Testaus SPF vaatii kahdenlaisia todisteita: mitä DNS julkaisee ja mitä vastaanottaja arvioi tietylle viestille. Dig ja nslookup auttavat tarkistamaan ensimmäisen. Luotettu Authentication-Results kentän tai vastaanottimen puolen jäljitys auttaa tarkastamaan toisen. Pidä nämä havainnot yhdistettyinä saman kirjekuorialueen, lähetysreitin ja aikaikkunan kautta.
Aloita oikealla verkkotunnuksella
Lähetä edustava viesti tutkittavan sovelluksen kautta ja säilytä sen alkuperäiset otsikot. Tunnista kirjekuoren identiteetti luotettavan vastaanottimen todisteista käyttämällä Return-Path vihjeenä sen sijaan, että sekoitat sen näkyvään Lähettäjä-osoitteeseen. Tyhjälle käänteiselle polulle SPF :n identiteetin käsittely sisältää HELO; Älä oleta, että tavalliset viestisyötteet kattavat tämän tapauksen. RFC 7208 §2.3 ja RFC 7208 §2.4 kuvaile identiteettejä.
Kirjoita muistiin vastaanottajan havaitsema lähetys-IP, kirjekuoren identiteetti, vastaanottajajärjestelmä ja viestin aika. Älä lataa täydellisiä yksityisiä otsikoita tuntemattomaan julkiseen tarkistusohjelmaan vain saadaksesi värillisen tuloksen. Minimaalinen ohjattu valaisin voi usein vastata tekniseen kysymykseen paljastamatta asiaankuuluvia viestitietoja.
Tarkista julkaistu TXT vastaus
Nämä ovat havainnollistavia vain luku -komentoja. Korvaa esimerkkinimi arvioitavalla toimialueella; ne eivät ole todisteita jo suoritetuista testeistä:
dig TXT bounce.example.com . nslookup - type=TXT bounce.example.com .The BIND kaivuopas dokumentoi kyselyapuohjelman ja Microsoftin nslookup-viite kuvailee kyselyvaihtoehtoja. Käytä kyselyn absoluuttisen nimen lopussa olevaa pistettä välttääksesi tahattoman haun päätelaajentumisen. Säilytä koko vastaus vianmäärityksen aikana, mukaan lukien ratkaiseja, tila, vastaus ja TTL, jos ne näkyvät. Lyhennetty vastaus voi olla kätevä lukea, mutta se jättää pois diagnostisen kontekstin.
Tarkista todellinen omistajan nimi ja valitse SPF arvo asiaankuulumattomasta TXT tietueita. Useita lainattuja merkkijonoja voi kuulua yhteen TXT tietueeseen; SPF käsittelee näitä merkkijonoja ketjutettuina lisäämättä välilyöntejä. Kaksi erillistä soveltuvaa SPF tietueita ovat eri ongelma. RFC 7208 §3.2 ja RFC 7208 §3.3 määrittele tämä ero.
Lue parillinen synteettinen tulos
Seuraava on täysin synteettinen kaluste, ei tarkkailtuja postia tai tuotantotietueita. Oletetaan, että vastaanotin näki suoran yhteyden dokumentaatioosoitteesta 192.0.2.10 , POSTIA LÄHETTÄJÄ invoices@bounce.example.com ja näkyvät osoitteesta invoices@example.com . Sen DNS vastaus sisältää yhden TXT resurssitietueen:
bounce.example.com . 300 IN TXT " v=spf1 ip4:192.0.2.10 " " -all "Yhden tietueen kaksi merkkijonoa liittyvät yhteen v=spf1 ip4:192.0.2.10 -all. Ensimmäisen merkkijonon loppuväli erottaa mekanismit. Ilmoitetulla yhteydellä osoitemekanismi täsmää ja odotettu SPF tulos hyväksytään. Vastaava havainnollistava vastaanottimen tulos on:
Authentication-Results : mx.receiver.example ; spf=pass smtp.mailfrom= bounce.example.comKäsittele tätä luotettavana vain sillä nimenomaisella oletuksella, että mx.receiver.example on kohteen luotettava todennuspalvelu. Lähettäjä voisi muuten lisätä samanlaisen tekstin. Esimerkki näyttää vain SPF todisteet; se ei väitä a DKIM, DMARC tai toimitustulos.
Vertaa tätä tähän erilaiseen synteettiseen DNS vastaukseen, joka sisältää kaksi erillistä soveltuvaa tietuetta samalla nimellä:
bounce.example.com . 300 IN TXT " v=spf1 ip4:192.0.2.10 -all " bounce.example.com . 300 IN TXT " v=spf1 ip4:192.0.2.20 -all "Levyvalinta palaa nyt permerror lupien yhdistämisen sijaan. Älä diagnosoi tilannetta laskemalla pelkät lainausmerkit. säilyttää DNS -resurssitietueen rajat.
Vertaa ratkaisejia, kun julkaiseminen on kiistanalainen
Jos DNS -editori ja rekursiivinen kysely ovat eri mieltä, määritä arvovaltainen nimipalvelimet ja tee kysely suoraan varmennetulta palvelimelta. Dig tukee muotoa dig @palvelimen nimi TXT; korvaa todellinen vahvistettu palvelin ja kohdenimi. Vertaa vastausta ja aikaleimaa rekursiiviseen tulokseen. Älä oleta, että muokattava DNS -tili isännöi delegoitua vyöhykettä.
Nykyinen arvovaltainen vastaus ja vanhempi rekursiivinen vastaus voivat viitata välimuistiin. Aikakatkaisu, SERVFAIL ja onnistunut vastaus ilman soveltuvaa tietuetta ovat eri havaintoja. Säilytä tarkka vastaus ennen kuin päätät syyn. Vältä oikean tietueen toistuvaa muokkaamista vain siksi, että yksi havainto on vanhentunut.
Arvioi viestiä, älä vain syntaksia
TXT haku ei suorita SPF . Standardit tunteva arvioija tarvitsee yhteyden IP-osoitteen ja asiaankuuluvat SMTP tunnukset sekä DNS tilan, jonka se ratkaisee. Tarkista sen jäljitys täsmäytysmekanismin, riippuvuuksien ja virheiden varalta. Staattinen tietueen vahvistaja voi raportoida rakenteellisesti hyväksyttävän käytännön ilman vastausta, läpäiseekö todellinen lähettäjä.
Lue kohteessa luotettavan vastaanottimen lisäämät Authentication-Results , älä mielivaltaista aikaisempaa kopiota. RFC 8601 tekee luottamusrajasta tärkeän. Tallenna SPF -tulos ja identiteetti DKIM ja DMARC -tulosten rinnalle käsittelemättä niitä keskenään vaihdettavina.
Pidä toistettavissa oleva testipöytäkirja
Tallenna komennot, kyselyajat, DNS vastaukset, arvioijan syötteet ja muokatut vastaanotettujen viestien todisteet. Testaa jokaista olennaisesti erilaista levitysreittiä ja osoiteperhettä käytössä. Merkitse synteettiset valaisimet erillään havaituista tuloksista. Jos DNS näkymä näyttää oikealta, mutta vastaanottaja on eri mieltä, jatka työkalun kulku vs. vastaanottajan epäonnistuminen sen sijaan, että julistaisi, että vastaanottajan on oltava väärässä.
DNS tausta: RFC 1035 kohta 3.2.1 määrittää resurssitietueen TTL:n; RFC 2308 §5 kattaa negatiivisen välimuistin; RFC 8767 §4 päivittää TTL-semantiikan ja sallii vanhentuneen käytön, kun virallinen päivitys epäonnistuu. Nämä kuvaavat DNS käyttäytymistä, eivät yleistä muutoksen valmistumisaikaa.
Kirjoita seuraava päätös muistiin
Säilytä yhden levyn kiinnikkeessä raja, jossa näkyy kaksi merkkijonoa yhden tietueen sisällä ja liitostila; odotettu SPF on hyväksytty 192.0.2.10 . Kahden levyn kiinnikkeessä valinta epäonnistuu permerror ennen kuin mekanismit arvioidaan. Tallenna luotetun tuloksen oletus erikseen: painettu Authentication-Results -teksti ei ole itsenäisesti luotettava. Täällä ei suoritettu komentoa tai sähköpostin vahvistusta.