Forlagsvirksomhed SPF for example.com godkender ikke automatisk mail ved hjælp af bounce.example.com som dets konvolutdomæne. SPF slår op i politik for den identitet, der vurderes under RFC 7208 §4.4. Der er ingen generel overordnet-domæne-tilbagegang, der gør root-politikken til en nedarvet politik for hvert barn.
Det betyder noget, når en ny applikation introducerer en brugerdefineret retur-sti domæne. Den synlige Fra-adresse kan forblive uændret, mens domænet, der er relevant for SPF ændres under det.
Start fra en modtaget besked
Få en besked modtaget af et system, du har tillid til. Identificer SMTP MAIL FRA domæne fra betroet modtagerbevis og skelne det fra det synlige Fra-felt. For en nul omvendt vej kræver HELO-relateret evaluering særskilt opmærksomhed. Antag ikke, at roddomænet er målet, bare fordi det vises i marketingkopien eller brugergrænsefladen.
Forespørg på TXT på det nøjagtige domæne, der evalueres. Registrer ejerens navn, svar og autoritative servere. Hvis underdomænet er uddelegeret til en anden DNS zone eller tjeneste, skal du arbejde med dens faktiske operatør i stedet for at redigere en ikke-relateret overordnet zoneindgang.
Vælg eksplicit uafhængighed eller delt politik
Et barn kan få sin egen SPF politik skræddersyet til dets afsendere. Dette er ofte nyttigt, når fakturering, marketing og operationel post bruger forskellige tjenester. Autorisationerne kan derefter gennemgås selvstændigt.
Hvor flere identiteter virkelig har brug for den samme komplette politik, er SPF 's omdirigeringsmodifikator i RFC 7208 §6.1 kan centralisere det. For eksempel den syntetiske politik v=spf1 redirect=_spf.example.com at et barn retter evalueringen mod et eksplicit fastholdt politisk mål. Målet skal offentliggøre gyldig SPF . Omdirigering bruges, når ingen mekanisme matcher; en alle mekanisme i den originale post forhindrer omdirigering i at blive brugt.
En include har forskellig semantik under RFC 7208 §5.2: et pass fra den inkluderede politik, der inkluderer match, mens andre resultater behandles i henhold til inkluderingsreglerne. Skift ikke inkludere og omdirigere, blot fordi begge refererer til et andet navn. Vælg baseret på, om du inkorporerer et afsendersæt eller uddelegerer den endelige politiske beslutning.
Brug ikke et jokertegn som erstatning for inventar
DNS jokertegnadfærd er mere begrænset end "anvend dette på hvert underdomæne". Eksisterende navne og DNS træstruktur påvirker, om der forekommer jokertegnsyntese. RFC 7208 §3.5 fraråder udgivelse af jokertegn SPF og forklarer, hvorfor der kan være behov for ekstra poster, hvor der allerede findes navne.
For en vigtig afsendende identitet skal du udgive en eksplicit, administreret politik eller understøttet delegation og teste det nøjagtige navn. Et jokertegn, der ser ud til at fungere for et ubrugt testnavn, beviser ikke, at et etableret applikationsunderdomæne får det samme svar.
Test grænsen med et konkret eksempel
Illustrerende eksempel: example.com bemyndiger dokumentationsadresse 192.0.2.10 , mens bounce.example.com har ingen SPF politik. En forbindelse fra 192.0.2.10 ved hjælp af root-identiteten kan passere; brug af den underordnede identitet arver ikke denne pas og giver normalt ingen, når der ikke er nogen relevant registrering og ingen anden opslagsfejl.
Hvis barnet i stedet kun bemyndiger 198.51.100.20 med en endelig -all, kan en forbindelse fra 192.0.2.10 svigte for barnet, selv mens den passerer for forælderen. Denne uafhængighed er nyttig: En marketingtjeneste behøver ikke at opnå de samme afsendertilladelser som medarbejderpost.
Administrer hele livscyklussen
Inden du tilføjer et underdomæne, skal du tildele en virksomhedsejer, DNS operatør og forventet afsendersæt. Bevar den godkendte politik og gendannelsesinstruktioner. Efter udgivelsen skal du teste nye meddelelser ved at bruge det nøjagtige kuvertdomæne og registrere både SPF resultatet og eventuelle separate justering vurdering krævet af dit bredere autentificeringsdesign.
Ved pensionering skal du kontrollere, om underdomænet stadig leverer forsinkede job eller afvisningsbehandling. Fjern ikke et delt omdirigeringsmål, før alle pårørende er blevet gennemgået. Underordnet domænebeholdning er komplet, når hver brugt SMTP identitet har en bevidst politik og en navngiven ejer, snarere end en antagelse om, at forælderen dækker den.
Brug beviserne til en beslutning
For en hypotetisk faktureringsudrulning skal du registrere det faktiske underordnede MAIL FROM-navn, dets DNS operatør, nøjagtige politik og testidentitet. Hvis overordnet e-mail passerer, men underordnet e-mail returnerer ingen, skal du kontrollere underordnet opslag i stedet for at tilføje flere områder til det overordnede. For delte omdirigeringsmål skal du beholde en liste over afhængige identiteter og teste negative sager samt forventede afsendere. Ingen DNS delegation eller politik blev ændret.