[Risposta veloce]
Un record SPF è un singolo record TXT sul tuo dominio che inizia con v=spf1, elenca i mittenti autorizzati con meccanismi come include:, ip4: e ip6:, e termina con un qualificatore all. Esempio: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Fatti chiave
- ›Meccanismi: ip4, ip6, a, mx, include, esiste; modificatore: reindirizzamento.
- ›Qualificatori: + pass, ~ softfail , - fail, ? neutro.
- ›Mantieni entro 10 ricerche DNS e 255 caratteri per stringa.
- ›Evita ptr e +all .
Recensito dal team di ricerca EmailAuth
Un record SPF è un singolo record DNS TXT che elenca tutti i server e servizi autorizzati a inviare e-mail per il tuo dominio. Inizia con il tag di versione v=spf1, contiene una serie di meccanismi che definiscono le fonti autorizzate e termina con un meccanismo all che imposta la risposta predefinita per qualsiasi cosa non elencata. I server di posta riceventi leggono questo record per decidere se un server di connessione è autorizzato a inviare come dominio.
Esempio di record SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
I meccanismi spiegati
Ciascun meccanismo descrive un modo per autorizzare un mittente. Il ricevitore li valuta da sinistra a destra e si ferma al primo incontro. Alcuni meccanismi attivano le ricerche DNS e contano ai fini del limite di 10 ricerche stabilito da RFC 7208 .
- includono: inserisce il record SPF di un altro dominio, comune per fornitori come _spf.google.com , e conta come una ricerca.
- ip4: autorizza un indirizzo o un intervallo IPv4 specifico, senza costi di ricerca DNS .
- ip6: autorizza un indirizzo o un intervallo IPv6 specifico, senza costi di ricerca DNS .
- a: autorizza gli IP nel record A del dominio e conta come ricerca.
- mx: autorizza i server di posta nei record MX del dominio e conta come una ricerca.
- all: il catch -all alla fine che decide cosa succede alle fonti non elencate.
Hardfail contro softfail : -all e ~all
La qualificazione davanti a tutto cambia quanto è rigoroso il tuo record. Utilizzare -all (hardfail) per comunicare ai destinatari che qualsiasi server non elencato non è autorizzato e che il messaggio deve essere rifiutato o trattato come in errore. Utilizzare ~all ( softfail ) per indicare che i server non elencati probabilmente non sono autorizzati ma dovrebbero essere accettati e contrassegnati, il che è utile durante i test. Un hardfail è la posizione più forte una volta che sei sicuro che tutti i mittenti legittimi siano inclusi. Evita +all , che autorizza tutti e vanifica lo scopo.
Softfail durante il test
Inizia con ~all per osservare i risultati senza bloccare la posta, quindi passa a -all una volta confermato ogni mittente.
Un record, guarda le tue ricerche
Un dominio deve pubblicare esattamente un record SPF . Due record TXT SPF causano un permerror . Man mano che aggiungi fornitori, ciascuno di essi si espande in ulteriori ricerche e i servizi più popolari si accumulano rapidamente. Quando si attraversano 10 ricerche, il record fallisce silenziosamente per la posta legittima. EmailAuth SmartSPF unisce le catene di inclusione in un unico record ottimizzato e mantiene sincronizzati automaticamente gli intervalli IP dei fornitori per Microsoft 365 , Google Workspace , Salesforce e SendGrid . Una scansione gratuita del dominio mostra i tuoi meccanismi attuali e il numero di ricerche. Associa SPF a DKIM e DMARC in modo che l'allineamento venga mantenuto anche quando la posta viene inoltrata.
Domande frequenti
Qual è la differenza tra -all e ~all in un record SPF ?
-all è un hardfail che dice ai ricevitori di rifiutare o fallire qualsiasi server non elencato nel record. ~all è un softfail che accetta mittenti non elencati ma li contrassegna come sospetti. Utilizzare ~all durante il test e -all una volta incluso ogni mittente legittimo.
Posso avere più di un record SPF ?
No. Un dominio deve pubblicare esattamente un record TXT SPF . Due o più record SPF causano un permerror e interrompono l'autenticazione. Unisci tutte le fonti in un unico record che inizia con v=spf1.
I meccanismi ip4 e ip6 contano ai fini del limite di 10 ricerche?
No. IP4 e IP6 autorizzano direttamente gli indirizzi e non richiedono alcuna risoluzione DNS , quindi non consumano ricerche. Meccanismi come include, a, mx, ptr ed esiste contano ai fini del limite di 10.
Cosa fa il meccanismo di inclusione?
Il meccanismo di inclusione importa il record SPF di un altro dominio, ovvero il modo in cui autorizzi mittenti di terze parti come Google Workspace o SendGrid . Ciascuna inclusione conta come almeno una ricerca DNS e qualsiasi inclusione nidificata al suo interno ne aggiunge altre.
Come posso controllare il mio record SPF ?
Utilizza un correttore SPF . Recupera il record, espande ogni inclusione e conta le ricerche DNS rispetto al limite di 10.
Come posso combinare i record SPF ?
Unisci i meccanismi di entrambi i record in un unico record v=spf1 e mantieni un unico tutto alla fine.
Dovrei usare ~all o -all ?
Usa ~all mentre confermi ogni mittente, quindi -all . Con DMARC su p=reject, entrambi funzionano perché DMARC prende la decisione finale.
[ SPF guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK