[Jawaban cepat]
Data SPF adalah data TXT tunggal di domain Anda yang dimulai dengan v=spf1, mencantumkan pengirim resmi dengan mekanisme seperti include:, ip4: dan ip6:, dan diakhiri dengan semua kualifikasi. Contoh: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Fakta-fakta penting
- ›Mekanisme: ip4, ip6, a, mx, include, ada; pengubah: pengalihan.
- ›Kualifikasi: + lulus, ~ softfail , - gagal, ? netral.
- ›Simpan dalam 10 pencarian DNS dan 255 karakter per string.
- ›Hindari ptr dan +all .
Ditinjau oleh tim peneliti EmailAuth
Data SPF adalah data TXT DNS tunggal yang mencantumkan setiap server dan layanan yang diberi wewenang untuk mengirim email untuk domain Anda. Ini dimulai dengan tag versi v=spf1, berisi serangkaian mekanisme yang menentukan sumber resmi, dan diakhiri dengan mekanisme all yang menetapkan jawaban default untuk apa pun yang tidak tercantum. Server email penerima membaca catatan ini untuk memutuskan apakah server penghubung diizinkan untuk dikirim sebagai domain Anda.
Contoh catatan SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Mekanismenya dijelaskan
Setiap mekanisme menjelaskan satu cara untuk mengotorisasi pengirim. Penerima mengevaluasinya dari kiri ke kanan dan berhenti pada pertandingan pertama. Beberapa mekanisme memicu pencarian DNS dan diperhitungkan dalam batas 10 pencarian yang ditetapkan oleh RFC 7208 .
- mencakup: mengambil data SPF domain lain, umum untuk vendor seperti _spf.google.com , dan dihitung sebagai pencarian.
- ip4: mengotorisasi alamat atau rentang IPv4 tertentu, tanpa biaya pencarian DNS .
- ip6: mengotorisasi alamat atau rentang IPv6 tertentu, tanpa biaya pencarian DNS .
- a: mengotorisasi IP dalam data A domain, dan dihitung sebagai pencarian.
- mx: mengotorisasi server email dalam data MX domain, dan dihitung sebagai pencarian.
- all: catch -all di akhir yang menentukan apa yang terjadi pada sumber tidak terdaftar.
Hardfail versus softfail : -all dan ~all
Kualifikasi di depan semua mengubah seberapa ketat rekor Anda. Gunakan -all (hardfail) untuk memberi tahu penerima bahwa server mana pun yang tidak terdaftar tidak diotorisasi dan pesan harus ditolak atau dianggap gagal. Gunakan ~all ( softfail ) untuk mengatakan bahwa server yang tidak terdaftar mungkin tidak diotorisasi tetapi harus diterima dan ditandai, yang berguna saat pengujian. Kegagalan yang sulit adalah sikap yang lebih kuat setelah Anda yakin setiap pengirim yang sah disertakan. Hindari +all , yang memberi wewenang kepada semua orang dan menggagalkan tujuan.
Softfail saat pengujian
Mulailah dengan ~all untuk mengamati hasil tanpa memblokir email, lalu pindah ke -all setelah setiap pengirim dikonfirmasi.
Satu catatan, perhatikan pencarian Anda
Sebuah domain harus memublikasikan tepat satu data SPF . Dua data SPF TXT menyebabkan permerror . Saat Anda menambahkan vendor, setiap penyertaan meluas ke pencarian lebih lanjut, dan layanan populer bertambah dengan cepat. Ketika Anda melewati 10 pencarian, catatan tersebut gagal secara diam-diam untuk email yang sah. EmailAuth SmartSPF meratakan rantai penyertaan Anda ke dalam satu catatan yang dioptimalkan dan menjaga rentang IP vendor untuk Microsoft 365 , Google Workspace , Salesforce , dan SendGrid disinkronkan secara otomatis. Pemindaian domain gratis menunjukkan mekanisme dan jumlah pencarian Anda saat ini. Pasangkan SPF dengan DKIM dan DMARC sehingga penyelarasan tetap terjaga meskipun email diteruskan.
Pertanyaan yang sering diajukan
Apa perbedaan antara -all dan ~all dalam data SPF ?
-all adalah hardfail yang memberitahu penerima untuk menolak atau menggagalkan server mana pun yang tidak tercantum dalam catatan. ~all adalah softfail yang menerima pengirim yang tidak terdaftar tetapi menandainya sebagai mencurigakan. Gunakan ~all saat menguji dan -all setelah setiap pengirim yang sah disertakan.
Bisakah saya memiliki lebih dari satu data SPF ?
Tidak. Sebuah domain harus memublikasikan tepat satu data SPF TXT . Dua atau lebih catatan SPF menyebabkan permerror dan merusak otentikasi. Gabungkan semua sumber menjadi satu catatan yang dimulai dengan v=spf1.
Apakah mekanisme ip4 dan ip6 diperhitungkan dalam batas 10 pencarian?
Tidak. ip4 dan ip6 mengotorisasi alamat secara langsung dan tidak memerlukan resolusi DNS , sehingga tidak menggunakan pencarian. Mekanisme seperti include, a, mx, ptr, dan ada dihitung dalam batas 10.
Apa yang dilakukan mekanisme penyertaan?
Mekanisme penyertaan mengimpor data SPF domain lain, yang merupakan cara Anda memberi otorisasi kepada pengirim pihak ketiga seperti Google Workspace atau SendGrid . Setiap penyertaan dihitung sebagai setidaknya satu pencarian DNS , dan penyertaan apa pun yang bersarang di dalamnya akan menambahkan lebih banyak lagi.
Bagaimana cara memeriksa catatan SPF saya?
Gunakan pemeriksa SPF . Ini mengambil catatan, memperluas setiap penyertaan dan menghitung pencarian DNS terhadap batas 10.
Bagaimana cara menggabungkan data SPF ?
Gabungkan mekanisme kedua catatan menjadi satu catatan v=spf1 dan pertahankan satu catatan di akhir.
Haruskah saya menggunakan ~all atau -all ?
Gunakan ~all saat Anda mengonfirmasi setiap pengirim, lalu -all . Dengan DMARC pada p=reject, keduanya berfungsi karena DMARC membuat keputusan akhir.
[ SPF memandu ]
Asal perusahaan
Mengapa lembaga keuangan dan pemerintah terkemuka menghentikan dasbor keamanan email mereka.
Platform autentikasi email tradisional menjual dasbor kepada Anda dan meminta teknisi Anda melakukan pekerjaannya. Di lingkungan berisiko tinggi, pengawasan manual berarti penegakan yang tertunda, penyimpangan konfigurasi, dan domain bayangan yang tidak dipantau.
EmailAuth adalah platform asal email agen. Agen kami menegakkan p=reject, jaga agar pengirim pihak ketiga tetap selaras dan pindahkan domain Anda ke kapasitas penuh RFC 9989 kepatuhan, standar DMARC baru, dengan kemampuan audit yang dapat dilakukan secara langsung oleh manusia.
SaaS · Penyewaan khusus · On-prem dengan celah udara · Enkripsi BYOK