Co SPF dělá
SPF (Sender Policy Framework) je TXT záznam na vaší doméně se seznamem serverů, které za ni smějí posílat poštu. Když zpráva dorazí, příjemce si načte záznam domény obálkového odesílatele a ověří, jestli je odesílající server na seznamu.
v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all- include: povolí i servery ze SPF záznamu jiné domény, obvykle vašeho poskytovatele pošty.
- ip4: / ip6: povolí přímo adresu nebo rozsah adres.
- a / mx: povolí servery, na které ukazují A nebo MX záznamy vaší domény.
- -all / ~all: co dělat se vším ostatním: odmítnout (fail), nebo označit jako podezřelé (softfail).
Limit 10 dotazů
Aby byla kontrola rychlá, smí příjemce při vyhodnocení SPF udělat nejvýš 10 DNS dotazů, a to včetně všeho uvnitř vašich include. Každá e-mailová služba, kterou přidáte, obvykle přinese jeden include a include některých poskytovatelů obsahují několik dalších. Když limit překročíte, SPF selže pro veškerou vaši poštu, ne jen pro nejnovější službu. Strom výše ukazuje, kam vaše dotazy jdou, takže vidíte, který include odstranit nebo nahradit.
Samotné SPF nestačí
SPF ověřuje obálkového odesílatele, ne adresu From, kterou lidé vidí, a při přeposlání se rozbije. Proto funguje společně s DKIM podpisy a politikou DMARC. Ty zkontrolujete vyhledáním DKIM záznamu a kontrolou DMARC.
Časté otázky
Co se započítává do limitu 10 dotazů?
Každý mechanismus include, a, mx, ptr a exists a modifikátor redirect, včetně těch uvnitř záznamů, které zahrnujete. ip4, ip6 a all nestojí nic. Nad 10 dotazů příjemci vyhodnocování zastaví a vrátí trvalou chybu, která se počítá jako selhání SPF pro veškerou vaši poštu.
Mám záznam ukončit -all, nebo ~all?
-all žádá příjemce, aby poštu ze serverů, které jste neuvedli, odmítli. ~all žádá, aby ji brali jako podezřelou. S vynucenou politikou DMARC je praktický rozdíl malý a ~all je bezpečnější volba, dokud ještě dohledáváte všechny služby, které za vás posílají poštu.
Může mít doména dva SPF záznamy?
Ne. Doména musí mít právě jeden TXT záznam, který začíná v=spf1. Když má dva, příjemci vrátí trvalou chybu. Mechanismy z obou sloučte do jednoho záznamu.
Jak se dostat pod limit dotazů?
Odstraňte include služeb, které už nepoužíváte. Mechanismy a a mx nahraďte adresami ip4 nebo ip6, na které ukazují, pokud se nemění. Newslettery posílejte ze subdomény s vlastním SPF záznamem. Funguje i převedení všech include na IP adresy, to se ale potichu rozbije, jakmile poskytovatel změní své rozsahy.