Tutto il meccanismo corrisponde sempre. Il suo qualificatore quindi determina cosa SPF dice di un indirizzo di connessione che lo raggiunge. I finali familiari -all , ~all , ?all e +all sono quattro diverse istruzioni di autenticazione, non quattro azioni di consegna garantite.
Un meccanismo precedente potrebbe già aver restituito un risultato. Leggere tutto il percorso valutativo prima di interpretare l'ultima parola del disco. RFC 7208 §2.6 E RFC 7208 §5.1 definire queste semantiche.
Confronta i quattro finali
Con -all , un mittente che raggiunge tutti riceve un errore. La policy afferma che l'indirizzo non è autorizzato per l'identità valutata. Con ~all , riceve softfail , un'affermazione negativa più debole anziché un pass. Con ?all , diventa neutrale, il che significa che la politica non sta facendo una dichiarazione di autorizzazione per quell'indirizzo. Con +all , riceve il passaggio.
Sotto RFC 7208 §4.6.2, un all non qualificato ha il valore predefinito + qualificatore e pertanto passa anch'esso. Ciò rende il tutto una scelta di autorizzazione consequenziale, non un terminatore innocuo. Una volta che tutte le corrispondenze, i meccanismi successivi non possono fornire autorizzazioni aggiuntive.
Esempio realizzato: mantenere costante il mittente autorizzato
Utilizzare la politica sintetica v=spf1 ip4:192.0.2.90 QUALIFIERall. Per una connessione da 192.0.2.90 , ip4 corrisponde per primo e restituisce il passaggio sotto ogni suffisso. Per 192.0.2.91 , il primo meccanismo non corrisponde. Il finale scelto restituisce quindi rispettivamente fail, softfail , neutral o pass.
Cambiare ~all in -all non cambia il risultato per il primo indirizzo in questa fixture. Cambia il trattamento degli indirizzi che non sono stati già abbinati. Questo è il motivo per cui la domanda giusta è se tutti i percorsi di invio legittimi siano stati identificati, non se un mittente comune abbia superato un test.
Una politica composta da v=spf1 -all non autorizza indirizzi tramite SPF . Può esprimere un'identità di non invio, ma non è un'istruzione universale secondo cui ogni destinatario deve scartare ogni messaggio che visualizza quel dominio in Da.
Mantenere il risultato e la gestione separati
SPF restituisce un risultato di autenticazione. Il destinatario decide cosa fare con il messaggio utilizzando la politica locale e altre prove di seguito RFC 7208 §8.4 E RFC 7208 §8.5. Un fail non è una prova che ogni destinatario abbia rifiutato il messaggio, e softfail non è una promessa che verrà consegnato con un avviso.
SPF softfail e neutral non diventano percorsi SPF passanti DMARC. Sotto RFC 9989 §4.4.2, DMARC richiede un passaggio con allineamento per il suo percorso SPF o un passaggio separato allineato DKIM sentiero. Un messaggio può quindi passare DMARC attraverso DKIM nonostante il fallimento SPF . Al contrario, +all può produrre un pass SPF per un indirizzo senza rendere affidabile il suo contenuto.
Non utilizzare +all per silenziare una dashboard degli errori. Autorizza ogni indirizzo che lo raggiunge per quell'identità e annulla la restrizione prevista. Ripara invece i mittenti mancanti, le identità errate o le dipendenze interrotte.
Distinguere le conclusioni delle politiche dagli errori di valutazione
Per errore E temperror non sono altre ortografie di fail. Molteplici Registri SPF, sintassi non valida o limiti di elaborazione superati possono impedire la normale valutazione. Problemi DNS temporanei possono produrre temperror . La sostituzione -all con ~all non ripara un errore che si verifica prima che venga raggiunta la fine.
Raccogliere il risultato effettivo e tracciarlo prima di scegliere una modifica. Per un'interruzione DNS , indagare sulla dipendenza e sul percorso del risolutore. Per un mittente legittimo non riconosciuto, stabilirne il proprietario e l'identità prevista della busta prima di concedergli l'autorizzazione.
Lanciare una dichiarazione più rigorosa con prove
Inventario regolare, failover, IPv6 e percorsi di invio poco frequenti. Testare la politica proposta rispetto a tali indirizzi e a un controllo non autorizzato. Conserva il record precedente, definisci le condizioni di rollback basate sul servizio e verifica la posta ricevuta dopo la pubblicazione.
Laddove l'inoltro fa parte della consegna legittima, rivedere la progettazione più ampia dell'autenticazione, compreso DKIM allineato e il comportamento del destinatario. Non autorizzare in generale gli spedizionieri sconosciuti a far passare ogni percorso SPF indiretto.
Il pratico takeaway
Scegli il qualificatore per la dichiarazione che intendi fare sui mittenti altrimenti non corrispondenti. Verifica innanzitutto l'inventario e i percorsi di errore, quindi misura l'autenticazione e la consegna come risultati separati.
Registra la decisione successiva
Per 192.0.2.91 nel match sintetico, i quattro finali danno rispettivamente fail/ softfail /neutro/passaggio; I resti di 192.0.2.90 passano attraverso la precedente corrispondenza ip4. Se si verifica un errore di sintassi o di dipendenza prima di un risultato normale, la modifica del qualificatore finale non è una riparazione. Questi sono risultati del flusso di controllo analitico, non test di consegna.