SPF Denetleyici

SPF (Sender Policy Framework, RFC 7208), bir alan adı adına e-posta göndermesine izin verilen sunucuları listeleyen bir kimlik doğrulama yöntemidir. Liste, v=spf1 ile başlayan tek bir TXT kaydı olarak yayınlanır. Bir ileti geldiğinde alıcı sunucu gönderen IP adresini bu listeyle karşılaştırır.

Eksik veya bozuk bir SPF kaydı meşru e-postaların spama düşme olasılığını artırır ve hizalamayla SPF veya DKIM’in geçmesine dayanan DMARC’ı zayıflatır.

• Alan adının tüm TXT kayıtlarını alır ve v=spf1 ile başlayanı buluruz.
• Her mekanizma ve değiştirici ayrıştırılıp doğrulanır: ip4 ve ip6 aralıkları, include, a, mx, exists, redirect ve son all.
• Her include ve redirect’i özyinelemeli olarak izler, include ağacını oluşturur ve DNS sorgusu yapan her terimi sayarız.
• Toplam DNS sorgusu sayısını 10 üzerinden, boş sorguları, döngüleri ve her sözdizimi sorununu öneriyle birlikte görürsünüz.

Kendi sunucusu ve Google Workspace üzerinden gönderim yapan bir alan adı şunu yayınlayabilir:

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all

Bir IPv4 adresini ve Google’ın posta sunucularını yetkilendirir ve alıcılardan diğer tüm göndericileri reddetmelerini ister. Her include en az bir DNS sorgusu ekler; bu yüzden hizmet listesini kısa tutun.

Alıcıları kötüye kullanımdan korumak için SPF değerlendirmesi en fazla 10 DNS sorgusu tetikleyebilir. include, a, mx, ptr ve exists mekanizmaları ile redirect değiştiricisi, iç içe include’lar dahil, her biri bir sorgu harcar. ip4, ip6 ve all ücretsizdir. Toplam 10’u aşarsa sonuç kalıcı hatadır (permerror) ve SPF her ileti için başarısız olur.

Sınırı aşmak, birkaç ayda bir yeni e-posta hizmeti ekleyen büyüyen şirketlerin en yaygın SPF sorunudur. Sınırın altında kalmak için: artık kullanmadığınız hizmetleri kaldırın, a ve mx’i açık ip4/ip6 aralıklarıyla değiştirin ve sağlayıcılardan daha dar bir include isteyin.

• -all (fail) — yetkisiz göndericiler başarısız olur. Liste eksiksiz olduğunda en katı ve önerilen bitiş.
• ~all (softfail) — yetkisiz e-postalar kabul edilir ancak şüpheli olarak işaretlenir. Geçişlerde yaygındır ve DMARC ile birlikte sıkça kullanılır.
• ?all (neutral) — hiçbir beyan yok. Koruma sağlamaz.
• +all (pass) — herkesi yetkilendirir. Asla kullanmayın: herkes alan adınız adına e-posta gönderebilir.

• Birden fazla SPF kaydı — bir alan adının tam olarak bir v=spf1 kaydı olmalıdır. Bunları birleştirin.
• Çok fazla DNS sorgusu — 10’dan fazla sorgu permerror’a neden olur; include’ları sadeleştirin veya kaldırın.
• SPF’si olmayan alan adlarının include’u — boş sorgu sayılır; 2’den fazlası kalıcı hataya yol açar.
• ptr kullanımı — kullanımdan kalktı, yavaş ve birçok alıcı tarafından yok sayılıyor.
• all’dan sonraki terimler — all mekanizmasından sonraki hiçbir şey değerlendirilmez.