Veranderen ~all naar -all versterkt de verklaring die een domein maakt over een ongeëvenaard verzendend IP-adres. Het verandert de domeineigenaar niet in het e-mailfilter van de ontvanger. Een nuttige beslissing begint met twee vragen: welke legitieme verbindingen blijven ongeëvenaard, en wat gebeurt er met de berichten op de ontvangende systemen die er toe doen?
Lees het resultaat voordat u de levering beoordeelt
SPF controleert of de verbindende host de geëvalueerde SMTP identiteit mag gebruiken. Een passend positief mechanisme produceert pass. Als de evaluatie bereikt ~all, produceert het softfail , een gekwalificeerde verklaring dat de host waarschijnlijk niet geautoriseerd is. Bereiken -all produceert fail, een duidelijke verklaring dat het niet is toegestaan. “Hardfail” is een gebruikelijke afkorting; het protocolresultaat krijgt een naam mislukking.
RFC 7208 §8.4 En RFC 7208 §8.5 scheid die verklaring van de afhandeling. Mislukte dispositie is ontvanger-lokaal beleid. Voor softfail raadt de RFC afwijzing uitsluitend op basis van dat resultaat af, terwijl nader onderzoek wel mogelijk is. Geen van beide kwalificaties belooft een inbox, plaatsing in een spammap of een universele SMTP afwijzing. Een ontvanger kan om niet-gerelateerde redenen weigeren, zelfs als SPF slaagt.
Mechanismen worden geëvalueerd in volgorde onder RFC 7208 §4.6.2. Het wijzigen van de laatste kwalificatie doet niets voor een bericht dat al overeenkomt met een eerder positief mechanisme. Een te brede ip4 bereik of service omvat blijft na toevoeging te breed -all.
Scheid ontbrekende afzenders van indirecte bezorging
Stel een lijst samen van daadwerkelijke SMTP verzendservices, hun envelopdomeinen en representatieve ontvangerobservaties. De mailbox van een medewerker, een factureringsapplicatie en een marketingplatform kunnen verschillende envelopdomeinen gebruiken, zelfs als hun zichtbare Van-adres er identiek uitziet. Stel een diagnose van het domein dat wordt weergegeven in het SPF resultaat van de vertrouwde ontvanger, en niet van het domein dat alleen maar op het scherm verschijnt.
Doorsturen verandert het verbindende IP-adres. Als de oorspronkelijke envelopidentiteit behouden blijft, kan de uiteindelijke ontvanger een legitiem bericht zien van een host die door het oorspronkelijke domein niet is geautoriseerd. Het toevoegen van elke doorstuurserver aan het SPF beleid van de oorspronkelijke afzender is geen schaalbare reparatie en kan infrastructuur buiten uw controle autoriseren. Onderzoek het doorstuurontwerp en het andere authenticatiebewijs van het bericht. Classificeer niet elke doorgestuurde fout als een vergeten uitgaande service. RFC 7208 §10.3 bespreekt deze architectonische moeilijkheid.
Werk een gecontroleerd voorbeeld af
Illustratief voorbeeld, waarbij alleen documentatieadressen worden gebruikt: v=spf1 ip4:192.0.2.10 ~all staat een directe verbinding vanaf 192.0.2.10 toe. Een verbinding van 198.51.100.20 bereikt softfail . Vervangen ~all met -all verandert het laatste resultaat in mislukken, maar laat het eerste als geslaagd.
Stel nu dat 198.51.100.20 e-mail doorstuurt die oorspronkelijk door 192.0.2.10 is verzonden en de envelopidentiteit behoudt. Het SPF resultaat bij de uiteindelijke ontvanger volgt de doorstuurverbinding, niet de eerste hop. Dit is een verwacht testscenario en geen bewijs dat de oorspronkelijke service niet meer correct verzendt.
Neem een omkeerbare beleidsbeslissing
Voordat u de kwalificatie wijzigt, moet u de bestaande behouden TXT record en TTL, het eigendom van de afzender verifiëren en overeenkomen welk bewijsmateriaal tot herstel zou leiden. Test kritische directe paden en bekende indirecte paden afzonderlijk. Registreer voor elke test het bron-IP, het geëvalueerde domein, SPF resultaat en het uiteindelijke leveringsresultaat. Voeg een ongeëvenaarde testbron toe die u zelf beheert, zodat het daadwerkelijke effect van de wijziging zichtbaar is.
Controleer na publicatie de gezaghebbende DNS en relevante recursieve antwoorden, waarbij gegevens in de cache mogelijk zijn. Onderzoek fouten in plaats van simpelweg elke keer dat een bericht wordt gefilterd, terug te keren. Een ontbrekende geautoriseerde bron heeft een inventariscorrectie nodig; een doorstuurprobleem vereist een routebewuste beslissing; een niet-gerelateerde reputatieafwijzing wordt niet opgelost door de uiteindelijke kwalificatie te wijzigen.
Sluit af met een verdedigbaar record
Bewaar de reden voor de gekozen kwalificatie naast de huidige afzenderinventaris. Bekijk het wanneer services of bezorgroutes veranderen. Een restrictief eindmechanisme is alleen nuttig als de voorafgaande autorisaties de werkelijke verzendgrenzen van het domein beschrijven. De beslissing is compleet wanneer de eigenaar zowel de direct-maildekking als de indirecte-mailafwegingen kan uitleggen.
Gebruik het bewijsmateriaal voor een beslissing
In het synthetische record blijft 192.0.2.10 geslaagd na de wijziging van de kwalificatie; 198.51.100.20 gaat pas van softfail naar fail wanneer het laatste mechanisme is bereikt. Registreer de bediening van de ontvanger afzonderlijk. Als het tweede IP-adres een expediteur is die de originele envelop bewaart, onderzoek dan de indirecte route voordat u deze behandelt als een ontbrekende geautoriseerde afzender. Er is geen live levering of kwalificatiewijziging uitgevoerd.