[hurtigt svar]
SPF (Sender Policy Framework) er en DNS TXT post, der viser de mailservere og tjenester, der er tilladt at sende e-mail til dit domæne. Modtagere sammenligner afsenderserverens IP med denne liste. Det er defineret i RFC 7208 og er en af de tre kontroller Gmail og Yahoo kræver.
Nøglefakta
- ›Udgivet som en TXT post på roddomænet, startende v=spf1.
- ›Kun én SPF record pr. domæne; to poster forårsager en PermError.
- ›Maksimalt 10 DNS-forespørgselsmekanismer (inkluderer, a, mx, ptr, eksisterer, omdirigerer).
- ›Slutter med ~all ( softfail ) eller -all (fail).
- ›SPF kontrollerer konvolutafsenderen ( Return-Path ), ikke den synlige Fra-adresse; DMARC tilføjer det link.
Gennemgået af EmailAuth -forskningsteamet
SPF (Sender Policy Framework) er en e-mail-godkendelsesstandard, defineret i RFC 7208 , der lader en domæneejer offentliggøre listen over e-mailservere, der har tilladelse til at sende e-mail på vegne af det pågældende domæne. Når en modtagende server modtager en besked, tjekker den afsenderserverens IP-adresse mod domænets offentliggjorte SPF record i DNS . Hvis IP'en er autoriseret, består SPF . Hvis den ikke er det, kan modtageren behandle beskeden som mistænkelig eller afvise den. SPF er en af tre kernestandarder, der beskytter et domæne mod spoofing sammen med DKIM og DMARC .
Sådan fungerer SPF trin for trin
SPF fungerer under SMTP samtalen, før meddelelsesteksten er fuldt accepteret. Checken kører mod domænet i Return-Path (konvolutafsenderen), ikke den synlige Fra-adresse, hvilket er en skelnen, der har betydning for DMARC justeringen. Den modtagende server læser SPF posten, løser de mekanismer, den indeholder, og sammenligner den forbindende IP med de autoriserede områder.
- En afsenderserver forbinder og annoncerer sit konvolutafsenderdomæne.
- Modtageren forespørger DNS for det pågældende domænes SPF TXT post.
- Modtageren evaluerer hver mekanisme i rækkefølge, indtil en matcher.
- En kamp returnerer pass, fail, softfail eller neutral baseret på kvalifikationen.
- Modtageren anvender sin egen politik, og DMARC bruger resultatet til justering.
Grænsen på 10 DNS opslag
RFC 7208 begrænser SPF -evaluering ved 10 DNS opslag pr. kontrol. Mekanismer såsom include, a, mx, ptr og exists bruger hver opslag, og hver inkludering kan udløse yderligere indlejrede opslag inde i tredjepartsposten. Populære afsendere som Google Workspace , Microsoft 365 , Salesforce og SendGrid tilføjer hver deres egne kæder, så et domæne med en håndfuld leverandører hurtigt kan krydse grænsen. Når evalueringen overstiger 10 opslag, returnerer modtageren en permerror , som de fleste systemer behandler som en fejl.
Hvorfor grænsen bider
Kryds 10 opslag og SPF returnerer permerror . Legitim post fra dine egne godkendte leverandører kan derefter mislykkes med godkendelse uden synlige fejl for dig.
Hvor SPF stopper og DKIM og DMARC begynder
SPF kontrollerer den forbindende server, så den ikke overlever videresendelse. Når en postkasse videresender en besked, er den nye forbindelses-IP videresenderen, ikke din server, og SPF går i stykker. DKIM signerer beskedindholdet med en kryptografisk nøgle, der følger med e-mailen, så den kan overleve videresendelse. DMARC binder begge sammen ved at kræve, at enten SPF eller DKIM passerer og justerer med det synlige From-domæne, og det fortæller modtagerne, hvad de skal gøre, når de fejler. Siden 2024 Google- og Yahoo -reglerne skal masseafsendere godkende med SPF og DKIM og udgive DMARC .
Retter opslagsoverløb med SmartSPF
EmailAuth SmartSPF løser grænsen på 10 opslag med dynamisk udfladning. Det udvider din fulde inkluderende kæde, flader den ud til én optimeret registrering og holder tredjeparts afsenderes IP-intervaller for Salesforce , SendGrid , Microsoft 365 og Google Workspace synkroniseret, efterhånden som disse leverandører ændrer deres infrastruktur. En gratis domænescanning udvider din inkluderende kæde og tæller dine nuværende opslag, så du kan se præcis, hvor du står.
Ofte stillede spørgsmål
Hvad står SPF for?
SPF står for Sender Policy Framework. Det er en e-mail-godkendelsesstandard defineret i RFC 7208 , der lader et domæne offentliggøre, hvilke mailservere der må sende på dets vegne. Modtagende servere bruger det til at opdage forfalskede afsendere.
Stopper SPF al e-mail-spoofing?
Nej. SPF tjekker kun konvolutafsenderdomænet mod autoriserede IP'er, og det går i stykker, når mail videresendes. For fuldt ud at beskytte den synlige Fra-adresse har du også brug for DKIM og en DMARC -politik, der håndhæver justering.
Hvad er grænsen for SPF 10 DNS opslag?
RFC 7208 tillader maksimalt 10 DNS opslag, når en modtager evaluerer en SPF post. Mekanismer som include, a og mx bruger hver opslag, og indlejrede leverandørregistreringer tilføjer mere. Overskridelse af 10 returnerer en permerror , som behandles som en fejl.
Er SPF stadig påkrævet i 2024 og derefter?
Ja. Siden 2024 har Google og Yahoo krævet, at masseafsendere godkender e-mail, og SPF er en kernedel af det sammen med DKIM og DMARC . Hvis du springer det over, risikerer du, at din mail bliver filtreret eller afvist.
Hvad er en SPF rekord?
En DNS TXT -record, der viser de servere, der er godkendt til at sende e-mail til dit domæne, for eksempel v=spf1 include:_spf.google.com ~all .
Hvordan tilføjer jeg flere SPF poster?
Det kan du ikke. Kombiner alle afsendere til en enkelt post: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Hvordan opretter jeg en SPF post?
List hver tjeneste, der sender e-mail for dig, tilføj hver udbyders include eller IP, og afslut med ~all eller -all . En SPF generator bygger det til dig.
Hvad er SPF 10-opslagsgrænsen?
SPF evaluering kan højst udføre 10 DNS opslag. Overskridelse returnerer PermError og SPF fejler. Fjern ubrugte inkluderer eller flad posten.
Hvad betyder v=spf1 include:_spf.google.com ~all ?
Det giver Google Workspace servere tilladelse til at sende til dit domæne og softfails alt andet.
[ SPF guide]
Virksomhedens herkomst
Hvorfor top finansielle institutioner og regeringer pensionerede deres e-mailsikkerhedsdashboards.
Traditionelle e-mail-godkendelsesplatforme sælger dig et dashboard og beder dine ingeniører om at gøre arbejdet. I miljøer med høj indsats betyder manuel overvågning forsinket håndhævelse, konfigurationsdrift og uovervågede skyggedomæner.
EmailAuth er den agentiske e-mail-herkomstplatform. Vores agenter håndhæver p=reject, hold tredjepartsafsendere på linje og flyt dine domæner til fuld RFC 9989 compliance, den nye DMARC standard, med menneskelig auditabilitet.
SaaS · Dedikeret lejemål · Air-gapped on-prem · BYOK-kryptering