SPF: kurš drīkst sūtīt e-pastu Jūsu domēna vārdā?

Modulis 4: Ieraksti e-pastam · Lasīšanas laiks: 10 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet nolasīt SPF ierakstu, pareizi pievienot kādu pakalpojumu un izvairīties no trim zināmākajām SPF kļūdām: divi ieraksti, +all un vairāk nekā desmit meklējumi.

Pamatjēdzieni: SPF, v=spf1, mehānisms (a, mx, ip4, ip6, include), kvalifikators (+ - ~ ?), all, viens SPF ieraksts, 10 DNS meklējumu limits, aploksnes sūtītājs (Return-Path)

Problēma: jebkurš var izmantot Jūsu vārdu

E-pasts tika izveidots astoņdesmitajos gados nelielam, draudzīgam internetam. Jebkurš pasta serveris var nosūtīt vēstuli ar sūtītāja adresi info@example.com, pat ja šim serverim nav nekāda sakara ar example.com. Krāpnieki to labprāt izmanto.

SPF (Sender Policy Framework, RFC 7208) ir pirmais solis, lai to novērstu. SPF ierakstā Jūs norādāt, kuri serveri drīkst sūtīt e-pastu Jūsu domēna vārdā. Saņemošais pasta serveris katrai ienākošajai vēstulei pārbauda: vai šī vēstule nāk no servera, kas atrodas sarakstā?

Iedomājieties to kā ciemiņu sarakstu pie durvīm. Durvju sargs (saņemošais pasta serveris) pieprasa sarakstu no Jūsu domēna un pārbauda, vai apmeklētājs (sūtošais serveris) tajā ir iekļauts.

Kā izskatās SPF ieraksts?

SPF ieraksts ir TXT ieraksts Jūsu domēna vārdā, kas sākas ar v=spf1:

example.com.  3600  IN  TXT  "v=spf1 mx ip4:192.0.2.25 include:spf.mailer.example ~all"

Jūs to lasāt no kreisās uz labo pusi. Saņēmējs pārbauda sastāvdaļas vienu pēc otras un apstājas pie pirmās, kas atbilst.

Nobeigums: ~all, -all, ?all vai +all

Pirms katras sastāvdaļas var būt zīme, kas nosaka, kas notiek, ja tā atbilst. Pie all (kas atbilst vienmēr) šī zīme nosaka būtisku atšķirību:

Ja zīmes nav norādītas, ir spēkā +. Tātad mx nozīmē to pašu, ko +mx.

Kuru izvēlēties? ~all ir droša noklusējuma izvēle. -all ir stingrāks un piemērots, ja Jūs esat pilnīgi pārliecināti, ka visi Jūsu sūtītāji ir ietverti ierakstā. Ja izmantojat DMARC (4.5. nodarbība), tad gala lēmumu par to, kas notiek, nosaka DMARC politika; daudzi administratori tāpēc izvēlas ~all.

1. kļūda: divi SPF ieraksti

Katram domēnam drīkst būt tikai viens SPF ieraksts. Ja saņēmējs atrod divus, rezultāts ir kļūda (permerror) un Jūsu SPF nemaz netiek ņemts vērā. Tas ir sliktāk nekā SPF neesamība vispār.

Praksē tas bieži rada problēmas. Jaunumu izsūtīšanas pakalpojums vai Microsoft 365 saka: "pievienojiet šo SPF ierakstu", un tad pēkšņi līdzās vecajam parādās otrs v=spf1 ieraksts. Risinājums: pievienojiet jauno pakalpojumu esošajam ierakstam.

Nepareizi:

"v=spf1 mx include:spf.oldhost.example ~all"
"v=spf1 include:spf.protection.outlook.com -all"

Pareizi:

"v=spf1 mx include:spf.oldhost.example include:spf.protection.outlook.com ~all"

Ņemiet vērā: apvienojot ierakstus, neizņemiet serverus, kurus joprojām izmantojat. Ja Jūsu vietne sūta e-pastu, izmantojot Jūsu hostinga pakalpojumu sniedzēja serveri, tam ir jāpaliek ierakstā, pat ja parastā e-pasta sarakste notiek caur Microsoft 365. Hostinga pakalpojumam bieži jau ir noklusējuma SPF ar hostinga uzņēmuma include (piemēram, WebOké gadījumā tas ir include:webawere.nl); atstājiet to, kamēr Jūsu vietne vai veidlapas sūta e-pastu caur šo serveri.

2. kļūda: +all vai pārāk plašs ieraksts

+all beigās vai milzīga adrešu virkne, piemēram, ip4:0.0.0.0/0, nozīmē, ka drīkst jebkurš. Tad Jūsu SPF vairs neko neaizsargā, un surogātpasta filtri to uzskata par sliktu pazīmi.

3. kļūda: vairāk nekā desmit meklējumi

Lai pārbaudītu SPF ierakstu, saņēmējam dažkārt jāveic papildu DNS pieprasījumi. Katrs include, a, mx, exists, ptr un redirect maksā vienu meklējumu, un include ieskaita arī visus meklējumus ierakstā, uz kuru tas norāda. Saskaņā ar RFC 7208 kopējais skaits nedrīkst pārsniegt desmit. Ja tas tiek pārsniegts, rezultāts ir permerror un SPF nedarbojas.

ip4 un ip6 nemaksā nevienu meklējumu. all arī ne.

Turklāt ne vairāk kā divi meklējumi drīkst atgriezties "tukši" (vārds, kas neeksistē vai nedod atbildi). Tātad arī include uz pakalpojumu, ko vairs sen neizmantojat un kas ir dzēsis savu ierakstu, var radīt problēmas.

Ja izmantojat daudzus pakalpojumus, pārbaudiet skaitu ar SPF pārbaudes rīku (8.3. nodarbība) un izņemiet pakalpojumus, kurus vairs neizmantojat.

Ko SPF nedara

SPF pārbauda aploksnes sūtītāju: tehnisko sūtītāja adresi (Return-Path), ko pasta serveri izmanto savstarpēji. Tā ne vienmēr ir tā pati adrese, ko Jūs redzat lauciņā "No:" savā pasta programmā. Jaunumu izsūtīšanas pakalpojums bieži sūta ar savu Return-Path. Tātad SPF vien neaptur katru viltotu sūtītāju. Tam ir domāts DKIM (4.4. nodarbība) un DMARC (4.5. nodarbība).

SPF arī nestrādā pareizi pāradresācijas gadījumā: ja Jūs automātiski pāradresējat e-pastu uz citu adresi, vēstule gala saņēmējam nonāk no servera, kas nav iekļauts Jūsu SPF ierakstā.

Kāpēc tas ir svarīgi

Lielie e-pasta pakalpojumu sniedzēji ir kļuvuši stingrāki. Kopš 2024. gada februāra Gmail un Yahoo pieprasa, lai ikvienam, kas sūta e-pastu, būtu vismaz SPF vai DKIM, un lai tiem, kas sūta daudz vēstuļu (vairāk nekā aptuveni 5000 dienā), būtu gan SPF, gan DKIM, gan DMARC. Microsoft kopš 2025. gada maija izvirza tādu pašu prasību Outlook.com, Hotmail un Live.com. Pat ja sūtāt maz e-pastu, labs SPF ieraksts palīdz izvairīties no nonākšanas surogātpasta mapē.

Praksē: kā tas izskatās vadības panelī

Šajā piemērā izmantojam DirectAdmin. Sadaļā DNS Administration noklikšķiniet uz zīmulīti aiz TXT ieraksta, kas sākas ar v=spf1. DirectAdmin atver SPF palīgu: laukā Include Domain ierakstiet pakalpojuma domēnu (bez include:), laukā Mode izvēlieties SoftFail (~all) vai Fail (-all). Apakšā redzams viss ieraksts. Mans WebOké piedāvā līdzīgu SPF palīgu DNS cilnē.

Citos vadības paneļos šāda palīga ne vienmēr ir. Tad TXT ierakstu rediģējat kā parastu tekstu; saturs ir tieši tāds pats.

Kopsavilkums

• SPF ir TXT ieraksts ar v=spf1, kas norāda, kuri serveri drīkst sūtīt e-pastu Jūsu domēna vārdā.
• Tieši viens SPF ieraksts katram domēnam. Jauns pakalpojums? Papildiniet esošo ierakstu.
• Beidziet ar ~all vai -all, nekad ar +all.
• Maksimāli desmit DNS meklējumi (include, a, mx, exists, ptr, redirect); ip4/ip6 netiek ieskaitīti.
• SPF pārbauda aploksnes sūtītāju; patiesai aizsardzībai nepieciešami arī DKIM un DMARC.

Tests

Uzdevums

Uzdevums Z4.3: SPF meklēšana. Uzmeklējiet domēna google.com SPF ierakstu (vai sava domēna ierakstu). Ielīmējiet pilnu ierakstu un norādiet, ar ko tas beidzas (~all, -all, ?all vai +all). Ja izmantojat savu domēnu, uzdevums pārbauda arī to, vai Jums ir tieši viens SPF ieraksts.

Uzdevums O4.3: Pašrocīga iestatīšana vingrināšanās zonā. Vingrināšanās zonā izmantojat izdomātu pakalpojumu; savā īstajā domēnā izmantojat īsto include, ko norāda Jūsu e-pasta pakalpojumu sniedzējs (piemēram, include:_spf.google.com). Izveidojiet savā vingrināšanās zonā <code>.dnspractice.eu SPF ierakstu, kas atļauj: zonas MX serverus (mx), adresi 192.0.2.25 un vingrināšanās pakalpojumu _spf.mailsuite-demo.dnspractice.eu. Citi serveri ir aizdomīgi vai nav atļauti, tāpēc ieraksts beidzas ar ~all vai -all.

Lasīt tālāk

Šajos rakstos aprakstītie soļi attiecas uz WebOké vadības paneļiem; citos paneļos darbība ir līdzīga.

• DirectAdmin rokasgrāmata 5.7: SPF iestatīšana un papildināšana
• Kā darbojas SPF ieraksts DNS?
• SPF ieraksta pievienošana vai maiņa DirectAdmin
• WebOké rokasgrāmata 5.5: DNS palīgi: MX, SPF, DMARC, CAA un SRV
• RFC 7208 (SPF), jo īpaši 4.6.4. punkts (desmit meklējumu limits un divi tukši meklējumi)