Rekord SPF

Czym jest rekord SPF?

Rekord SPF (rekord Sender Policy Framework) to rodzaj rekordu DNS TXT, który wskazuje serwerom odbiorcy, które adresy IP lub hosty mają prawo wysyłać pocztę w imieniu domeny.

To jedna z trzech podstawowych metod uwierzytelniania poczty, obok DKIM i DMARC, która pomaga zapobiegać spoofingowi, phishingowi oraz innym formom podszywania się pod domenę.

Każdy rekord SPF zaczyna się od znacznika wersji v=spf1, po którym następuje lista zatwierdzonych nadawców oraz końcowa dyrektywa polityki.

Jak działają rekordy SPF

Gdy wiadomość zostaje odebrana, serwer pocztowy odbiorcy wykonuje kontrolę SPF: wyszukuje rekord SPF domeny w DNS i weryfikuje, czy wysyłający adres IP znajduje się w tym rekordzie.

Typowy rekord SPF wygląda tak:

Oto, co oznacza każda część:

• v=spf1 - Deklaruje, że jest to rekord SPF.
• include:_spf.google.com - Autoryzuje serwery pocztowe Google do wysyłania poczty.
• ip4:192.0.2.0/24 - Autoryzuje konkretny zakres adresów IP.
• -all - Nakazuje serwerom odbiorcy odrzucać wszystkich nadawców spoza listy.

Na podstawie końcowego kwalifikatora (-all, ~all, ?all lub +all) system odbiorcy decyduje, jak potraktować nadawców spoza listy: odrzucenie, softfail, neutral lub zezwolenie.

Skuteczne zarządzanie SPF

Rekordy SPF są proste w założeniu, ale łatwo je błędnie skonfigurować. Ponieważ liczba zapytań DNS jest ograniczona do dziesięciu na jedną ocenę SPF, nadmiernie złożone rekordy mogą zepsuć uwierzytelnianie lub spowodować nieoczekiwane odrzucenie poczty.

Aby zachować dokładność:

• Konsoliduj lub upraszczaj wpisy include.
• Używaj odrębnych rekordów SPF dla subdomen w przypadku różnych usług wysyłkowych.
• Testuj wyrównanie SPF wraz z DKIM i DMARC, aby zapewnić spójność.

Regularny przegląd jest kluczowy, zwłaszcza gdy do Twojego ekosystemu poczty dochodzą nowe narzędzia firm trzecich.

Rekordy SPF a DMARCeye

DMARCeye pomaga monitorować i weryfikować uwierzytelnianie SPF we wszystkich Twoich źródłach wysyłkowych.

Analizując raporty zbiorcze DMARC, DMARCeye pokazuje, które adresy IP i domeny przechodzą lub nie przechodzą kontroli SPF - oraz czy ci nadawcy są wyrównani z Twoją domeną w nagłówku From w ramach DMARC.

Dzięki tej widoczności możesz uporządkować stare wpisy SPF, wykrywać nieautoryzowanych nadawców i pewnie egzekwować bardziej restrykcyjne polityki DMARC bez zakłócania legalnej poczty.