SPF's Limite di 10 ricerche si applica ai termini specifici dipendenti dal DNS valutati durante un controllo SPF . Non è una regola che consente dieci istruzioni include visibili nel record root. Le politiche nidificate condividono il limite della valutazione e una corrispondenza anticipata può interrompere il controllo prima che vengano raggiunti i rami successivi.
Quando viene superato il limite del termine conteggiato, il risultato è permerror. Una diagnosi utile traccia il mittente che si connette attraverso la policy applicabile e registra i punti in cui la valutazione continua, corrisponde o fallisce. Questa traccia mostra quali dipendenze necessitano di attenzione e di quali autorizzazioni l'azienda ha ancora bisogno.
Comprendi cosa conta SPF
RFC 7208 §4.6.4 identifica includere, a, mx, ptr E esiste, più il reindirizzare modificatore, poiché i termini che causano query DNS sono soggetti al limite generale quando valutati. Sotto RFC 7208 §4.1, le politiche di riferimento condividono il limite globale della valutazione anziché ricevere nuove quote indipendenti.
IL Tutto, ip4 E ip6 i meccanismi non consumano quel limite di termine. IL esp Il modificatore non lo consuma durante la valutazione SPF , anche se in seguito può essere eseguita una ricerca della spiegazione. Si applicano ancora altri limiti e vincoli operativi, inclusi i requisiti che riguardano l'espansione MX / PTR e ricerche nulle.
La ricerca TXT SPF iniziale non deve essere confusa con un meccanismo di inclusione valutato. Una diagnostica dovrebbe indicare cosa rappresenta il numero visualizzato: un conteggio dei termini del protocollo, una stima di espansione statica o query DNS osservate.
Esempio pratico: due include portano a un undicesimo termine
Quello che segue è un dispositivo sintetico che utilizza domini di esempio riservati e indirizzi IP di documentazione. Non è DNS attivo e non è un record di produzione da incollare.
La politica principale è:
v=spf1 include:billing.example.net include:messages.example.org -allSupponiamo che la politica di fatturazione valuti tre ulteriori include, ciascuna contenente solo un ip4 meccanismo e -all. Supponiamo che la policy dei messaggi valuti sei ulteriori include creati allo stesso modo. Supponiamo che ogni policy raggiunta abbia un SPF sintatticamente valido registrazione TXT, tutti i recuperi DNS hanno esito positivo, ogni policy intermedia termina con -all e non sono presenti altri termini. Per questo esempio, nessuno degli indirizzi autorizzati corrisponde al mittente che si connette.
- La fatturazione root include: totale parziale 1.
- La fatturazione tre nidificata include: totale parziale 4.
- I messaggi root includono: totale parziale 5.
- I primi cinque messaggi nidificati includono: totale parziale 10.
- Il sesto messaggio nidificato include: supererebbe il limite, producendo permerror .
La radice contiene solo due inclusioni visibili. Il percorso completo non corrispondente tenta un undicesimo termine conteggiato.
Consideriamo ora un mittente diverso che corrisponda al primo criterio di fatturazione nidificato. In questa partita può passare dopo due include contate. La valutazione non continua attraverso il ramo successivo del servizio di messaggistica solo per utilizzare l'indennità.
Questo è il motivo per cui la traccia del percorso e il relativo indirizzo di input sono importanti. È anche il motivo per cui uno strumento di espansione statica e la valutazione particolare di un ricevitore possono visualizzare conteggi dall'aspetto diverso senza misurare la stessa cosa.
Tracciare l'effettiva valutazione fallita
Raccogli l'IP di connessione, il dominio della busta valutato da SPF, le risposte TXT complete e pertinenti e la diagnostica del ricevitore. Conservare i tempi: la politica di riferimento di un fornitore può cambiare dopo la consegna originale.
Registra ogni termine conteggiato raggiunto, la politica di riferimento e il risultato che fa sì che la valutazione continui, corrisponda o fallisca. Distinguere un errore di termine eccessivo dalla sintassi non corretta, diversi Registri SPF, una dipendenza circolare o un errore DNS temporaneo.
Una ricerca del record root aiuta a stabilire il punto di partenza:
scavare TXT example.com . +nessuno +rispostaIL Manuale di scavo BIND documenta queste opzioni di query/visualizzazione DNS. Di per sé non valuta SPF né stabilisce il conteggio delle ricerche. Un comando di query DNS non sostituisce la traccia.
Scegli una correzione mantenibile
Inizia con autorizzazioni obsolete. Confermare che un'inclusione non sia più necessaria prima di rimuoverla; i servizi condivisi e la posta stagionale possono rendere fuorviante un intervallo tranquillo.
Per i servizi attivi, controlla la configurazione supportata dal provider. Un sottodominio di invio dedicato o un'identità di busta personalizzata supportata possono ridurre le dipendenze non correlate e migliorare la governance, ma le identità e allineamento necessitano ancora di verifica.
La modifica dell'ordine del meccanismo può alterare il percorso valutato. Testare input rappresentativi legittimi e non corrispondenti invece di spostare prima il servizio più trafficato e dichiarare risolta l'intera policy.
L'appiattimento può sostituire le policy di riferimento con i dati degli indirizzi e ridurre i termini conteggiati. Crea anche lavoro di manutenzione: le modifiche all'indirizzo del provider devono essere riflesse, le autorizzazioni obsolete devono essere rimosse e i guasti rilevati. I vincoli relativi alla lunghezza dei record e DNS non scompaiono. Non utilizzare intervalli ampi o permissivi +all come scorciatoia.
Controlla l'effetto sui servizi legittimi
Un'azienda può raggiungere questo problema dopo anni trascorsi ad aggiungere servizi allo stesso dominio. Rimangono le vecchie inclusioni, i provider aggiungono dipendenze e nessuno possiede l'intero set di autorizzazioni.
Richiedi una spiegazione a livello di servizio: quali messaggi legittimi incontrano il percorso in errore, quali autorizzazioni sono ancora necessarie e chi manterrà la sostituzione. La soluzione apparentemente più economica può diventare costosa se copia gli indirizzi dei provider in un record che nessuno tiene aggiornato.
Giudica il risultato in base al ripristino della posta legittima e alle autorizzazioni controllate. Un numero inferiore di pedine è una prova utile, ma non rappresenta l'intero risultato aziendale.
Verificare le autorizzazioni risultanti e l'allineamento DMARC
Richiedere una mappa del servizio-autorizzazione mantenuta, una modifica responsabile e prove per tutti i percorsi legittimi interessati. Chiedere se la correzione ha introdotto una nuova dipendenza DNS attiva, ha esternalizzato la manutenzione o ha mantenuto l'accesso non necessario all'infrastruttura.
Tieni traccia del motivo di ogni autorizzazione e delle condizioni per il pensionamento. Una politica SPF tecnicamente valida può ancora autorizzare troppo. Inoltre non stabilisce reputazione del mittente o la sicurezza del contenuto di un messaggio.
Dopo la correzione, rivalutare gli input precedentemente non riusciti e il traffico legittimo rappresentativo. Quindi verifica DMARC allineamento separatamente. Un passaggio SPF non elaborato ripristinato per un dominio busta non correlato non viene risolto un errore di allineamento.
Il pratico takeaway
Una correzione riuscita dimostra una valutazione conforme per gli input pertinenti e un invio legittimo e continuato. Conserva la traccia delle dipendenze e il motivo di ogni autorizzazione mantenuta. Successivamente verificare l'allineamento sui messaggi reali; un risultato SPF grezzo riparato è solo una parte di DMARC .
Registra la decisione successiva
L'incontro non corrispondente ha 1+3+1+6=11 termini conteggiati tentati; il sesto messaggio nidificato include supera il limite dopo 10. La corrispondenza della fatturazione anticipata richiede solo due include. Mantieni questo presupposto impostato con qualsiasi confronto di strumenti ed etichetta l'espansione del grafico separatamente dal conteggio dei percorsi valutati. Per questi esempi non è stato eseguito alcun valutatore o query di rete.