Quando due SPF le pedine mostrano conteggi di ricerca diversi, non scegliere il numero più rassicurante. Stabilire cosa ha misurato ciascuno strumento. Uno può visualizzare i termini dipendenti dal DNS su un percorso valutato, un altro può espandere un grafico delle politiche e un terzo può mostrare le query di rete. Tali risultati possono rispondere a domande diverse anche quando ispezionano lo stesso dominio.
Chiedi cosa significa il contatore
RFC 7208 sezione 4.6.4 limita i termini valutati dipendenti dal DNS durante la ricorsione. Non si tratta semplicemente del conteggio di tutte le stringhe TXT , di ogni pacchetto DNS o del numero di include scritti visibilmente al livello più alto. Le risposte memorizzate nella cache non garantiscono un budget logico più ampio.
Separare anche gli altri vincoli. Gli indirizzi delle specifiche ricerche nulle e limiti specifici del meccanismo in aggiunta al massimale principale del periodo valutato. Uno strumento può presentare un avviso combinato mentre un altro espone ciascuna categoria. Salva il testo esatto dell'avviso e la documentazione invece di dare per scontato che ogni etichetta rossa significhi la stessa cosa.
Assegna a entrambi gli strumenti lo stesso dispositivo
Registra il dominio valutato, l'IP di connessione, l'identità del mittente, HELO ove rilevante, visualizzazione del risolutore e tempo di query. Se lo strumento accetta solo un dominio, scopri se il suo conteggio è una stima statica, un'analisi del caso peggiore o un particolare percorso sintetico. Una scansione del solo dominio non equivale automaticamente alla valutazione di una connessione reale.
Per le policy che utilizzano macro, gli input di identità mancanti possono avere importanza diretta. Confrontare separatamente i casi IPv4 e IPv6 quando si verificano entrambi. Conservare le risposte DNS o un dispositivo controllato riproducibile in modo che una successiva modifica del provider non trasformi un presunto confronto di strumenti in un confronto di politiche diverse.
Cammina un piccolo esempio illustrativo
Consideriamo una politica sintetica:
v=spf1 ip4:192.0.2.10 include:_spf.vendor.example -all
Sotto RFC 7208 §4.6.2 E RFC 7208 §5.6, per 192.0.2.10 l'indirizzo esplicito può corrispondere prima che venga valutata l'inclusione. Per un altro indirizzo, la valutazione può raggiungere l'inclusione e le sue dipendenze nidificate. Uno strumento di espansione del grafico può visualizzare quel ramo anche quando il percorso del primo messaggio non lo raggiunge mai. I diversi numeri necessitano di una spiegazione, non di un verdetto automatico che uno degli strumenti sia difettoso.
Rendi esplicito il target di inclusione per confrontare i conteggi numerici. In questo apparecchio sintetico, _spf.vendor.example ha esattamente un SPF registrazione TXT, v=spf1 ip4:192.0.2.20 -all. Si presuppone che il recupero DNS abbia avuto successo, che la sintassi sia valida, che non siano presenti dipendenze aggiuntive e che sia normale MAIL DA valutazione per il dominio principale.
- Input 192.0.2.10 : il primo meccanismo ip4 del genitore corrisponde. Il percorso effettivo valuta 0 termini dipendenti dal DNS e non visita mai l'inclusione.
- Ingresso 192.0.2.20 : l'ip4 del genitore non corrisponde. L'inclusione viene valutata, il suo ip4 di destinazione corrisponde e il genitore restituisce pass. Il percorso effettivo valuta 1 termine dipendente dal DNS, include.
- Input 192.0.2.30 : la destinazione di inclusione raggiunge -all e i risultati restituiti falliscono, quindi l'inclusione non corrisponde. Il genitore raggiunge il proprio -all e restituisce un errore. Il percorso effettivo valuta ancora 1 termine dipendente dal DNS, coerente con RFC 7208 §5.2.
Un conteggio del grafico statico dei termini dipendenti dal DNS è 1 per l'intero dispositivo, indipendentemente dalla connessione selezionata. Il recupero TXT iniziale della policy padre è obbligatorio ma non è di per sé uno dei termini valutati conteggiati rispetto a questo limite. Pertanto è possibile spiegare la visualizzazione di 0 per il primo input e di 1 per il grafico espanso. Si tratta di risultati analitici attesi, non di misurazioni eseguite o di conteggi di pacchetti di rete.
Ora immagina che la policy inclusa cambi tra le due scansioni. Una nuova scansione potrebbe legittimamente esporre un diverso albero delle dipendenze. Salva i timestamp e le risposte effettive prima di intensificare il disaccordo. Uno screenshot senza input è una prova debole.
Confronta le tracce alla prima divergenza
Costruisci un elenco affiancato dei termini valutati. Trova il primo luogo in cui gli strumenti non sono d'accordo: selezione di record, corrispondenza anticipata, ricorsione, errore DNS , espansione di macro o convenzione di conteggio. Controllare se uno si ferma a un errore mentre l'altro continua a scopo diagnostico. Un'espansione diagnostica può essere utile senza rappresentare una valutazione completata valida.
Se uno strumento sembra contraddire lo standard, produrre un dispositivo sintetico minimo e il comportamento previsto con un riferimento alla sezione. Invialo al manutentore dello strumento attraverso il normale processo di supporto, evitando dati di produzione riservati dove andrà bene un dispositivo. Non alterare la produzione solo per mettere d'accordo dashboard incoerenti.
Prendi una decisione in base alle prove risolte
Un percorso breve valido per un mittente non stabilisce l'integrità di ogni mittente. Testare input legittimi rappresentativi e un input non corrispondente e ispezionare le dipendenze che potrebbero cambiare in seguito. Al contrario, un grafico statico di grandi dimensioni non è di per sé la prova che ogni messaggio superi il limite dei termini valutati.
Registra quale misurazione supporta la tua decisione, eventuali limitazioni irrisolte dello strumento e l'impatto previsto di una modifica proposta. Utilizzo ordinamento del meccanismo solo dopo aver compreso quei percorsi. Se non è possibile conciliare una discrepanza consequenziale, conservare le prove attuali e richiedere una revisione specifica dell'implementazione anziché presentare come certezza un conteggio inspiegabile.
Metti la decisione per iscritto
Per il dispositivo a due record specificato, conservare il testo padre e figlio, l'indirizzo di input, la definizione del conteggio e il superamento/fallimento previsto. I valori 0/1/1 sono conteggi analitici valutati in termini di termini, non pacchetti DNS misurati o esecuzione di strumenti indipendenti. Se uno strumento riporta una quantità diversa, etichettala prima del confronto. Una discrepanza in un percorso di gestione degli errori necessita di una propria soluzione piuttosto che di un'estrapolazione da queste ricerche riuscite.