Veröffentlichung SPF für example.com autorisiert die Verwendung von E-Mails nicht automatisch bounce.example.com als seine Umschlagdomäne. SPF sucht nach Richtlinien für die Identität, die ausgewertet wird RFC 7208 §4.4. Es gibt keinen allgemeinen Fallback für die übergeordnete Domäne, der die Root-Richtlinie in eine geerbte Richtlinie für jedes untergeordnete Domänenelement umwandelt.
Das ist wichtig, wenn eine neue Anwendung einen Brauch einführt Rückweg Domain. Die sichtbare Absenderadresse kann unverändert bleiben, während sich die für SPF relevante Domäne darunter ändert.
Beginnen Sie mit einer empfangenen Nachricht
Erhalten Sie eine Nachricht, die von einem System empfangen wurde, dem Sie vertrauen. Identifizieren Sie das SMTP POST VON Domäne aus vertrauenswürdigen Empfängernachweisen identifizieren und vom sichtbaren Feld „Von“ unterscheiden. Für einen Null-Rückwärtspfad erfordert die HELO-bezogene Auswertung gesonderte Aufmerksamkeit. Gehen Sie nicht davon aus, dass die Stammdomäne das Ziel ist, nur weil sie im Marketingtext oder auf der Benutzeroberfläche erscheint.
Fragen Sie TXT genau in der Domäne ab, die ausgewertet wird. Notieren Sie den Besitzernamen, die Antwort und die autorisierenden Server. Wenn die Subdomäne an eine andere DNS Zone oder einen anderen DNS-Dienst delegiert wird, arbeiten Sie mit ihrem eigentlichen Betreiber zusammen, anstatt einen nicht verwandten Eintrag in der übergeordneten Zone zu bearbeiten.
Wählen Sie explizite Unabhängigkeit oder gemeinsame Richtlinie
Ein Kind kann seine eigene SPF Richtlinie haben, die auf seine Absender zugeschnitten ist. Dies ist oft nützlich, wenn Rechnungsstellung, Marketing und operative Post unterschiedliche Dienste nutzen. Anschließend können die Berechtigungen eigenständig überprüft werden.
Wo mehrere Identitäten tatsächlich dieselbe vollständige Richtlinie benötigen, SPF Umleitungsmodifikator In RFC 7208 §6.1 kann es zentralisieren. Zum Beispiel die synthetische Politik v=spf1 redirect=_spf.example.com Bei einem Kind richtet sich die Bewertung auf ein explizit gepflegtes Richtlinienziel. Das Ziel muss einen gültigen SPF veröffentlichen. Die Umleitung wird verwendet, wenn kein Mechanismus übereinstimmt. ein alle Der Mechanismus im Originaldatensatz verhindert die Verwendung der Umleitung.
Ein Include hat eine unterschiedliche Semantik RFC 7208 §5.2: Ein Pass aus der eingeschlossenen Richtlinie führt zu einer Übereinstimmung dieser Einbeziehung, während andere Ergebnisse gemäß den Einschlussregeln verarbeitet werden. Vertauschen Sie „include“ und „redirect“ nicht, nur weil beide auf einen anderen Namen verweisen. Wählen Sie basierend darauf, ob Sie einen Sendersatz integrieren oder die endgültige Richtlinienentscheidung delegieren.
Verwenden Sie keinen Platzhalter als Ersatz für das Inventar
Das Verhalten DNS Platzhaltern ist eingeschränkter als „dies auf jede Subdomäne anwenden“. Vorhandene Namen und DNS Baumstruktur wirken sich darauf aus, ob eine Platzhaltersynthese stattfindet. RFC 7208 §3.5 rät von der Veröffentlichung von Wildcard SPF ab und erklärt, warum möglicherweise zusätzliche Datensätze erforderlich sind, wenn Namen bereits vorhanden sind.
Veröffentlichen Sie für eine wichtige Sendeidentität eine explizite, verwaltete Richtlinie oder unterstützte Delegation und testen Sie genau diesen Namen. Ein Platzhalter, der für einen nicht verwendeten Testnamen zu funktionieren scheint, beweist nicht, dass eine etablierte Anwendungs-Subdomäne die gleiche Antwort erhält.
Testen Sie die Grenze anhand eines konkreten Beispiels
Anschauliches Beispiel: example.com Autorisiert die Dokumentationsadresse 192.0.2.10 , während bounce.example.com hat keine SPF Richtlinie. Eine Verbindung von 192.0.2.10 unter Verwendung der Root-Identität kann passieren; Die Verwendung der untergeordneten Identität erbt diesen Durchgang nicht und führt normalerweise zu keinem, wenn kein anwendbarer Datensatz vorhanden ist und kein anderer Suchfehler vorliegt.
Wenn das Kind stattdessen nur 198.51.100.20 mit einem Finale autorisiert -all, kann eine Verbindung von 192.0.2.10 für das Kind fehlschlagen, auch wenn sie für das Elternteil übergeben wird. Diese Unabhängigkeit ist nützlich: Ein Marketingdienst muss nicht die gleichen Absenderberechtigungen erwerben wie Mitarbeitermails.
Verwalten Sie den gesamten Lebenszyklus
Weisen Sie vor dem Hinzufügen einer Subdomain einen Geschäftsinhaber, DNS Betreiber und einen Satz erwarteter Absender zu. Bewahren Sie die genehmigten Richtlinien und Wiederherstellungsanweisungen auf. Testen Sie nach der Veröffentlichung neue Nachrichten mit genau dieser Umschlagdomäne und zeichnen Sie sowohl das SPF Ergebnis als auch alle separaten Nachrichten auf Ausrichtung Beurteilung, die Ihr umfassenderes Authentifizierungsdesign erfordert.
Überprüfen Sie bei der Einstellung, ob die Subdomain noch verzögerte Jobs oder Bounce-Verarbeitung bereitstellt. Entfernen Sie ein gemeinsames Weiterleitungsziel erst, wenn alle abhängigen Elemente überprüft wurden. Die Bestandsaufnahme der untergeordneten Domäne ist vollständig, wenn jede verwendete SMTP Identität über eine absichtliche Richtlinie und einen benannten Eigentümer verfügt und nicht davon ausgegangen wird, dass die übergeordnete Domäne sie abdeckt.
Nutzen Sie die Beweise für eine Entscheidung
Notieren Sie für eine hypothetische Abrechnungseinführung den tatsächlichen Namen des untergeordneten MAIL FROM, seinen DNS Betreiber, die genaue Richtlinie und die Testidentität. Wenn die übergeordnete E-Mail erfolgreich ist, die untergeordnete E-Mail jedoch keine zurückgibt, überprüfen Sie die untergeordnete Suche, anstatt der übergeordneten E-Mail weitere Bereiche hinzuzufügen. Behalten Sie für gemeinsame Weiterleitungsziele eine Liste abhängiger Identitäten bei und testen Sie negative Fälle sowie erwartete Absender. Es wurde keine DNS Delegierung oder -Richtlinie geändert.