SPF redirect mendelegasikan keputusan otorisasi yang tersisa ke kebijakan lain. Hal ini dirancang untuk situasi di mana beberapa domain harus berbagi otorisasi dan kebijakan yang dikelola secara terpusat, sering kali dalam satu organisasi administratif.
Ini bukan alias untuk include dan bukan cadangan -all . Memahami kapan pengalihan berjalan sangat penting sebelum menggabungkan catatan. RFC 7208 bagian 6.1 mendefinisikan perilakunya.
Tetapkan kondisi delegasi
Jika tidak ada mekanisme yang cocok, tidak ada kesalahan sebelumnya yang menghentikan evaluasi, dan terjadi pengalihan, SPF akan mengevaluasi target pengalihan. IP penghubung dan pengirim tetap sama, sedangkan domain yang dievaluasi menjadi target. Evaluasi yang dihasilkan memberikan hasil, dengan SPF yang hilang sesuai target permerror daripada tidak sama sekali.
Jika semua mekanisme ada di rekaman luar, pengalihan akan diabaikan. Penempatan pengalihan sebelumnya tidak menyelamatkannya. Tulis pengalihan di akhir untuk kejelasan, tapi ingat bahwa ini adalah pengubah, bukan mekanisme pencocokan kiri ke kanan.
Mekanisme lokal dapat mendahului delegasi. Misalnya, izin ip4 eksplisit dapat dicocokkan sebelum kebijakan bersama dikonsultasikan. Putuskan apakah pengecualian tersebut memang disengaja; jika tidak, kebijakan yang dianggap sentral mungkin bukan keseluruhan cerita otorisasi.
Contoh yang berhasil: dua domain, satu kebijakan terkelola
Dengan asumsi sintaks yang valid, satu dipilih Catatan SPF per nama dan pengambilan DNS yang berhasil, dalam perlengkapan sintetis ini, east.example.com dan west.example.com masing-masing menerbitkan v=spf1 redirect=policy.example.com. Target bersama dipublikasikan v=spf1 ip4:192.0.2.30 -all.
Untuk 192.0.2.30 , setiap kebijakan luar mendelegasikan, target ip4 cocok dan hasilnya lulus. Untuk 192.0.2.31 , target mencapai -all dan hasil yang didelegasikan adalah gagal. Jika sasarannya catatan TXT menghilang, evaluasi yang memerlukan pengalihan menghasilkan permerror .
Sekarang ubah kebijakan timur menjadi v=spf1 ip4:198.51.100.8 redirect=policy.example.com. Alamat tambahan tersebut diteruskan secara lokal, meskipun target bersama tidak mengizinkannya. Oleh karena itu, audit kebijakan pusat harus membaca setiap catatan pendelegasian, bukan hanya meninjau target saja.
Bandingkan target yang sama di bawah penyertaan
Jika kebijakan luar malah berisi v=spf1 include:policy.example.com ~all, tiket anak cocok dengan penyertaannya. Kegagalan anak tidak memberikan hasil akhir; memproses resume dan bagian luar ~all menghasilkan softfail .
Pengalihan membawa hasil kebijakan target saat diterapkan. Sertakan menanyakan apakah target lolos dan kemudian melanjutkan berdasarkan kebijakan luar jika tidak. Pilih konstruksi yang sesuai dengan model kepemilikan daripada menerjemahkannya secara mekanis.
Audit aturan peka konteks
Redirect mengubah domain evaluasi saat ini sambil mempertahankan input pengirim. Oleh karena itu, makro dan mekanisme relatif domain dapat bergantung pada domain atau nilai pengirim yang mereka gunakan. Kebijakan yang berlaku untuk satu domain belum tentu aman untuk domain lain.
Untuk layanan pengiriman pihak ketiga, gunakan mekanisme integrasi yang didukung dokumentasinya saat ini. RFC 7208 memperingatkan bahwa pengalihan melintasi batas administratif mungkin tidak dapat diandalkan, terutama ketika kebijakan sasaran bergantung pada bagian lokal. Jangan mengganti penyertaan yang terdokumentasi dengan pengalihan hanya untuk mempersingkat rekaman yang terlihat.
Operasikan kebijakan bersama dengan aman
Inventarisasi semua domain dependen dan pengecualian lokal. Tetapkan satu pemilik yang bertanggung jawab ke target bersama. Sebelum mengubahnya, uji pengirim yang diizinkan dan tidak diizinkan untuk setiap konteks kebijakan yang berbeda, termasuk IPv6 jika digunakan. Simpan catatan asli pendelegasian dan berbagi bersama-sama.
Di bawah RFC 7208 §4.1 Dan RFC 7208 §4.6.4, mengalihkan, dan mencapai persyaratan bersarang menghabiskan anggaran jangka waktu DNS SPF . Deteksi loop dan pertumbuhan ketergantungan melalui evaluasi daripada mengandalkan pendeknya setiap catatan lokal. Setelah perubahan, periksa jawaban otoritatif dan rekursif dan perwakilan tes menerima email.
Kesimpulan praktisnya
Pengalihan adalah sentralisasi yang berguna ketika Anda benar-benar menginginkan kebijakan bersama. Jauhkan semuanya dari catatan pendelegasian, audit pengecualian lokal, dan uji konteks pengirim yang tetap bertahan dalam delegasi.
Jaga agar keputusan tetap dapat direproduksi
Untuk east.example.com , pengecualian 198.51.100.8 lokal lolos tanpa memanggil target bersama; oleh karena itu pemadaman target bersama tidak perlu mempengaruhi jalur yang sebenarnya. Sumber lain yang memerlukan pengalihan dapat mengalami kesalahan target. Catat catatan luar, masukan pengirim, target yang dicapai, dan hasil yang diharapkan bersama-sama sebelum menyetujui sentralisasi. Tidak ada uji perubahan atau penghentian kebijakan bersama yang dilakukan.