[Szybka odpowiedź]
Rekord SPF to pojedynczy rekord TXT w Twojej domenie, który zaczyna się v=spf1, zawiera listę autoryzowanych nadawców z takimi mechanizmami, jak include:, ip4: i ip6:, a kończy kwalifikatorem all. Przykład: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Kluczowe fakty
- ›Mechanizmy: ip4, ip6, a, mx, obejmują, istnieją; modyfikator: przekierowanie.
- ›Kwalifikatory: + pass, ~ softfail , - fiasko, ? neutralny.
- ›Zachowaj maksymalnie 10 wyszukiwań DNS i 255 znaków na ciąg.
- ›Unikaj ptr i +all .
Sprawdzone przez zespół badawczy EmailAuth
Rekord SPF to pojedynczy rekord DNS TXT zawierający listę wszystkich serwerów i usług autoryzowanych do wysyłania wiadomości e-mail w Twojej domenie. Zaczyna się od znacznika wersji v=spf1, zawiera szereg mechanizmów definiujących autoryzowane źródła, a kończy mechanizmem all, który ustawia domyślną odpowiedź na wszystko, co nie jest wymienione. Serwery poczty odbierającej odczytują ten rekord, aby zdecydować, czy serwer łączący może wysyłać wiadomości w Twojej domenie.
Przykładowy rekord SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Mechanizmy wyjaśnione
Każdy mechanizm opisuje jeden sposób autoryzacji nadawcy. Odbiorca ocenia je od lewej do prawej i zatrzymuje się na pierwszym dopasowaniu. Niektóre mechanizmy wyzwalają wyszukiwania DNS i wliczają się do limitu 10 wyszukiwań określonego w RFC 7208 .
- obejmują: pobiera rekord SPF innej domeny, typowy dla dostawców takich jak _spf.google.com i liczy się jako wyszukiwanie.
- ip4: autoryzuje określony adres lub zakres IPv4 , bez kosztów wyszukiwania DNS .
- ip6: autoryzuje określony adres lub zakres IPv6 , bez kosztów wyszukiwania DNS .
- a: autoryzuje adresy IP w rekordzie A domeny i liczy się jako wyszukiwanie.
- mx: autoryzuje serwery pocztowe w rekordach MX domeny i liczy się jako wyszukiwanie.
- all: catch -all na końcu, który decyduje, co stanie się ze źródłami nienotowanymi na liście.
Hardfail kontra softfail : -all i ~all
Kwalifikator przed wszystkimi zmienia stopień rygorystyczności Twojego rekordu. Użyj -all (hardfail), aby poinformować odbiorców, że serwer, którego nie ma na liście, nie jest autoryzowany i wiadomość powinna zostać odrzucona lub potraktowana jako nieudana. Użyj ~all ( softfail ), aby powiedzieć, że serwery niepubliczne prawdopodobnie nie są autoryzowane, ale powinny zostać zaakceptowane i oznaczone, co jest przydatne podczas testowania. Opcja „hardfail” jest mocniejszą postawą, jeśli masz pewność, że uwzględniono każdego legalnego nadawcę. Unikaj +all , co autoryzuje wszystkich i mija się z celem.
Softfail podczas testowania
Zacznij od ~all , aby obserwować wyniki bez blokowania poczty, a następnie przejdź do -all po potwierdzeniu każdego nadawcy.
Jeden rekord, uważaj na wyszukiwania
Domena musi publikować dokładnie jeden rekord SPF . Dwa rekordy SPF TXT powodują permerror . W miarę dodawania dostawców każde z nich rozszerza się o dalsze wyszukiwania, a popularne usługi szybko się kumulują. Po przekroczeniu 10 wyszukiwań rekord w przypadku prawidłowej poczty nie powiedzie się. EmailAuth SmartSPF spłaszcza łańcuchy dołączeń w jeden zoptymalizowany rekord i automatycznie synchronizuje zakresy adresów IP dostawców dla Microsoft 365 , Google Workspace , Salesforce i SendGrid . Bezpłatny skan domeny pokazuje Twoje obecne mechanizmy i liczbę wyszukiwań. Połącz SPF z DKIM i DMARC , aby wyrównanie trwało nawet wtedy, gdy poczta jest przekazywana dalej.
Często zadawane pytania
Jaka jest różnica między -all i ~all w rekordzie SPF ?
-all to błąd awaryjny, który informuje odbiorców o odrzuceniu lub uszkodzeniu dowolnego serwera, który nie jest wymieniony w rekordzie. ~all to softfail , który akceptuje nadawców nienotowanych na liście, ale oznacza ich jako podejrzanych. Użyj ~all podczas testowania i -all , gdy uwzględniony zostanie każdy legalny nadawca.
Czy mogę mieć więcej niż jeden rekord SPF ?
Nie. Domena musi publikować dokładnie jeden rekord SPF TXT . Co najmniej dwa rekordy SPF powodują permerror i przerywają uwierzytelnianie. Połącz wszystkie źródła w jeden rekord, zaczynając od v=spf1.
Czy mechanizmy IP4 i IP6 wliczają się do limitu 10 wyszukiwań?
Nie. IP4 i ip6 bezpośrednio autoryzują adresy i nie wymagają rozpoznawania DNS , więc nie zużywają wyszukiwań. Mechanizmy takie jak obejmują, a, mx, ptr i istnieje wliczają się do limitu 10.
Do czego służy mechanizm dołączania?
Mechanizm dołączania importuje rekord SPF innej domeny, co pozwala na autoryzację zewnętrznych nadawców, takich jak Google Workspace lub SendGrid . Każde dołączenie liczy się jako co najmniej jedno wyszukiwanie DNS , a wszelkie zagnieżdżone w nim dołączenia dodają więcej.
Jak sprawdzić swój rekord SPF ?
Użyj modułu sprawdzającego SPF . Pobiera rekord, rozszerza każde dołączenie i zlicza wyszukiwania DNS w stosunku do limitu 10.
Jak połączyć rekordy SPF ?
Połącz mechanizmy obu rekordów w jeden rekord v=spf1 i zachowaj jeden na końcu.
Czy powinienem użyć ~all czy -all ?
Użyj ~all podczas potwierdzania każdego nadawcy, a następnie -all . Gdy DMARC ma wartość p=reject, albo działa, ponieważ DMARC podejmuje ostateczną decyzję.
[ SPF przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK