Een vallen SPF nalevingspercentage is een signaal om te onderzoeken, geen DNS diagnose. Het nummer kan een ruwe SPF pas vertegenwoordigen, een uitgelijnde SPF -pas, een leverancierspecifieke classificatie of alleen de berichten die zichtbaar zijn voor bepaalde rapporterende ontvangers. Reconstrueer eerst de teller, de noemer en het tijdvenster. Anders kan een succesvolle infrastructuurwijziging worden verward met een aanval of een rapportageartefact.
Definieer de meting
Noteer de precieze statistiek: bijvoorbeeld: “berichten met uitgelijnde SPF passeren gedeeld door alle berichten in deze ontvangen rapporten tijdens dit UTC-interval.” Registreer de opgenomen verslaggevers, het volume, de ontbrekende perioden en eventuele ontdubbelingsregels. Houd onbewerkte SPF resultaten apart van DMARC uitlijning. SPF kan slagen voor een domein dat geen verband houdt met het auteursdomein, dus een aantal geslaagden en een op één lijn gebrachte aantal slagen beantwoorden verschillende vragen. RFC 9989 §3.2.4, RFC 9989 §4.4.
Vergelijk zowel absolute aantallen als tarieven. Illustratief voorbeeld: gisteren hadden 9.900 van de 10.000 waargenomen berichten SPF afgestemd. Tegenwoordig passeren dezelfde 9.900 legitieme berichten, maar verschijnen er nog eens 10.000 ongeautoriseerde berichten. Neem aan dat de oorspronkelijke 100 niet-uitgelijnde waarnemingen ook blijven bestaan, wat vandaag 20.000 waarnemingen oplevert. Het percentage daalt van 99% (9.900/10.000) naar 49,5% (9.900/20.000) zonder een nieuwe storing in de bekende legitieme stroom. Dit zijn synthetische rekenkundige invoergegevens, geen rapportagemetingen. Dat blijft een veiligheidsrelevante verandering, maar het toevoegen van deze bronnen aan SPF zou de verkeerde reactie zijn.
Partitioneer vóór het bewerken
Verdeel de wijziging op bron-IP, envelopdomein, Van domein, provider of applicatie, ontvangerreporter, adresfamilie en onbewerkt resultaat. Vind het vroegst gewijzigde segment en vergelijk dit met DNS wijzigingen, nieuwe campagnes, routeringswijzigingen, failover-gebeurtenissen en servicemigraties. Gerapporteerde bronadressen alleen vormen geen bedrijfseigendom.
Classificeer fail, softfail , neutraal, geen, temperror En permerror afzonderlijk. Het resultaatonderscheid is van belang: een DNS storing heeft niet dezelfde corrigerende actie als een nieuw ongeautoriseerd adres of een verkeerd ingedeeld record. Leg voor een foutpad het exacte beleid en de geneste afhankelijkheden vast; SPF evaluatielimieten zijn niet eenvoudigweg een telling van zichtbare tekenreeksen. RFC 7208 §4.6.4, RFC 7208 §8.
Bevestig met transactiebewijs
Neem een representatief foutbericht van elke getroffen legitieme stream. Verkrijg SMTP logboeken of het ontvangen origineel met authenticatieresultaten van een vertrouwde grens. Controleer het verbindende IP-adres en het werkelijke MAIL VAN identiteit, en reproduceer vervolgens de beleidsevaluatie met gedateerd DNS bewijs. Een dashboardlabel moet naar deze observaties verwijzen in plaats van ze te vervangen. RFC 8601 §1.2, RFC 8601 §7.1.
Als het onbewerkte slagingspercentage stabiel is maar de uitlijning afneemt, zoek dan naar een nieuw envelopdomein. Als er slechts één ontvangerspopulatie verandert, vergelijk dan de doorstuur- en verbindingspaden. Als het legitieme volume afneemt terwijl het onbekende volume groeit, onderzoek dan de onbekende bronnen zonder deze te autoriseren. Waar de berichtgevingsdekking verandert, annoteer de reeksen in plaats van vergelijkbaarheid uit te vinden.
Herstel de beoogde staat
Kies een oplossing die overeenkomt met de oorzaak: corrigeer een beleidsfout, repareer DNS service, herstel een ondersteunde envelopconfiguratie of stop een onbedoelde route. Bewaar een opgeslagen eerdere status, verantwoordelijke eigenaar en expliciete terugdraaivoorwaarde. Test de getroffen stromen opnieuw en bekijk het volgende vergelijkbare rapportagevenster. Sluit het incident af met zowel het technische resultaat als de meetdefinitie, inclusief onopgeloste rapportagelacunes.
Leg het besluit schriftelijk vast
Gebruik een vergelijkingswerkblad met interval, reporterpopulatie, totale observaties, afgestemde SPF-telling, bekend legitiem volume, onbekend volume en aantekeningen over ontbrekende gegevens. Als de onbewerkte SPF doorgaat terwijl de uitgelijnde SPF daalt, vergelijk dan de daadwerkelijke envelopdomeinen voordat u de adresrechten bewerkt. Een nieuwe reporter of gewijzigde deduplicatieregel kan ervoor zorgen dat twee tarieven niet vergelijkbaar zijn. Dit zijn beoordelingscriteria, geen bewijs van een echte storing of aanval.