Include (mechanismus SPF)

Co je to Include (SPF)?

Mechanismus include ve SPF (Sender Policy Framework) umožňuje doméně odkázat na SPF záznam jiné domény při definování autorizovaných poštovních serverů. Běžně se používá, když e-maily jménem vaší organizace odesílají dodavatelé třetích stran, jako jsou marketingové platformy, CRM nástroje nebo cloudové poštovní služby. Direktiva include zjednodušuje správu SPF tím, že vám umožňuje zdědit autorizační pravidla jiné domény namísto ručního kopírování každé IP adresy.

Pokud například vaše firma používá k odesílání legitimní pošty externí službu jako SendGrid nebo Microsoft 365, můžete jejich SPF záznam zahrnout do svého vlastního. Tím přijímajícím serverům sdělíte, že infrastruktura dodavatele smí odesílat vaším jménem.

Jak mechanismus include funguje

Když vyhodnocení SPF narazí na příkaz include, provede rekurzivní DNS lookup, aby získalo a zpracovalo SPF záznam odkazované domény. Pokud se některá z IP adres uvedených v tomto záznamu shoduje s odesílajícím serverem, kontrola SPF projde. Pokud ne, vyhodnocování pokračuje dalším mechanismem v původní politice.

Příklad SPF záznamu s include:

V tomto příkladu doména autorizuje poštu odesílanou přes Google Workspace a Microsoft 365 importem jejich SPF konfigurací. Jakákoli pošta odeslaná z IP adres uvedených v těchto zahrnutých záznamech projde validací SPF pro danou doménu.

Více direktiv include je povoleno, ale každá se započítává do limitu DNS lookupů SPF, který činí 10. Nadměrné množství include může vést k SPF permerrorům, pokud je během vyhodnocování spuštěno příliš mnoho DNS dotazů.

Osvědčené postupy pro použití include ve SPF

Ačkoli je mechanismus include pohodlný, musí se používat opatrně, aby byla zachována platná a efektivní konfigurace SPF.

Doporučené osvědčené postupy zahrnují:

• Používejte include pouze pro důvěryhodné poskytovatele třetích stran, kteří publikují udržované SPF záznamy
• Omezte počet direktiv include tak, abyste zůstali pod limitem 10 lookupů
• Vyhněte se řetězení include od více dodavatelů (scénáře include uvnitř include)
• Pravidelně ověřujte, že se zahrnuté SPF záznamy neočekávaně nezměnily
• Zploštěte svůj SPF záznam (převeďte include na IP adresy), pokud je to nutné pro výkon
• Použijte mechanismy jako -all nebo ~all k jasnému definování výchozí politiky pro neuvedené odesílatele

Udržováním jednoduché struktury a vyhýbáním se zbytečnému vnořování zajistíte rychlejší vyhodnocení a méně falešných selhání SPF.

Mechanismus include a DMARCeye

DMARCeye analyzuje SPF záznamy napříč vašimi doménami a odhaluje potenciální rizika způsobená nadměrnými nebo zastaralými příkazy include. Platforma rozbalí a zmapuje každý odkaz, aby ukázala, které IP adresy a služby jsou pod vaší SPF politikou autorizovány.

Tento přehled vám pomáhá identifikovat závislosti na externích poskytovatelích, najít nefunkční nebo zastaralé include a zůstat v rámci limitů lookupů SPF. S podrobnou DNS analýzou a reportingem od DMARCeye můžete s jistotou spravovat odesílatele třetích stran a zároveň udržovat čistou konfiguraci SPF v souladu s pravidly.

Vyzkoušejte DMARCeye zdarma a zabezpečte svou e-mailovou doménu.

Chcete-li se dozvědět více o DMARC a souvisejících pojmech, prozkoumejte Slovník pojmů DMARCeye.