SPF -all (hard fail)

Co je SPF -all?

Mechanismus -all v SPF (Sender Policy Framework) záznamu definuje nejpřísnější možnou politiku vůči neautorizovaným odesílatelům e-mailů. Říká přijímajícím poštovním serverům, aby odmítly jakýkoli e-mail, který nepřichází z IP adresy nebo domény výslovně uvedené ve vašem SPF záznamu.

Zkrátka -all znamená: „Pokud to není na seznamu, ať to selže.“

Příklad SPF záznamu:

Tento záznam uvádí, že poštu za doménu smějí odesílat pouze servery autorizované SPF položkou Googlu. Jakýkoli jiný server, který se pokusí odeslat poštu ze stejné domény, by měl být odmítnut.

Jak SPF -all funguje

SPF záznam je DNS TXT položka, která určuje, které poštovní servery smějí odesílat zprávy jménem vaší domény. Skládá se z mechanismů (jako ip4, include nebo a) následovaných kvalifikátorem, který udává, co dělat, když zpráva odpovídá, nebo neodpovídá.

Kvalifikátor -all slouží jako poslední pravidlo:

• Přijímající poštovní server vyhodnocuje jednotlivé mechanismy v pořadí.
• Pokud není nalezena žádná shoda, instrukce -all serveru říká, aby pro danou zprávu nechal ověření SPF selhat.

Mezi další běžné kvalifikátory patří:

• ~all → Softfail (přijmout, ale označit jako podezřelé)
• ?all → Neutral (žádná politika)
• +all → Povolit vše (nedoporučuje se)

Použitím -all vlastníci domény vynucují tvrdé selhání (hard fail) a signalizují, že legitimní jsou pouze definované zdroje.

Proč na SPF -all záleží

Použití -all výrazně posiluje ochranu domény před útoky typu spoofing a phishing. Bez něj by neautorizované servery mohly odesílat zprávy, které vypadají, že pocházejí z vaší domény, a mohly by tak klamat příjemce nebo poškozovat pověst vašeho odesílatele.

Tvrdé selhání pomáhá příjemcům pošty a politikám DMARC činit rozhodná opatření. Například:

• Pokud SPF selže a je vynuceno sladění DMARC, může být zpráva umístěna do karantény nebo odmítnuta.
• Bezpečnostní systémy mohou lépe důvěřovat zprávám, které projdou SPF, čímž se snižuje počet falešných poplachů.

Předčasné zavedení -all, tedy dříve, než ověříte všechny legitimní zdroje odesílání, ale může vést k selhání doručení platné pošty. Osvědčeným postupem je začít při testování s ~all (softfail) a poté přejít na -all, jakmile je vaše nastavení SPF plně ověřeno.

SPF -all a DMARCeye

DMARCeye pomáhá organizacím bezpečně přejít na politiku -all tím, že monitoruje, které servery odesílají poštu za jejich doménu. Prostřednictvím podrobných reportů DMARC ukazuje DMARCeye, zda každý zdroj projde nebo neprojde kontrolami SPF, což usnadňuje identifikaci legitimních systémů před zpřísněním vynucování.

Jakmile jste připraveni, přehledy DMARCeye zajistí, že vaše konfigurace SPF -all podporuje vaši politiku DMARC, aniž by blokovala platný provoz.

Vyzkoušejte DMARCeye zdarma a zabezpečte svou e-mailovou doménu.

Chcete-li se dozvědět více o DMARC a souvisejících pojmech, prozkoumejte Slovník pojmů DMARCeye.