[Risposta veloce]
SPF (Sender Policy Framework) è un record DNS TXT che elenca i server di posta e i servizi autorizzati a inviare e-mail per il tuo dominio. I ricevitori confrontano l'IP del server mittente con questo elenco. È definito nella RFC 7208 ed è uno dei tre controlli richiesti Gmail e Yahoo .
Fatti chiave
- ›Pubblicato come record TXT nel dominio radice, a partire da v=spf1.
- ›Un solo record SPF per dominio; due record causano un PermError.
- ›Massimo 10 meccanismi di interrogazione DNS (include, a, mx, ptr, esiste, reindirizzamento).
- ›Termina con ~all ( softfail ) o -all (fail).
- ›SPF controlla il mittente della busta ( Return-Path ), non l'indirizzo del mittente visibile; DMARC aggiunge quel collegamento.
Recensito dal team di ricerca EmailAuth
SPF (Sender Policy Framework) è uno standard di autenticazione e-mail, definito nella RFC 7208 , che consente al proprietario di un dominio di pubblicare l'elenco dei server di posta autorizzati a inviare e-mail per conto di quel dominio. Quando un server ricevente riceve un messaggio, controlla l'indirizzo IP del server mittente rispetto al record SPF pubblicato del dominio in DNS . Se l'IP è autorizzato, SPF passa. In caso contrario, il destinatario può considerare il messaggio come sospetto o rifiutarlo. SPF è uno dei tre standard principali che proteggono un dominio dallo spoofing, insieme a DKIM e DMARC .
Come funziona SPF passo dopo passo
SPF funziona durante la conversazione SMTP , prima che il corpo del messaggio venga completamente accettato. Il controllo viene eseguito rispetto al dominio nel Return-Path (il mittente della busta), non all'indirizzo del mittente visibile, che è una distinzione importante per l'allineamento DMARC . Il server ricevente legge il record SPF , risolve i meccanismi in esso contenuti e confronta l'IP di connessione con gli intervalli autorizzati.
- Un server di invio si connette e annuncia il dominio del mittente della busta.
- Il destinatario interroga DNS per il record TXT SPF di quel dominio.
- Il ricevitore valuta ciascun meccanismo in ordine fino a quando non corrisponde.
- Una partita restituisce pass, fail, softfail o neutrale in base alla qualificazione.
- Il destinatario applica la propria policy e DMARC utilizza il risultato per l'allineamento.
Il limite di 10 ricerche DNS
RFC 7208 limita la valutazione SPF a 10 ricerche DNS per controllo. Meccanismi come include, a, mx, ptr ed esiste ciascuno consumano ricerche e ogni inclusione può attivare ulteriori ricerche nidificate all'interno del record di terze parti. Mittenti popolari come Google Workspace , Microsoft 365 , Salesforce e SendGrid aggiungono ciascuno le proprie catene, quindi un dominio con una manciata di fornitori può superare rapidamente il limite. Quando la valutazione supera le 10 ricerche, il ricevitore restituisce un permerror , che la maggior parte dei sistemi considera un errore.
Perché il limite morde
Incrocia 10 ricerche e SPF restituisce permerror . La posta legittima proveniente dai tuoi fornitori approvati può quindi fallire l'autenticazione senza errori visibili.
Dove finisce SPF e iniziano DKIM e DMARC
SPF controlla il server che si connette, quindi non sopravvive all'inoltro. Quando una casella di posta inoltra un messaggio, il nuovo IP di connessione è lo spedizioniere, non il server, e SPF si interrompe. DKIM firma il contenuto del messaggio con una chiave crittografica che viaggia con l'e-mail, in modo che possa sopravvivere all'inoltro. DMARC unisce entrambi richiedendo che SPF o DKIM passino e si allineino con il dominio Da visibile e dice ai destinatari cosa fare in caso di errore. A partire dalle regole di Google e Yahoo del 2024, i mittenti di massa devono autenticarsi con SPF e DKIM e pubblicare DMARC .
Correzione dell'overflow della ricerca con SmartSPF
EmailAuth SmartSPF risolve il limite di 10 ricerche con l'appiattimento dinamico. Espande l'intera catena di inclusione, la compatta in un unico record ottimizzato e mantiene sincronizzati gli intervalli IP dei mittenti di terze parti per Salesforce , SendGrid , Microsoft 365 e Google Workspace man mano che i fornitori modificano la loro infrastruttura. Una scansione gratuita del dominio espande la tua catena di inclusione e conta le tue ricerche attuali in modo da poter vedere esattamente dove ti trovi.
Domande frequenti
Cosa significa SPF ?
SPF sta per Sender Policy Framework. È uno standard di autenticazione della posta elettronica definito nella RFC 7208 che consente a un dominio di pubblicare quali server di posta possono inviare per suo conto. I server riceventi lo utilizzano per rilevare mittenti contraffatti.
SPF blocca tutto lo spoofing delle e-mail?
No. SPF controlla solo il dominio del mittente della busta rispetto agli IP autorizzati e si interrompe quando la posta viene inoltrata. Per proteggere completamente l'indirizzo Da visibile sono necessari anche DKIM e una policy DMARC che imponga l'allineamento.
Qual è il limite di ricerca DNS SPF 10?
RFC 7208 consente un massimo di 10 ricerche DNS quando un destinatario valuta un record SPF . Meccanismi come include, a e mx utilizzano ciascuno ricerche e i record dei fornitori nidificati ne aggiungono altri. Se si supera 10 viene restituito un permerror , che viene considerato un errore.
SPF è ancora necessario nel 2024 e oltre?
SÌ. Dal 2024 Google e Yahoo richiedono che i mittenti in blocco autentichino le e-mail e SPF ne è una parte fondamentale insieme a DKIM e DMARC . Se lo salti rischi che la tua posta venga filtrata o rifiutata.
Cos'è un record SPF ?
Un record DNS TXT che elenca i server autorizzati a inviare email per il tuo dominio, ad esempio v=spf1 include:_spf.google.com ~all .
Come faccio ad aggiungere più record SPF ?
Non puoi. Combina tutti i mittenti in un unico record: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Come posso creare un record SPF ?
Elenca tutti i servizi che inviano posta per te, aggiungi l'inclusione o l'IP di ciascun provider e termina con ~all o -all . Un generatore SPF lo costruisce per te.
Qual è il limite di ricerca SPF 10?
La valutazione SPF può eseguire al massimo 10 ricerche DNS . Il superamento restituisce PermError e SPF fallisce. Rimuovere le inclusioni non utilizzate o appiattire il record.
Cosa significa v=spf1 include:_spf.google.com ~all ?
Autorizza i server Google Workspace a inviare il tuo dominio e interrompe gradualmente tutto il resto.
[ SPF guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK