Перевірка SPF-запису

SPF (Sender Policy Framework, RFC 7208) — метод автентифікації пошти, що перелічує сервери, яким дозволено надсилати листи від імені домену. Список публікується одним TXT-записом, що починається з v=spf1. Коли лист надходить, сервер-отримувач порівнює IP-адресу відправника з цим списком.

Відсутній або зламаний SPF-запис підвищує ймовірність потрапляння легітимних листів у спам і послаблює DMARC, який спирається на успішний SPF або DKIM із вирівнюванням.

• Ми отримуємо всі TXT-записи домену й знаходимо той, що починається з v=spf1.
• Кожен механізм і модифікатор розбирається та перевіряється: діапазони ip4 та ip6, include, a, mx, exists, redirect і завершальний all.
• Ми рекурсивно проходимо кожен include і redirect, будуємо дерево та рахуємо кожен елемент, що робить DNS-запит.
• Ви бачите загальну кількість DNS-запитів із 10, порожні запити, цикли та всі синтаксичні проблеми з рекомендаціями.

Домен, що надсилає пошту через власний сервер і Google Workspace, може опублікувати:

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all

Запис дозволяє одну IPv4-адресу й поштові сервери Google та просить отримувачів відхиляти всіх інших відправників. Кожен include додає щонайменше один DNS-запит, тож тримайте список сервісів коротким.

Щоб захистити отримувачів від зловживань, перевірка SPF може зробити не більше 10 DNS-запитів. Механізми include, a, mx, ptr, exists і модифікатор redirect коштують по одному запиту, включно з тими, що у вкладених include. ip4, ip6 та all — безкоштовні. Якщо сума перевищує 10, результат — постійна помилка (permerror), і SPF не проходить для жодного листа.

Перевищення ліміту — найпоширеніша проблема SPF у компаній, що регулярно додають нові email-сервіси. Щоб вкластися: приберіть сервіси, якими більше не користуєтеся, замініть a та mx на явні діапазони ip4/ip6 і попросіть постачальників дати вужчий include.

• -all (fail) — недозволені відправники не проходять. Найсуворіше й рекомендоване завершення, коли ви впевнені в повноті списку.
• ~all (softfail) — недозволена пошта приймається, але позначається як підозріла. Часто використовується під час міграції та разом із DMARC.
• ?all (neutral) — жодного твердження. Захисту не дає.
• +all (pass) — дозволяє всім. Ніколи не використовуйте: будь-хто зможе надсилати пошту від вашого домену.

• Кілька SPF-записів — домен має мати рівно один запис v=spf1. Об’єднайте їх в один.
• Забагато DNS-запитів — понад 10 запитів дає permerror; спростіть або приберіть include.
• Include доменів без SPF — рахуються як порожні запити; більше двох спричиняють постійну помилку.
• Використання ptr — застарілий, повільний механізм, який багато отримувачів ігнорують.
• Елементи після all — усе після механізму all ніколи не обробляється.