안 SPF 레코드 명시적인 결과가 나오는 일련의 테스트입니다. 콜론, 등호 및 한정자의 차이가 중요합니다. 구문적으로 유효한 변경은 승인된 사람, 도달한 DNS 종속성 또는 처리가 중지되는 위치를 변경할 수도 있습니다.
사용 RFC 7208 §4.6, RFC 7208 §5.2 그리고 RFC 7208 §6 문법 및 평가 참고 자료로 사용됩니다. 아래 예를 생산에 붙여 넣을 기록이 아닌 합성 고정물로 취급하십시오.
수정자와 메커니즘을 분리하세요.
메커니즘은 입력이 일치하는지 여부를 묻습니다. 예에는 ip4, ip6, a, mx, include, presents 및 all이 포함됩니다. 일치 메커니즘에 연결된 한정자는 결과를 결정합니다. +는 통과, - 실패, ~ softfail 및 ?를 제공합니다. 중립적. 아래에 RFC 7208 §4.6.2, 한정자가 생략되면 +가 암시됩니다.
수정자는 등호를 사용합니다. redirect=policy.example.com 일치하는 메커니즘이 없을 때 평가를 위임합니다. exp=explain.example.com 특정 실패 결과에 대한 설명 텍스트를 식별합니다. 이는 추가적인 일치 메커니즘이 아닙니다. 인식된 수정자에는 고유한 규칙이 있습니다. 구문적으로 유효한 인식할 수 없는 수정자는 무시되는 반면, 인식할 수 없는 메커니즘은 오류입니다.
기록 v=spf1 로 시작하고 DNS 로 게시됩니다. TXT 레코드 평가된 신원에서. 동일한 소유자의 두 개의 별도 SPF 레코드는 보낸 사람을 결합하는 방법이 아닙니다. SPF 레코드 선택 반환 permerror 아래에 RFC 7208 §4.5. 하나의 TXT 레코드 내의 여러 인용 문자열은 다른 표현이며 아래에 공백을 삽입하지 않고 연결됩니다. RFC 7208 §3.3.
전체 예제 추적
유효한 구문, 각 이름에 하나의 SPF 레코드 및 성공적인 DNS 검색을 가정합니다. 정책이 다음과 같다고 가정하자. v=spf1 ip4:192.0.2.20 include:service.example.net -all. 포함된 정책은 다음과 같습니다. v=spf1 ip4:198.51.100.10 -all.
192.0.2.20 의 경우 첫 번째 메커니즘이 일치하고 통과를 반환합니다. 해당 평가 경로에는 포함이 필요하지 않습니다. 198.51.100.10 의 경우 첫 번째 메커니즘은 일치하지 않고 포함된 정책은 통과를 반환하며 외부 포함은 기본 + 한정자와 일치합니다. 203.0.113.7 의 경우 포함된 정책 반환이 실패합니다. 이는 일치하지 않는 포함을 만들고 외부 -all 최종 실패를 제공합니다.
이 추적은 include가 텍스트 대체가 아닌 이유를 설명합니다. 포함된 -all 은 서비스 정책을 놓친 모든 주소를 즉시 거부하지 않습니다. 일치하지 않는 포함 결과 후에 상위 정책이 재개됩니다.
처리가 중지되는 위치 이해
일치 메커니즘은 일반적인 메커니즘 평가를 종료합니다. 도달한 용어의 오류로 인해 평가가 종료될 수도 있습니다. 따라서 용어를 재배열하면 결과 또는 수신자가 쿼리해야 하는 종속성이 변경될 수 있습니다.
all 메커니즘은 항상 일치하므로 그 이후의 용어는 추가 승인을 제공할 수 없습니다. 에이 리디렉션 수정자 레코드의 어느 곳에나 all 메커니즘이 있으면 무시됩니다. 글쓰기 -all 리디렉션= policy.example.com 긴급 폴백을 생성하지 않습니다.
아래에 RFC 7208 §4.7, 일치하는 메커니즘이 없고 리디렉션도 없으면 기본 결과는 중립입니다. 다른 관리자가 생략 의도가 있었는지 유추할 필요가 없도록 의도한 결말을 명시적으로 작성합니다.
경로 및 전체 기록 확인
게시하기 전에 익숙한 IP와 일치할 것으로 예상되는 부분뿐만 아니라 전체 구문의 유효성을 검사하세요. 유리한 조기 일치를 가정하여 유효하지 않은 정책을 안전하게 만들 수는 없습니다. 그런 다음 승인된 IPv4 및 IPv6 입력, 승인되지 않은 입력, 실패하거나 SPF 레코드를 반환하지 않는 종속성을 평가합니다.
평가된 주요 DNS 용어 제한에는 재귀를 포함하여 a, mx, ptr, 존재 및 리디렉션 용어가 포함됩니다. 인용된 TXT 조각의 개수가 아닙니다. 선택한 결과와 도달한 DNS 용어를 모두 보여주는 추적을 유지하세요. 헤드룸 없이 정책을 설계하는 대신 공급자 종속성 변경에 대한 예산을 책정하세요.
검토 가능한 변경을 하세요
현재 기록 옆에 제안된 기록을 쓰고 의도한 허가 차이를 일반 언어로 설명합니다. 이전 값과 TTL을 유지하고, 권한 있는 DNS 와 Recursive Resolver를 통해 결과를 확인한 후 대표 수신 메시지를 테스트합니다.
수락 조건은 단순히 파서가 문자열을 수락하는 것이 아닙니다. 의도한 발신자는 올바른 신원을 확인하기 위해 통과해야 하며, 의도하지 않은 발신자는 허가를 받아서는 안 되며 필수입니다. DMARC 조정 그대로 유지되어야 합니다.
실용적인 테이크아웃
각각 읽어보세요 SPF 유형, 한정자 및 위치별로 용어를 지정합니다. 명확한 평가 추적을 통해 구문 검토를 구두점 연습이 아닌 권한 검토로 만듭니다.
의사결정을 재현 가능하게 유지
2개의 레코드 픽스처에서 로컬 주소는 포함 전에 전달되고 서비스 주소는 하위 전달을 통해 전달되며 관련 없는 주소는 상위의 최종 실패에 도달합니다. 대신 하위 항목에 SPF 레코드가 없는 경우 도달된 포함은 permerror 반환합니다. 해당 오류 사례를 하위 실패/비일치와 별도로 유지하세요. 이는 실행된 파서나 검증자 테스트가 아닌 분석 결과입니다.