde-IP, evalueret domæne, SPF resultat og endelig leveringsresultat for hver test. Medtag en uovertruffen testkilde under din kontrol, så ændringens faktiske effekt er synlig.
Efter offentliggørelsen skal du kontrollere autoritativ DNS og relevante rekursive svar, hvilket giver mulighed for cachelagrede data. Undersøg fejl i stedet for blot at vende tilbage, hver gang en besked filtreres. En manglende autoriseret kilde har brug for en lagerkorrektion; et videresendelsesproblem kræver en rutebevidst beslutning; en ikke-relateret omdømmeafvisning vil ikke blive rettet ved at ændre den endelige kvalifikation.
Tæt med en forsvarlig rekord
Gem årsagen til den valgte kvalifikation ved siden af den aktuelle afsenderbeholdning. Gennemgå det, når tjenester eller leveringsruter ændres. En restriktiv endelig mekanisme er kun nyttig, når de foregående godkendelser beskriver domænets reelle afsendelsesgrænser. Beslutningen er færdig, når ejeren kan forklare både den direkte mail-dækning og den indirekte mail-afvejning.
Brug beviserne til en beslutning
I den syntetiske rekord forbliver 192.0.2.10 bestået efter kvalifikationsændringen; 198.51.100.20 går først fra softfail til fail, når den endelige mekanisme er nået. Registrer modtagerhåndteringen separat. Hvis den anden IP er en videresender, der bevarer den originale konvolut, skal du undersøge den indirekte rute, før du behandler den som en manglende autoriseret afsender. Ingen live levering eller kvalifikationsændring blev udført.