Jakiś SPF wynik neutralny lub żaden nie uwierzytelnia hosta wysyłającego. Obydwa wyniki mogą współistnieć z dostarczonym komunikatem, więc samo dostarczenie jest słabą diagnostyką. Praktycznym zadaniem jest określenie, dlaczego osoba oceniająca osiągnęła taki wynik i czy można się tego spodziewać w przypadku faktycznie użytej tożsamości.
Odróżnij nieobecność od wyraźnego nietwierdzenia
RFC 7208 §2.6.1 definiuje none jako wynik, w którym z sesji SMTP nie można wyodrębnić żadnej użytecznej tożsamości domeny lub nie Rekord SPF jest pobierany. Pod RFC 7208 §2.6.2, neutralny oznacza, że domena nie potwierdza, czy adres IP jest autoryzowany. Rekord kończąc w ?all może wytworzyć neutralny sygnał dla źródła, które nie pasowało do wcześniejszego mechanizmu. Prawidłowy rekord, który kończy się bez dopasowania lub przekierowania, ma również domyślnie neutralną wartość domyślną poniżej RFC 7208 §4.7.
To różni się od przejścia. Pass jawnie autoryzuje host łączący dla ocenianej tożsamości. Neutralny nie oznacza „prawdopodobnie dopuszczony”, a żaden nie oznacza „bezpieczny, ponieważ nie ma zakazu”. RFC 7208 §8.2 wymaga, aby wartość neutralna była traktowana jak żadna ze względów obsługi, ale oddzielenie obu etykiet jest przydatne do diagnozowania konfiguracji.
Zacznij od obserwowanej tożsamości
Odczytuj wyniki uwierzytelniania wygenerowane przez odbiorcę z zaufanego systemu. Zapisz, czy czek został użyty POCZTA OD Lub HELO, oceniana domena i łączący się adres IP. Nie przyjmuję zamówienia od dowolnego nadawcy Authentication-Results linii jako wiarygodny dowód.
Częstym błędem dochodzeniowym jest wysyłanie zapytań do widocznej domeny From, podczas gdy wiadomość korzysta z innej domeny koperty. Włączony ważny rekord SPF example.com samo w sobie nie mówi nic o zwróconym rekordzie bounce.example.com. Innym błędem jest wysyłanie zapytań tylko do redaktora rejestratora, a nie do autorytatywnych serwerów faktycznie obsługujących tę nazwę.
Jeśli nie otrzymałeś żadnego wyniku, sprawdź dokładną nazwę i odpowiedź TXT . Sprawdź, czy A v=spf1 rekord tam istnieje, czy wiadomość korzystała z zamierzonej tożsamości koperty i czy zarejestrowana kontrola miała miejsce przed ostatnią zmianą DNS . Bieżące wyszukiwanie DNS nie może samodzielnie odtworzyć historycznego stanu DNS .
Nie łącz stanów błędów w żadne
Pod RFC 7208 §4.5, powstają dwa wybrane rekordy SPF permerror, a nie nieszkodliwy brak polityki. Może wystąpić tymczasowa awaria DNS temperror. Warunki te wymagają własnych ścieżek badawczych. Pulpit nawigacyjny, który grupuje wszystkie niezakończone wyniki w kategorii „brakujący SPF ”, może skierować administratora do niewłaściwej naprawy.
Aby uzyskać neutralność, przejrzyj zasady w kolejności. Czy kwalifikator ze znakiem zapytania był zamierzony? Czy niedopasowana wiadomość dotarła do końca rekordu pozbawionego skutecznego mechanizmu końcowego? Jeśli domena deleguje zasady poprzez przekierowanie, sprawdź cel i wynikającą z niego ocenę, zamiast zakładać, że tekst najwyższego poziomu to cała polityka.
Użyj małej matrycy diagnostycznej
Poniżej znajdują się syntetyczne oczekiwania, a nie porady dotyczące konfiguracji produkcyjnej:
v=spf1 ip4:192.0.2.10 ?all, oceniony dla 192.0.2.10 : pozytywny.- Ten sam rekord, oceniony dla 198.51.100.20 : neutralny.
v=spf1 ip4:192.0.2.10, oceniony dla 198.51.100.20 : neutralny w wyniku domyślnym.- Brak SPF Rekord TXT pod inną prawidłową ocenianą nazwą: none, zakładając, że wyszukiwanie zakończy się bez innego błędu.
Adresy IP służące wyłącznie do celów dokumentacji odróżniają logikę zasad od testu dzierżawy na żywo. Powtórz równoważne testy z autoryzowanymi źródłami w kontrolowanym środowisku, a następnie porównaj dowody rzeczywistego odbiorcy.
Naprawiaj tylko wykazaną przyczynę
Jeśli zamierzona domena kopertowa nie ma rekordu, zaprojektuj zasady dla jej rzeczywistych nadawców. Jeśli zamierzenie jest neutralne, udokumentuj dlaczego. Jeśli rekord przypadkowo nie przejdzie, zdecyduj o zamierzonym oświadczeniu końcowym po sprawdzeniu prawidłowych ścieżek. Nie zastępuj przewodu neutralnego uniwersalnym przejściem +all: po osiągnięciu zapewnia przepustkę, zamiast naprawiać ekwipunek. Wcześniejsze mecze lub błędy mogą nadal decydować o wyniku.
Zakończ dochodzenie, przedstawiając pierwotną obserwację, zidentyfikowaną przyczynę, zatwierdzoną zmianę, jeśli taka istnieje, i nowy wynik wiadomości. Zrzut ekranu DNS jest dowodem publikacji; wynik otrzymanej wiadomości jest dowodem określonej oceny. Zachowaj oba, jeśli biznes zależy od trasy.
Wykorzystaj dowody do podjęcia decyzji
Zachowaj jeden wiersz na tożsamość/adres IP/czas, dokładny wynik, migawkę zasad i przyczynę. Zakończone wyszukiwanie bez wybranego rekordu SPF nie jest tym samym, co przekroczenie limitu czasu lub wiele wybranych rekordów. Jeśli pulpit nawigacyjny łączy je, przed zmianą DNS wykorzystaj leżące u ich podstaw dowody. Syntetycznie neutralne przypadki demonstrują przepływ kontroli, a nie powodzenie uwierzytelnienia lub pewność dostarczenia.