SPF: kas gali siųsti laiškus Jūsų domeno vardu?

4 modulis: Įrašai el. paštui · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite perskaityti SPF įrašą, teisingai pridėti paslaugą ir išvengti trijų žinomiausių SPF klaidų: dviejų įrašų, +all ir daugiau nei dešimties paieškų.

Pagrindinės sąvokos: SPF, v=spf1, mechanizmas (a, mx, ip4, ip6, include), kvalifikatorius (+ - ~ ?), all, vienas SPF įrašas, 10 DNS paieškų riba, voko siuntėjas (Return-Path)

Problema: bet kas gali naudoti Jūsų vardą

El. paštas buvo sukurtas devintajame dešimtmetyje mažam, draugiškam internetui. Bet kuris pašto serveris gali išsiųsti laišką nurodydamas siuntėją info@example.com, net jei tas serveris visiškai neturi nieko bendra su example.com. Sukčiai tuo mielai naudojasi.

SPF (Sender Policy Framework, RFC 7208) yra pirmasis žingsnis tam užkirsti kelią. SPF įraše nurodote, kurie serveriai gali siųsti laiškus Jūsų domeno vardu. Gaunantysis pašto serveris, gavęs kiekvieną laišką, patikrina: ar šis laiškas atkeliavo iš serverio, esančio sąraše?

Įsivaizduokite tai kaip svečių sąrašą prie durų. Durininkas (gaunantysis pašto serveris) pasižiūri sąrašą Jūsų domene ir patikrina, ar lankytojas (siunčiantysis serveris) jame yra.

Kaip atrodo SPF įrašas?

SPF įrašas yra TXT įrašas Jūsų domeno varde, kuris prasideda v=spf1:

example.com.  3600  IN  TXT  "v=spf1 mx ip4:192.0.2.25 include:spf.mailer.example ~all"

Skaitykite jį iš kairės į dešinę. Gavėjas peržiūri dalis po vieną ir sustoja ties pirmąja tinkama.

Pabaiga: ~all, -all, ?all arba +all

Priešais kiekvieną dalį gali būti ženklas, nurodantis, kas vyksta, jei dalis tinka. Su all (kuris tinka visada) tas ženklas yra lemiamas:

Jei ženklo nėra, galioja +. Taigi mx reiškia +mx.

Kurį pasirinkti? ~all yra saugus pasirinkimas pagal nutylėjimą. -all yra griežtesnis ir tinka, jei esate tikri, kad visi Jūsų siuntėjai yra įraše. Jei naudojate DMARC (4.5 pamoka), galiausiai veiksmus nulemia DMARC politika; daugelis administratorių tuomet renkasi ~all.

1 klaida: du SPF įrašai

Kiekvienam domenui gali būti tik vienas SPF įrašas. Jei gavėjas randa du, rezultatas yra klaida (permerror) ir Jūsų SPF visiškai neskaičiuojamas. Tai blogiau nei visai neturėti SPF.

Praktikoje tai dažnai nutinka. Naujienlaiškių paslauga ar Microsoft 365 sako „pridėkite šį SPF įrašą“, ir tuomet šalia seno staiga atsiranda antras v=spf1 įrašas. Sprendimas: pridėkite naują paslaugą prie jau esamo įrašo.

Neteisingai:

"v=spf1 mx include:spf.oldhost.example ~all"
"v=spf1 include:spf.protection.outlook.com -all"

Teisingai:

"v=spf1 mx include:spf.oldhost.example include:spf.protection.outlook.com ~all"

Atkreipkite dėmesį: sujungdami įrašus nepašalinkite serverių, kuriuos vis dar naudojate. Jei Jūsų svetainė siunčia laiškus per Jūsų hostingo įmonės serverį, jis turi likti įraše, net jei įprastas paštas eina į Microsoft 365. Hostingo paketas dažnai jau turi numatytąjį SPF su hostingo įmonės include (pavyzdžiui, WebOké atveju tai include:webawere.nl); palikite jį, kol Jūsų svetainė ar formos siunčia laiškus per tą serverį.

2 klaida: +all arba per platus įrašas

+all pabaigoje arba toks milžiniškas diapazonas kaip ip4:0.0.0.0/0 reiškia, kad leidžiama visiems. Tuomet Jūsų SPF nieko nebeapsaugo, o šlamšto filtrai tai laiko blogu ženklu.

3 klaida: daugiau nei dešimt paieškų

Tikrindamas SPF įrašą gavėjas kartais turi atlikti papildomas DNS užklausas. Kiekvienas include, a, mx, exists, ptr ir redirect kainuoja po vieną paiešką, o include taip pat skaičiuoja visas paieškas įraše, į kurį jis nurodo. Pagal RFC 7208 bendra suma negali viršyti dešimties. Jei viršijama, rezultatas yra permerror ir SPF nepavyksta.

ip4 ir ip6 paieškos nekainuoja. all taip pat nekainuoja.

Be to, ne daugiau kaip dvi paieškos gali grąžinti „tuščią“ atsakymą (vardas, kurio nėra, arba atsakymo nėra). Taigi include, nurodantis į paslaugą, kurios jau seniai nenaudojate ir kuri pašalino savo įrašą, taip pat gali sukelti problemų.

Jei naudojate daug paslaugų, perskaičiuokite su SPF tikrinimo įrankiu (8.3 pamoka) ir pašalinkite paslaugas, kurių nebenaudojate.

Ko SPF nedaro

SPF tikrina voko siuntėją: techninį siuntėjo adresą (Return-Path), kurį pašto serveriai naudoja tarpusavyje. Tai ne visada tas pats adresas kaip „From:“ adresas, kurį matote savo pašto programoje. Naujienlaiškių paslauga dažnai siunčia su savo Return-Path. Taigi vien SPF nesustabdo kiekvieno suklastoto siuntėjo. Tam skirti DKIM (4.4 pamoka) ir DMARC (4.5 pamoka).

SPF taip pat nutrūksta persiuntimo atveju: jei automatiškai persiunčiate laiškus į kitą adresą, galutinis gavėjas gauna laišką iš serverio, kurio nėra Jūsų SPF įraše.

Kodėl tai svarbu

Dideli pašto paslaugų teikėjai tapo griežtesni. Nuo 2024 m. vasario mėn. Gmail ir Yahoo reikalauja, kad kiekvienas siuntėjas turėtų bent SPF arba DKIM, o tas, kas siunčia daug laiškų (daugiau nei apie 5000 per dieną), turėtų SPF, DKIM ir DMARC. Microsoft nuo 2025 m. gegužės mėn. taiko tą patį reikalavimą Outlook.com, Hotmail ir Live.com paslaugoms. Net jei siunčiate nedaug laiškų, geras SPF įrašas padeda išvengti šlamšto aplanko.

Praktiškai: kaip tai atrodo valdymo skydelyje

Šiame pavyzdyje naudojame DirectAdmin. DNS administravimo skiltyje spustelėkite pieštuko piktogramą šalia TXT įrašo, prasidedančio v=spf1. DirectAdmin atveria SPF pagalbininką: lauke Įtraukti domeną įveskite paslaugos domeną (be include:), lauke Režimas pasirinkite SoftFail (~all) arba Nepavyko (-all). Apačioje matysite visą įrašą. Mano WebOké turi panašų SPF pagalbininką DNS skirtuke.

Kiti valdymo skydeliai ne visada turi tokį pagalbininką. Tuomet TXT įrašą redaguojate kaip paprastą tekstą; turinys lieka toks pats.

Santrauka

• SPF yra TXT įrašas su v=spf1, kuris nurodo, kurie serveriai gali siųsti laiškus Jūsų domeno vardu.
• Lygiai vienas SPF įrašas vienam domenui. Nauja paslauga? Papildykite esamą įrašą.
• Baikite su ~all arba -all, niekada su +all.
• Ne daugiau kaip dešimt DNS paieškų (include, a, mx, exists, ptr, redirect), ip4/ip6 neskaičiuojami.
• SPF tikrina voko siuntėją; tikrai apsaugai reikia ir DKIM, ir DMARC.

Testas

Užduotis

Užduotis Z4.3: SPF paieška. Suraskite google.com SPF įrašą (arba savo domeno). Įklijuokite visą įrašą ir nurodykite, kuo jis baigiasi (~all, -all, ?all arba +all). Jei naudojate savo domeną, užduotis taip pat patikrina, ar turite lygiai vieną SPF įrašą.

Užduotis O4.3: Pasikonfigūruokite pratybų zonoje. Pratybų zonoje naudojate netikrą paslaugą; savo tikrame domene naudosite tikrą include, kurį nurodo Jūsų pašto paslaugų teikėjas (pavyzdžiui, include:_spf.google.com). Savo pratybų zonoje <code>.dnspractice.eu sukurkite SPF įrašą, kuris leidžia: zonos MX serverius (mx), adresą 192.0.2.25 ir pratybų paslaugą _spf.mailsuite-demo.dnspractice.eu. Kiti serveriai yra įtartini arba neleidžiami, taigi įrašas baigiasi ~all arba -all.

Skaitykite daugiau

Šiuose straipsniuose aprašyti žingsniai galioja WebOké valdymo skydeliams; kituose skydeliuose veikimas panašus.

• DirectAdmin vadovas 5.7: SPF nustatymas ir papildymas
• Kaip veikia SPF įrašas DNS sistemoje?
• SPF įrašo pridėjimas arba keitimas DirectAdmin
• WebOké vadovas 5.5: DNS pagalbininkai: MX, SPF, DMARC, CAA ir SRV
• RFC 7208 (SPF), ypač 4.6.4 skirsnis (dešimties paieškų ir dviejų tuščių paieškų riba)