[Szybka odpowiedź]
SPF (Sender Policy Framework) to rekord TXT DNS zawierający listę serwerów pocztowych i usług, które mogą wysyłać wiadomości e-mail w Twojej domenie. Odbiorcy porównują adres IP serwera wysyłającego z tą listą. Jest on zdefiniowany w RFC 7208 i stanowi jedną z trzech kontroli wymaganych Gmail i Yahoo .
Kluczowe fakty
- ›Opublikowany jako rekord TXT w domenie głównej, zaczynając v=spf1.
- ›Tylko jeden rekord SPF na domenę; dwa rekordy powodują błąd PermError.
- ›Maksymalnie 10 mechanizmów zapytań DNS (w tym, a, mx, ptr, istnieje, przekierowanie).
- ›Kończy się ~all ( softfail ) lub -all (fail).
- ›SPF sprawdza nadawcę w kopercie ( Return-Path ), a nie widoczny adres nadawcy; DMARC dodaje ten link.
Sprawdzone przez zespół badawczy EmailAuth
SPF (Sender Policy Framework) to standard uwierzytelniania poczty e-mail zdefiniowany w RFC 7208 , który umożliwia właścicielowi domeny publikowanie listy serwerów pocztowych, które mogą wysyłać wiadomości e-mail w imieniu tej domeny. Kiedy serwer odbierający otrzymuje wiadomość, sprawdza adres IP serwera wysyłającego względem opublikowanego rekordu SPF domeny w DNS . Jeśli adres IP jest autoryzowany, SPF przechodzi pomyślnie. Jeżeli tak nie jest, odbiorca może potraktować wiadomość jako podejrzaną lub ją odrzucić. SPF to jeden z trzech podstawowych standardów chroniących domenę przed fałszowaniem, obok DKIM i DMARC .
Jak działa SPF krok po kroku
SPF działa podczas konwersacji SMTP , zanim treść wiadomości zostanie w pełni zaakceptowana. Sprawdzanie dotyczy domeny w Return-Path (nadawcy koperty), a nie widocznego adresu nadawcy, co jest rozróżnieniem mającym znaczenie dla dostosowania DMARC . Serwer odbierający odczytuje rekord SPF , rozpoznaje zawarte w nim mechanizmy i porównuje łączący adres IP z autoryzowanymi zakresami.
- Serwer wysyłający łączy się i ogłasza swoją domenę nadawcy koperty.
- Odbiorca wysyła DNS zapytanie o rekord SPF TXT tej domeny.
- Odbiornik ocenia każdy mechanizm w kolejności, aż jeden z nich będzie pasować.
- Mecz zwraca wynik pozytywny, negatywny, softfail lub neutralny w zależności od kwalifikatora.
- Odbiorca stosuje własną politykę, a DMARC wykorzystuje wynik do dostosowania.
Limit wyszukiwań DNS wynoszący 10
RFC 7208 ogranicza ocenę SPF do 10 wyszukiwań DNS na sprawdzenie. Mechanizmy takie jak include, a, mx, ptr i istnieje każdy zużywa wyszukiwania, a każde dołączenie może wywołać dalsze zagnieżdżone wyszukiwania w rekordzie strony trzeciej. Popularni nadawcy, tacy jak Google Workspace , Microsoft 365 , Salesforce i SendGrid dodają własne łańcuchy, dzięki czemu domena obejmująca kilku dostawców może szybko przekroczyć limit. Gdy ocena przekracza 10 wyszukiwań, odbiorca zwraca permerror , który większość systemów traktuje jako awarię.
Dlaczego limit gryzie
Przejdź przez 10 wyszukiwań, a SPF zwróci permerror . Prawidłowa poczta od własnych zatwierdzonych dostawców może wówczas nie zostać uwierzytelniona bez widocznego błędu.
Gdzie kończy się SPF , a zaczyna DKIM i DMARC
SPF sprawdza serwer łączący, więc nie przetrwa on przekazania. Kiedy skrzynka pocztowa przekazuje wiadomość, nowym adresem IP połączenia jest osoba przesyłająca dalej, a nie serwer, i SPF ulega uszkodzeniu. DKIM podpisuje treść wiadomości kluczem kryptograficznym, który jest przesyłany wraz z wiadomością e-mail, dzięki czemu może przetrwać przesłanie. DMARC łączy oba elementy, wymagając, aby SPF lub DKIM przeszło i dopasowało się do widocznej domeny From, a także mówi odbiorcom, co mają zrobić w przypadku niepowodzenia. Od czasu wprowadzenia zasad Google i Yahoo z 2024 r. nadawcy masowi muszą uwierzytelniać się za pomocą SPF i DKIM oraz publikować DMARC .
Naprawianie przepełnienia wyszukiwania za pomocą SmartSPF
EmailAuth SmartSPF rozwiązuje limit 10 wyszukiwań dzięki dynamicznemu spłaszczaniu. Rozszerza cały łańcuch dołączania, spłaszcza go w jeden zoptymalizowany rekord i synchronizuje zakresy adresów IP nadawców innych firm dla Salesforce , SendGrid , Microsoft 365 i Google Workspace , gdy dostawcy ci zmieniają infrastrukturę. Bezpłatne skanowanie domeny rozszerza Twój łańcuch dołączeń i zlicza Twoje bieżące wyszukiwania, dzięki czemu możesz dokładnie zobaczyć, na czym stoisz.
Często zadawane pytania
Co oznacza SPF ?
SPF oznacza Ramy Polityki Nadawcy. Jest to standard uwierzytelniania poczty e-mail zdefiniowany w RFC 7208 , który umożliwia domenie publikowanie informacji, które serwery pocztowe mogą wysyłać w jej imieniu. Serwery odbierające używają go do wykrywania fałszywych nadawców.
Czy SPF powstrzymuje wszelkie fałszowanie wiadomości e-mail?
Nie. SPF sprawdza tylko domenę nadawcy w kopercie pod kątem autoryzowanych adresów IP i psuje się podczas przekazywania poczty. Aby w pełni chronić widoczny adres Od, potrzebujesz także DKIM i polityki DMARC , która wymusza wyrównanie.
Jaki jest limit wyszukiwania DNS SPF 10?
RFC 7208 pozwala na maksymalnie 10 wyszukiwań DNS , gdy odbiorca ocenia rekord SPF . Mechanizmy takie jak include, a i mx zużywają wyszukiwania, a zagnieżdżone rekordy dostawców dodają więcej. Przekroczenie 10 zwraca permerror , który jest traktowany jako niepowodzenie.
Czy SPF będą nadal wymagane w roku 2024 i później?
Tak. Od 2024 r. Google i Yahoo wymagają od nadawców masowych uwierzytelniania wiadomości e-mail, a SPF obok DKIM i DMARC , stanowi jego podstawową część. Pominięcie tego grozi odfiltrowaniem lub odrzuceniem Twojej poczty.
Co to jest rekord SPF ?
Rekord DNS TXT zawierający listę serwerów autoryzowanych do wysyłania wiadomości e-mail w Twojej domenie, na przykład v=spf1 include:_spf.google.com ~all .
Jak dodać wiele rekordów SPF ?
Nie możesz. Połącz wszystkich nadawców w jeden rekord: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Jak utworzyć rekord SPF ?
Wypisz wszystkie usługi, które wysyłają dla Ciebie pocztę, dodaj adres IP każdego dostawcy i zakończ ciągiem ~all lub -all . Generator SPF tworzy go za Ciebie.
Jaki jest limit wyszukiwania SPF 10?
Ocena SPF może wykonać maksymalnie 10 wyszukiwań DNS . Przekroczenie tej wartości zwraca PermError i SPF kończy się niepowodzeniem. Usuń nieużywane załączniki lub spłaszcz płytę.
Co oznacza v=spf1 include:_spf.google.com ~all ?
Autoryzuje serwery Google Workspace do wysyłania wiadomości w imieniu Twojej domeny i powoduje awarię wszystkich pozostałych.
[ SPF przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK