Limit DNS dotazů (SPF)

Co je limit DNS dotazů (SPF)?

Limit DNS dotazů v SPF se týká pravidla, že vyhodnocení SPF může během jedné kontroly provést nejvýše 10 mechanismů a modifikátorů zasílajících DNS dotazy. Toto omezení existuje, aby zabránilo nadměrným nebo rekurzivním DNS dotazům, které by mohly zpomalit doručování pošty nebo vytvořit riziko zneužití. Pokud SPF politika vyžaduje více než 10 dotazů, zpracování SPF selže s výsledkem permerror a příjemci obvykle považují zprávu za neúspěšnou v SPF.

Toto omezení ovlivňuje, jak sestavíte svůj v=spf1 záznam. Některé mechanismy spouštějí DNS dotazy, jiné nikoli. Pečlivé plánování udrží váš záznam v rámci limitu a zajistí spolehlivé výsledky ověřování napříč poskytovateli poštovních schránek.

Jak limit DNS dotazů funguje

Během vyhodnocení SPF přijímající server rozbalí vaši v=spf1 politiku. Pokaždé, když rozbalení vyžaduje externí DNS dotaz, započítá se do limitu 10. Počet se sčítá napříč include a redirect, nejen na nejvyšší úrovni.

Mechanismy a modifikátory, které spouštějí DNS dotazy:

• a
• mx
• ptr
• exists
• include
• redirect

Mechanismy, které DNS dotazy nespouštějí:

• all
• ip4
• ip6
• exp

Existuje také samostatný limit na void lookupy. Pokud dva nebo více mechanismů zasílajících DNS dotazy nevrátí žádná data nebo NXDOMAIN, vyhodnocení se může zastavit s permerrorem. To chrání příjemce před nákladnými nebo zneužívajícími politikami.

Příklad politiky s rizikem překročení limitu:

I když se na nejvyšší úrovni zdá, že má méně než 10 dotazů, každý include může sám obsahovat další mechanismy include, a nebo mx. Celkový počet napříč celým rozbaleným stromem musí zůstat na 10 nebo pod touto hodnotou.

Proč je limit důležitý pro doručitelnost a zabezpečení

Pokud vaše SPF politika překročí limit 10 dotazů, příjemci mohou vrátit permerror a považovat zprávu za neúspěšnou v SPF. V závislosti na DMARC politice a sladění může toto selhání snížit umístění do doručené pošty nebo způsobit úplné odmítnutí pro chráněné domény.

Provozní rizika při dosažení limitu zahrnují:

• Občasná selhání SPF, když dodavatelé změní své include
• Obtížně diagnostikovatelné problémy s doručováním u různých příjemců
• Neočekávaná selhání DMARC kvůli nesladění SPF
• Zvýšenou křehkost při přidávání nových odesílacích služeb

Udržování politiky v rámci limitů zajišťuje stabilní výsledky ověřování, snižuje zátěž podpory a zachovává reputaci domény. Chrání také před útočníky, kteří by sestavovali politiky nutící příjemce k nákladné práci resolveru.

Praktické způsoby, jak zůstat pod limitem

Navrhujte SPF politiky tak, aby minimalizovaly DNS dotazy bez ztráty přesnosti. Účinné taktiky zahrnují:

• Preferujte ip4 a ip6 tam, kde je to možné, pro přímé zakódování známých rozsahů
• Konsolidujte překrývající se include dodavatelů a odstraňte nepoužívané služby
• Vyhýbejte se ptr a používejte a a mx pouze v případě nutnosti
• Používejte souhrnné include poskytnuté dodavatelem, jsou-li dostupné, místo řetězení více include specifických pro jednotlivé značky
• Provádějte flattening obezřetně tím, že rozbalíte include na IP adresy u stabilních rozsahů, s procesem opětovné kontroly při změnách dodavatele
• Používejte redirect jednou pro čisté dědění místo více vrstvených redirectů
• Sledujte void lookupy a opravujte překlepy nebo vyřazené hostname

Zjednodušený příklad, který respektuje limit:

Limit DNS dotazů a DMARCeye

DMARCeye vyhodnocuje vaši SPF politiku s úplným rozbalením, aby odhadl celkový počet DNS dotazů a zvýraznil politiky, které se blíží limitu nebo jej překračují. Platforma sleduje, které mechanismy přispívají k počtu nejvíce, a odhaluje riziková řetězení include a redirect.

DMARCeye rovněž označuje void lookupy, zastaralé používání ptr a špatné konfigurace, které by mohly po aktualizaci dodavatele posunout váš záznam přes prahovou hodnotu. Díky jasným doporučením a sledování změn mohou týmy zjednodušit SPF politiky, zůstat v rámci pravidla 10 dotazů a udržet konzistentní míru úspěšnosti DMARC.

Zkontrolujte si vlastní SPF záznam:

Vyzkoušejte DMARCeye zdarma a zabezpečte svou e-mailovou doménu.

Chcete-li se dozvědět více o DMARC a souvisejících pojmech, prozkoumejte Slovník pojmů DMARCeye.