“SPF passeert in de tool" en "de ontvanger rapporteert SPF fout" zijn niet noodzakelijkerwijs tegenstrijdig. De tool heeft mogelijk de syntaxis gevalideerd, een ander IP-adres getest of nieuwere DNS opgevraagd. De ontvanger heeft een bepaalde SMTP verbinding geëvalueerd. De diagnose begint met het reconstrueren van die verbinding, niet door aan te nemen dat een van de resultaten verkeerd moet zijn.
Identificeer wat de tool daadwerkelijk heeft doorgegeven
Bewaar de invoer en exacte uitvoer van het hulpprogramma. Een geldige recordindicator is niet noodzakelijkerwijs een SPF pas voor een bericht. Als er een evaluatie is uitgevoerd, registreer dan het IP-adres, envelop afzender, HELO waar relevant en vraagtijd. Houd het onderscheid zichtbaar bij het melden van het incident aan andere teams.
Verzamel vervolgens het vertrouwde authenticatieresultaat van de bestemming of SMTP afwijzingsbewijs. Behandel geen door de afzender aangeleverde post Authentication-Results veld als het oordeel van de bestemming. RFC 8601 legt uit waarom resultaten een vertrouwensgrens nodig hebben.
Vergelijk de identiteit en het verbindingsadres
SPF beoordeelt de verbinding op basis van de relevante SMTP identiteit, en niet alleen op basis van het zichtbare Van-adres. RFC 7208 §2.3 En RFC 7208 §2.4 beschrijf HELO en MAIL FROM-cheques. Vergelijk het door de ontvanger waargenomen IP-adres en het geëvalueerde domein met de gereedschapshouder.
Een illustratief geval: een applicatie geeft From billing@example.com weer, maar gebruikt een envelopidentiteit onder het domein van een provider. Een tooltest van example.com kan irrelevant zijn voor de daadwerkelijke SPF beslissing van de ontvanger. In een ander geval vertrekt de applicatie via een ander relais dan de beheerder had verwacht. Verbeter het begrip van de route voordat u de autorisatie verlengt.
Zoals beschreven in RFC 7208 §10.3Als er een forwarder bij betrokken is, kan de uiteindelijke ontvanger de verbinding van de forwarder zien in plaats van het oorspronkelijke verzendende IP-adres. Voeg niet elke waargenomen doorstuurserver toe aan de SPF van het oorspronkelijke domein als algemene reparatie. Beoordeel in plaats daarvan de volledige indirecte e-mailstroom en andere authenticatieresultaten.
Vergelijk DNS op de relevante momenten
Haal de huidige toepasselijke record en afhankelijkheden op. Bewaar de gebeurtenistijd van de ontvanger en eventueel gelijktijdig DNS bewijs. Een test die na een reparatie wordt uitgevoerd, kan niet bewijzen wat de ontvanger eerder heeft gezien. Op dezelfde manier kan de afhankelijkheid van een provider veranderen zonder dat er een lokale recordbewerking nodig is.
Controleer gezaghebbende publicatie, recursieve antwoorden en foutcondities. Onderscheid een oud in de cache opgeslagen beleid van een ontbrekend beleid of een tijdelijke DNS fout. RFC 7208 sectie 2.6 definieert verschillende resultaatcategorieën; niet instorten falen, softfail , temperror En permerror in één diagnose.
Speel het daadwerkelijke pad opnieuw af
Gebruik een normbewuste beoordelaar met de waargenomen inputs. Inspecteer het gematchte mechanisme, de kwalificaties, recursieve afhankelijkheden en eventuele limiet- of DNS fouten. Als historische DNS niet beschikbaar is, bestempel de herhaling dan als een test van de huidige status in plaats van als een reconstructie van de eerdere gebeurtenis.
Test beide adresfamilies of de afzender beide kan gebruiken. Vergelijk meerdere getroffen en niet-getroffen monsters om te zien of de fout een route, regio, IP-familie of tijdsinterval volgt. Dit is een aanbevolen diagnostische methode, en niet een claim dat een specifieke provider het verkeer op een bepaalde manier verdeelt.
Voer de smalst ondersteunde reparatie uit
Corrigeer het bevestigde probleem: verkeerde envelopconfiguratie, ontbrekend geautoriseerd bereik, verkeerd opgemaakt beleid, verbroken afhankelijkheid of inconsistentie in de routering. Behoud de oorspronkelijke staat en verkrijg de normale wijzigingsgoedkeuring. Verruim het beleid niet alleen maar om een onverklaarbaar monster te laten slagen.
Na de reparatie verzendt u via dezelfde aanvraagroute en inspecteert u het resultaat van een nieuwe vertrouwde ontvanger. Rekening DMARC afzonderlijk, omdat een onbewerkte SPF pas mogelijk niet-uitgelijnd en uitgelijnd is DKIM pass ondersteunt mogelijk DMARC zelfs als SPF faalt. De diagnosegids voor uitlijning dekt dat onderscheid. Sluit het incident af met het verschil tussen het oude en het nieuwe bewijsmateriaal, en niet zomaar een screenshot met een groen vinkje.
DNS achtergrond: RFC 1035 sectie 3.2.1 definieert de TTL van bronrecords; RFC 2308 §5 omvat het cachen van negatieve antwoorden. RFC 8767 §4 werkt de TTL-semantiek bij om verouderd gebruik mogelijk te maken wanneer gezaghebbende vernieuwing mislukt. Deze beschrijven DNS gedrag, niet een universele doorlooptijd voor een wijziging.
Gebruik een concreet beslissingsdossier
Hypothetische vergelijking: een checker evalueert IP A vandaag ten opzichte example.com ; De ontvanger van gisteren evalueerde IP B tegen bounce.service.example.net . Dat zijn verschillende invoersets. Registreer zowel IP/domein/tijd-triples als het DNS bewijs dat voor elk beschikbaar is. Als historische DNS ontbreekt, geef dan aan dat het oorspronkelijke resultaat niet volledig kan worden afgespeeld. Markeer geen van beide gereedschappen alleen op grond van deze waarnemingen als defect. Er is hier geen herhaling of DNS test uitgevoerd.