Wygładzanie SPF to sposób na zastąpienie niektórych autoryzacji zależnych od DNS jawnymi zakresami adresów. Może sprawić, że ocena będzie mniej zależna od zagnieżdżonych wyszukiwań. Może to również spowodować konieczność utrzymywania kopii zmieniającej się sieci innej osoby. Przydatna decyzja polega zatem na porównaniu proponowanego zapisu z procesem, który zapewni jego poprawność.
Ustal faktyczne ograniczenie
Zacznij od dokładnej domeny koperty używanej przez aplikację, której dotyczy problem, a nie tylko od domeny witryny internetowej firmy. Zbierz aktualny rekord, jego zależności i reprezentatywne adresy wysyłkowe. Przeprowadź ocenę uwzględniającą standardy, korzystając z tych danych wejściowych i zachowaj ślad. Etykieta z informacją „zbyt wiele wyszukiwań” nie wystarczy, aby zdecydować, co zastąpić.
RFC 7208 sekcja 4.6.4 ogranicza globalnie oceniane terminy zależne od DNS w ramach rekurencji. Jawne mechanizmy IP4 i IP6 wykraczają poza ten budżet. Jest to potencjalna korzyść z wyszukiwania; nie jest to obietnica, że każdy spłaszczony rekord będzie mały, poprawny i szybki.
Najpierw usuń autoryzacje, których właściciele firm uznają za nieaktualne. Sprawdź, czy odrębna aplikacja może korzystać z odpowiednio skonfigurowanej subdomeny kopertowej. Nie należy przeprowadzać czyszczenia ani segmentacji na ślepo: wypisz wiadomości, których dotyczy problem, i potwierdź, że dostawca obsługuje proponowaną tożsamość. Skorzystaj z inwentarz nadawcy połączyć rekord wejście do prawdziwego serwisu.
Porównaj znaczenie, a nie tylko listy adresowe
Pod RFC 7208 §5.2, dołączenie jest oceną innej polityki, a nie plikiem tekstowym sieci do skopiowania. Kwalifikatory, kolejność, zagnieżdżone włączenia, przekierowania i makra mogą mieć wpływ na jego wynik. Konwerter musi zachować zamierzoną autoryzację dla obsługiwanych wejść lub jawnie zadeklarować, czego nie może reprezentować. Odrzuć konwersję, która po prostu zbiera z drzewa każdą wartość wyglądającą na adres IP.
W przypadku każdego proponowanego zamiennika zapytaj, jaką politykę nadrzędną reprezentuje, jakie dane wejściowe zostały przetestowane, czy IPv6 jest objęty i w jaki sposób wykrywane są zmiany. Zachowaj oryginalną dokumentację zależności i dostawcy obok wygenerowanych danych wyjściowych. Unikaj rozszerzania sąsiednich sieci na większy zakres jedynie w celu skrócenia tekstu, chyba że cały zakres jest niezależnie autoryzowany.
Spraw, aby koszty utrzymania były widoczne
Jest to decyzja poglądowa, a nie przetestowane wdrożenie. Nadawca rozliczeń odwołuje się do polityki dostawcy, która obecnie autoryzuje dwa zakresy. Spłaszczona kopia zawiera te zakresy. Jutro dostawca doda trzecią. Oryginalna zależność może ujawnić nową autoryzację poprzez DNS ; kopia nie będzie go zawierać, dopóki pomyślne odświeżenie nie opublikuje aktualizacji. Odwrotny problem występuje, gdy dostawca wycofuje zakres, ale kopia go zachowuje.
Przypisz kogoś do własnej świeżości, nieudanych odświeżeń, nieoczekiwanych dużych zmian i awaryjnego przywracania. Poproś o alert, gdy proces generowania zostanie zatrzymany, a nie tylko wtedy, gdy opublikowany rekord będzie poprawny składniowo. Prawidłowy, nieaktualny rekord może nadal być błędnym rekordem.
Przetestuj kandydata przed wymianą
Zachowaj poprzedni rekord i utwórz wyraźną różnicę przed i po. Przetestuj znanych nadawców, nieautoryzowany adres, każdą odpowiednią rodzinę adresów IP i ostateczny niepasujący wynik. Sprawdź rzeczywistą odpowiedź TXT , w tym jej rozmiar i granice ciągów. RFC 7208 §3.3 I RFC 7208 §3.4 wyjaśnij, dlaczego podzielenie wartości TXT na ciągi znaków nie eliminuje konieczności zarządzania ogólną odpowiedzią DNS .
Po zatwierdzeniu publikacji przeprowadź test kontrolowanego wysyłania. Zapisz wynik uwierzytelnienia systemu odbierającego i ocenioną przez niego tożsamość koperty. Nie utożsamiaj SPF poprawa z DMARC wyrównanie lub gwarantowane umieszczenie w skrzynce odbiorczej.
Wybierz model operacyjny, który możesz utrzymać
Zachowaj politykę opartą na zależnościach, gdy jej ocena jest akceptowalna, a bieżąca własność jest jaśniejsza. Rozważ spłaszczanie tylko z zademonstrowanym pokryciem semantycznym, niezawodnym mechanizmem odświeżania, alertami i planem wyjścia. Mniejsza liczba wyszukiwań jest użytecznym dowodem, ale nie całą decyzją o akceptacji. W celu konserwacji po adopcji kontynuuj nieświeży, spłaszczony SPF.
Zapisz następną decyzję
W przypadku hipotetycznej konwersji wypisz obsługiwane konstrukcje nadrzędne, czas wykonania migawki źródła, przetestowane tożsamości/adresy IP, oczekiwane wyniki końcowe oraz informacje o tym, kto wykryje dodane lub wycofane zakresy. Jeśli dla zamierzonych danych wejściowych nie można przedstawić autoryzacji zależnej od makro, kandydat nie jest gotowy tylko dlatego, że jego liczba wyszukiwań jest mniejsza. Dla tego artykułu nie wykonano żadnej konwersji, zmiany DNS ani testu wysyłania.