UN Registro SPF è una sequenza di test con risultati espliciti. La differenza tra due punti, un segno di uguale e un qualificatore è importante. Una modifica sintatticamente valida può anche alterare chi è autorizzato, quali dipendenze DNS vengono raggiunte o dove si interrompe l'elaborazione.
Utilizzo RFC 7208 §4.6, RFC 7208 §5.2 E RFC 7208 §6 come riferimento grammaticale e valutativo. Tratta gli esempi seguenti come elementi sintetici, non come record da incollare nella produzione.
Meccanismi separati dai modificatori
Un meccanismo chiede se un input corrisponde: gli esempi includono ip4, ip6, a, mx, include, esiste e tutti. Un qualificatore collegato a un meccanismo di corrispondenza ne determina il risultato: + dà pass, - fail, ~ softfail e ? neutro. Sotto RFC 7208 §4.6.2, se il qualificatore viene omesso, + è implicito.
I modificatori utilizzano un segno di uguale. redirect=policy.example.com delega la valutazione quando nessun meccanismo corrisponde. exp=explain.example.com identifica il testo esplicativo per determinati risultati di errore. Non sono meccanismi di abbinamento aggiuntivi. I modificatori riconosciuti hanno le proprie regole; i modificatori non riconosciuti sintatticamente validi vengono ignorati, mentre un meccanismo non riconosciuto è un errore.
Un record inizia con v=spf1 ed è pubblicato come DNS registrazione TXT all'identità valutata. Due record SPF separati presso lo stesso proprietario non rappresentano un modo per combinare i mittenti; Ritorna la selezione dei record SPF permerror Sotto RFC 7208 §4.5. Più stringhe tra virgolette all'interno di un record TXT sono una rappresentazione diversa e sono concatenate senza spazi inseriti sotto RFC 7208 §3.3.
Traccia un esempio completo
Presupporre una sintassi valida, un record SPF per ciascun nome e un recupero DNS riuscito. Supponiamo che la politica lo sia v=spf1 ip4:192.0.2.20 include:service.example.net -all. La politica inclusa è v=spf1 ip4:198.51.100.10 -all.
Per 192.0.2.20 , il primo meccanismo corrisponde e restituisce il passaggio. L'inclusione non è necessaria per quel percorso di valutazione. Per 198.51.100.10 , il primo meccanismo non corrisponde, la politica inclusa restituisce il passaggio e l'inclusione esterna corrisponde al suo valore predefinito + qualificatore. Per 203.0.113.7 , i rendimenti della policy inclusi falliscono; ciò fa sì che include non corrisponda e l'outdoor -all fornisce il fallimento finale.
Questa traccia spiega perché l'inclusione non è una sostituzione del testo. L'included -all non rifiuta immediatamente tutti gli indirizzi che non rispettano la politica del servizio. La policy principale riprende dopo un risultato di inclusione non corrispondente.
Comprendere dove si interrompe l'elaborazione
Un meccanismo di corrispondenza pone fine alla valutazione del meccanismo ordinario. Anche un errore relativo al termine raggiunto può interrompere la valutazione. La riorganizzazione dei termini può quindi modificare il risultato o le dipendenze che un destinatario deve interrogare.
Il meccanismo completo corrisponde sempre, pertanto i termini successivi non possono fornire autorizzazioni aggiuntive. UN modificatore di reindirizzamento viene ignorato quando è presente un meccanismo all in qualsiasi punto del record. Scrivere -all reindirizzamento= policy.example.com non crea un fallback di emergenza.
Sotto RFC 7208 §4.7, se nessun meccanismo corrisponde e non è presente alcun reindirizzamento, il risultato predefinito è neutro. Rendi esplicito il finale previsto in modo che un altro amministratore non debba dedurre se l'omissione fosse intenzionale.
Controllare il percorso e l'intero record
Prima della pubblicazione, convalida la sintassi completa, non solo la parte che dovrebbe corrispondere a un IP familiare. Una polizza non valida non può essere resa sicura presupponendo una corrispondenza anticipata favorevole. Quindi valutare gli input IPv4 e IPv6 autorizzati, un input non autorizzato e le dipendenze che non riescono o non restituiscono alcun record SPF .
Le principali coperture del limite dei termini DNS valutate includono a, mx, ptr, esiste e termini di reindirizzamento, inclusa la ricorsione. Non è un conteggio dei frammenti TXT citati. Mantieni traccia mostrando sia l'esito selezionato che i termini DNS raggiunti. Budget per modifiche alla dipendenza del fornitore invece di progettare una politica senza margine.
Apportare una modifica rivedibile
Scrivi il record proposto accanto al record corrente e spiega la differenza di autorizzazione prevista nel linguaggio comune. Conserva il valore precedente e il TTL, controlla il risultato sul DNS autorevole e tramite un risolutore ricorsivo, quindi verifica i messaggi ricevuti dal rappresentante.
La condizione di accettazione non è semplicemente che un parser accetti la stringa. I mittenti previsti dovrebbero passare per l'identità corretta, i mittenti non previsti non dovrebbero ottenere l'autorizzazione ed essere richiesti DMARC allineamento dovrebbe rimanere intatto.
Il pratico takeaway
Leggi ciascuno SPF termine per tipo, qualifica e posizione. Una chiara traccia di valutazione rende la revisione della sintassi una revisione dei permessi piuttosto che un esercizio di punteggiatura.
Mantenere la decisione riproducibile
Nel dispositivo a due record, l'indirizzo locale passa prima dell'inclusione, l'indirizzo del servizio passa tramite il passaggio figlio e l'indirizzo non correlato raggiunge il fallimento finale del genitore. Se il bambino invece non ha alcun record SPF , l'inclusione raggiunta restituisce permerror . Mantieni il caso di errore separato dal fallimento/non corrispondenza del figlio. Questi sono risultati analitici, non un parser o un test di verifica eseguito.