Due SPF le policy con lo stesso nome DNS non si combinano in un elenco di mittenti autorizzati più ampio. Quando Registro SPF la selezione restituisce più di un record applicabile, la valutazione termina con permerror Sotto RFC 7208 §4.5. La riparazione è una politica coerente, non una terza voce TXT .
La parte difficile è decidere quali autorizzazioni appartengono ancora. Copiare ogni meccanismo in una singola riga può rimuovere l'errore di sintassi preservando fornitori obsoleti, reti eccessive e un problema di limite di ricerca.
Conferma cosa è effettivamente duplicato
Domanda Record TXT al dominio esatto utilizzato per il controllo SPF . Altri record TXT , come i token di verifica del dominio, non sono automaticamente record SPF e non devono essere eliminati come parte di questa riparazione. Distinguere più record di risorse da più stringhe di caratteri tra virgolette all'interno di un record TXT . Sotto RFC 7208 §3.3, le stringhe all'interno di un record vengono concatenate; i record SPF separati non lo sono.
Salva la risposta DNS completa, il TTL e le informazioni sul server autorevole. Conferma la zona pertinente e il nome del proprietario prima di modificare qualsiasi cosa. Un provider può aggiungere automaticamente il nome della zona a un campo host, facendo sì che una voce dell'editor apparentemente corretta arrivi al nome sbagliato.
Ricostruire il set di mittenti previsto
Crea una riga per meccanismo con quattro campi: servizio aziendale, proprietario responsabile, configurazione del fornitore di supporto e prova dell'invio corrente. Per intervalli IP espliciti, identificare chi gestisce gli indirizzi e perché è necessario tale intervallo. Per include, controllare le istruzioni correnti del fornitore e le dipendenze delle policy ricorsive. Tratta un meccanismo sconosciuto come una questione da risolvere, non come un permesso da conservare per sempre.
Separare i mittenti che utilizzano questo dominio busta dai servizi che utilizzano il proprio dominio busta. L'indirizzo del mittente visibile di un fornitore non è sufficiente per dimostrare che il suo traffico necessita di un SPF incluso qui. Allo stesso modo, l'assenza da un breve periodo di osservazione non determina il pensionamento: le fatture o le campagne stagionali possono essere poco frequenti.
Costruisci una politica ordinata
Conserva le autorizzazioni scelte e una policy finale voluta. Non concatenare interi record, lasciandone un secondo v=spf1 gettone o un Tutto meccanismo nel mezzo. Sotto RFC 7208 §5.1, un anticipo Tutto corrisponde a ogni fonte rimanente, quindi i meccanismi successivi non sono raggiungibili.
Stato iniziale illustrativo: un record è v=spf1 ip4:192.0.2.10 -all; un altro lo è v=spf1 ip4:198.51.100.20 ~all. Se entrambi gli indirizzi di sola documentazione rappresentano mittenti attuali confermati, è possibile che venga unita una politica v=spf1 ip4:192.0.2.10 ip4:198.51.100.20 ~all. La scelta del qualificatore finale richiede la propria revisione del routing. Se il secondo mittente fosse ritirato, unendolo si manterrebbe un'autorità non necessaria.
Valutare la policy completa, compresi include e reindirizzamenti nidificati. Sotto RFC 7208 §4.6.4, RFC 7208 impone un limite di dieci termini che causano la ricerca durante la valutazione; contare solo le istruzioni include visibili non è sufficiente. Esplicito ip4 E ip6 i meccanismi stessi non consumano il budget a termine, ma la sostituzione delle inclusioni gestite con elenchi IP copiati crea un obbligo di manutenzione.
Distribuire senza uno stato ambiguo prolungato
Preferisci un aggiornamento atomico del set di record DNS quando il provider lo supporta: sostituisci le policy concorrenti con il singolo record approvato in una sola modifica. Se l'interfaccia richiede modifiche separate, pianificare la sequenza e riconoscere il rischio temporaneo di policy mancanti o duplicate. Non creare un record SPF aggiuntivo “temporaneo” e lasciarlo per la propagazione.
Verificare le risposte autorevoli, quindi le risposte ricorsive pertinenti. Le vecchie risposte memorizzate nella cache mantengono i loro precedenti intervalli di aggiornamento; RFC 8767 §4 consente inoltre l'utilizzo qualificante di risposte obsolete dopo la scadenza. TTL non è una scadenza di revoca globale garantita. Invia messaggi rappresentativi da ogni servizio mantenuto e conferma l'identità valutata e il risultato a un destinatario fidato. Testa anche una fonte ineguagliabile sotto il tuo controllo, quindi un passaggio universale accidentale non viene scambiato per un successo.
Conserva le prove della pulizia
Il record delle modifiche dovrebbe spiegare ogni meccanismo mantenuto e rimosso, la valutazione della ricerca, lo stato DNS prima e dopo e i risultati del test. Un avviso di record duplicato viene chiuso solo quando è presente un record SPF selezionato e la policy esprime il set di mittenti revisionati. Ciò trasforma una riparazione DNS una tantum in un inventario di autorizzazioni gestibile.
Registrare la decisione e i suoi limiti
Per l'esempio a due indirizzi, un foglio di lavoro sulle autorizzazioni dovrebbe conservare ciascuna decisione del proprietario e la corrispondenza prevista separatamente dal qualificatore finale. L'esempio ~all unito restituisce ancora softfail per un indirizzo senza corrispondenza; non è una raccomandazione per indebolire una politica precedente -all . La modifica di quel qualificatore richiede una decisione esplicita. Per questa illustrazione non è stato eseguito alcun aggiornamento DNS o test di consegna.