Kontrola SPF — ověření SPF záznamu zdarma

Co je SPF záznam?

SPF (Sender Policy Framework, RFC 7208) je metoda ověřování e-mailů, která uvádí servery oprávněné odesílat poštu za doménu. Seznam se publikuje jako jediný TXT záznam začínající v=spf1. Když zpráva dorazí, přijímající server porovná IP adresu odesílatele s tímto seznamem.

Chybějící nebo rozbitý SPF záznam zvyšuje šanci, že legitimní pošta skončí ve spamu, a oslabuje DMARC, který spoléhá na úspěšné SPF nebo DKIM se zarovnáním.

Jak kontrola SPF funguje

Načteme všechny TXT záznamy domény a najdeme ten, který začíná v=spf1.
Každý mechanismus a modifikátor je rozebrán a ověřen: rozsahy ip4 a ip6, include, a, mx, exists, redirect a závěrečné all.
Rekurzivně procházíme každý include a redirect, sestavíme strom a spočítáme každý prvek, který provádí DNS dotaz.
Uvidíte celkový počet DNS dotazů z 10, prázdné dotazy, smyčky a každý syntaktický problém s doporučením.

Příklad SPF záznamu

Doména, která odesílá přes vlastní server a Google Workspace, může publikovat:

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all

Záznam autorizuje jednu IPv4 adresu a servery Googlu a žádá příjemce, aby odmítli všechny ostatní odesílatele. Každý include přidává alespoň jeden DNS dotaz, proto držte seznam služeb krátký.

Limit 10 DNS dotazů

Aby byli příjemci chráněni před zneužitím, smí vyhodnocení SPF vyvolat nejvýše 10 DNS dotazů. Mechanismy include, a, mx, ptr a exists a modifikátor redirect stojí každý jeden dotaz, i uvnitř vnořených include. ip4, ip6 a all jsou zdarma. Překročí-li součet 10, výsledkem je trvalá chyba (permerror) a SPF selže pro každou zprávu.

Překročení limitu je nejčastější problém SPF u firem, které pravidelně přidávají nové e-mailové služby. Jak se vejít: odstraňte nepoužívané služby, nahraďte a a mx explicitními rozsahy ip4/ip6 a požádejte dodavatele o užší include.

Kvalifikátory SPF: -all, ~all a ?all

-all (fail) — neautorizovaní odesílatelé selžou. Nejpřísnější a doporučené zakončení, když je seznam úplný.
~all (softfail) — neautorizovaná pošta je přijata, ale označena jako podezřelá. Běžné při migraci a často spolu s DMARC.
?all (neutral) — žádné tvrzení. Neposkytuje ochranu.
+all (pass) — autorizuje všechny. Nikdy nepoužívejte: kdokoli by mohl posílat poštu jménem vaší domény.

Časté chyby SPF

Více SPF záznamů — doména musí mít právě jeden záznam v=spf1. Sloučte je.
Příliš mnoho DNS dotazů — více než 10 dotazů způsobí permerror; zjednodušte nebo odstraňte include.
Include domén bez SPF — počítají se jako prázdné dotazy; více než 2 způsobí trvalou chybu.
Použití ptr — zastaralé, pomalé a mnohými příjemci ignorované.
Prvky za all — nic za mechanismem all se nikdy nevyhodnotí.

Časté dotazy

Jak zkontrolovat svůj SPF záznam?

Zadejte doménu do formuláře výše. Nástroj najde TXT záznam v=spf1, ověří syntaxi, projde všechny include a ukáže celkový počet DNS dotazů spolu s chybami a doporučeními.

Co znamená „too many DNS lookups“?

SPF povoluje při vyhodnocení nejvýše 10 prvků s DNS dotazy, včetně vnořených include. Pokud je potřeba víc, příjemci vrátí trvalou chybu a SPF selže. Odstraňte nepoužívané služby nebo nahraďte include a a/mx explicitními IP rozsahy.

Může mít doména dva SPF záznamy?

Ne. Více než jeden záznam v=spf1 způsobí trvalou chybu. Spojte všechny autorizované odesílatele do jednoho záznamu.

Mám použít -all nebo ~all?

-all je přísnější a doporučené, jakmile jsou uvedeni všichni legitimní odesílatelé. ~all je bezpečnější při změnách. S vynucovanou politikou DMARC je praktický rozdíl malý, protože o výsledku rozhoduje DMARC.

Chrání SPF adresu From, kterou vidí uživatelé?

Samo o sobě ne. SPF kontroluje odesílatele obálky (Return-Path), ne viditelnou hlavičku From. DMARC mezi nimi přidává zarovnání, proto potřebujete obojí.

Jak přidat do SPF novou e-mailovou službu?

Přidejte include nebo IP rozsah od služby před mechanismus all, například include:sendgrid.net. Pak kontrolu spusťte znovu a ověřte, že jste stále v limitu 10 dotazů.

Je tato kontrola SPF zdarma?

Ano, zcela zdarma a bez registrace. Kontrolované domény neukládáme.

Kontrola SPF záznamu