SPF: cine are voie să trimită e-mailuri în numele domeniului dumneavoastră?

Modulul 4: Înregistrări pentru e-mail · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea citi o înregistrare SPF, veți putea adăuga corect un serviciu și veți evita cele trei greșeli SPF cele mai cunoscute: două înregistrări, +all și mai mult de zece interogări.

Concepte-cheie: SPF, v=spf1, mecanism (a, mx, ip4, ip6, include), calificator (+ - ~ ?), all, o singură înregistrare SPF, limita de 10 interogări DNS, expeditorul de plic (Return-Path)

Problema: oricine poate folosi numele dumneavoastră

E-mailul a fost conceput în anii optzeci pentru un internet mic și prietenos. Orice server de e-mail poate trimite un mesaj cu adresa de expeditor info@example.com, chiar dacă acel server nu are nicio legătură cu example.com. Escrocii profită din plin de acest lucru.

SPF (Sender Policy Framework, RFC 7208) este un prim pas pentru a preveni acest lucru. Într-o înregistrare SPF specificați ce servere au voie să trimită e-mailuri în numele domeniului dumneavoastră. Un server de e-mail care primește mesajul verifică, la fiecare e-mail primit, dacă acesta provine de la un server care se află pe listă.

Gândiți-vă la o listă de invitați la o ușă. Portarul (serverul de e-mail al destinatarului) consultă lista domeniului dumneavoastră și verifică dacă vizitatorul (serverul care trimite mesajul) se află pe ea.

Cum arată o înregistrare SPF?

O înregistrare SPF este o înregistrare TXT pe numele dumneavoastră de domeniu, care începe cu v=spf1:

example.com.  3600  IN  TXT  "v=spf1 mx ip4:192.0.2.25 include:spf.mailer.example ~all"

Se citește de la stânga la dreapta. Destinatarul parcurge elementele unul câte unul și se oprește la primul care se potrivește.

Finalul: ~all, -all, ?all sau +all

În fața fiecărui element poate sta un semn care indică ce se întâmplă atunci când se potrivește. La all (care se potrivește întotdeauna) acel semn face diferența:

Dacă nu există niciun semn, se aplică +. Așadar mx înseamnă +mx.

Pe care îl alegeți? ~all este o opțiune sigură implicită. -all este mai strict și potrivit dacă sunteți sigur că toți expeditorii dumneavoastră se află în înregistrare. Dacă folosiți DMARC (lecția 4.5), politica DMARC determină în final ce se întâmplă; mulți administratori aleg atunci ~all.

Greșeala 1: două înregistrări SPF

Pentru un domeniu poate exista doar una singură înregistrare SPF. Dacă destinatarul găsește două, rezultatul este o eroare (permerror) și SPF-ul dumneavoastră nu contează deloc. Acest lucru este mai grav decât absența SPF.

În practică, acest lucru merge adesea prost. Un serviciu de newsletter sau Microsoft 365 spune „adăugați această înregistrare SPF”, iar atunci apare brusc o a doua înregistrare v=spf1 alături de cea veche. Soluția: adăugați noul serviciu la înregistrarea existentă.

Greșit:

"v=spf1 mx include:spf.oldhost.example ~all"
"v=spf1 include:spf.protection.outlook.com -all"

Corect:

"v=spf1 mx include:spf.oldhost.example include:spf.protection.outlook.com ~all"

Atenție: atunci când combinați, nu eliminați serverele pe care încă le folosiți. Dacă site-ul dumneavoastră trimite e-mailuri prin serverul furnizorului de hosting, acesta trebuie să rămână în listă, chiar dacă e-mailul obișnuit merge către Microsoft 365. Un pachet de hosting are adesea deja un SPF implicit cu un include al furnizorului de hosting (la WebOké este, de exemplu, include:webawere.nl); păstrați-l atât timp cât site-ul dumneavoastră sau formularele trimit e-mailuri prin acel server.

Greșeala 2: +all sau o înregistrare prea permisivă

+all la final, sau un interval foarte larg precum ip4:0.0.0.0/0, înseamnă că oricine are voie. Atunci SPF-ul dumneavoastră nu mai protejează nimic, iar filtrele de spam văd acest lucru ca pe un semn rău.

Greșeala 3: mai mult de zece interogări

Pentru a verifica o înregistrare SPF, destinatarul trebuie uneori să facă interogări DNS suplimentare. Fiecare include, a, mx, exists, ptr și redirect costă o interogare, iar un include numără și toate interogările din înregistrarea către care face trimitere. Conform RFC 7208, totalul nu poate depăși zece. Dacă se depășește, rezultatul este permerror și SPF eșuează.

ip4 și ip6 nu costă nicio interogare. Nici all.

În plus, maximum două interogări au voie să revină „goale” (un nume care nu există sau nu are niciun răspuns). Un include către un serviciu pe care nu îl mai folosiți de mult și care și-a șters înregistrarea poate deci, de asemenea, să cauzeze probleme.

Dacă folosiți multe servicii, verificați cu un instrument de control SPF (lecția 8.3) și eliminați serviciile pe care nu le mai folosiți.

Ce nu face SPF

SPF verifică expeditorul de plic: adresa tehnică de expeditor (Return-Path) pe care serverele de e-mail o folosesc între ele. Aceasta nu este întotdeauna aceeași adresă cu adresa „De la:” pe care o vedeți în programul dumneavoastră de e-mail. Un serviciu de newsletter trimite adesea cu un Return-Path propriu. Prin urmare, SPF singur nu oprește orice expeditor fals. Pentru asta există DKIM (lecția 4.4) și DMARC (lecția 4.5).

SPF se defectează și la redirecționare: dacă redirecționați automat e-mailul către o altă adresă, mesajul ajunge la destinatarul final de la un server care nu se află în SPF-ul dumneavoastră.

De ce contează

Furnizorii mari de e-mail au devenit mai stricți. Din februarie 2024, Gmail și Yahoo cer ca oricine trimite e-mailuri să aibă cel puțin SPF sau DKIM, iar cei care trimit multe e-mailuri (mai mult de aproximativ 5.000 pe zi) să aibă SPF, DKIM ȘI DMARC. Microsoft impune aceeași cerință din mai 2025 pentru Outlook.com, Hotmail și Live.com. Chiar dacă trimiteți puține e-mailuri, o înregistrare SPF bine configurată ajută împotriva folderului de spam.

În practică: cum arată într-un panou

În acest exemplu folosim DirectAdmin. În DNS Administration faceți clic pe creionul de lângă înregistrarea TXT care începe cu v=spf1. DirectAdmin deschide un asistent SPF: la Include Domain introduceți domeniul serviciului (fără include:), la Mode alegeți SoftFail (~all) sau Fail (-all). Mai jos vedeți întreaga înregistrare. Contul meu WebOké are un asistent SPF similar în fila DNS.

Alte panouri nu au întotdeauna un astfel de asistent. Atunci editați înregistrarea TXT ca text simplu; conținutul este exact același.

Rezumat

• SPF este o înregistrare TXT cu v=spf1 care indică ce servere au voie să trimită e-mailuri în numele domeniului dumneavoastră.
• Exact o singură înregistrare SPF per domeniu. Serviciu nou? Completați înregistrarea existentă.
• Încheiați cu ~all sau -all, niciodată cu +all.
• Maximum zece interogări DNS (include, a, mx, exists, ptr, redirect), ip4/ip6 nu se iau în calcul.
• SPF verifică expeditorul de plic; pentru o protecție reală aveți nevoie și de DKIM și DMARC.

Quiz

Exercițiu

Exercițiu Z4.3: Căutarea SPF. Căutați înregistrarea SPF a google.com (sau a propriului domeniu). Lipiți înregistrarea completă și indicați cu ce se termină (~all, -all, ?all sau +all). Pentru propriul domeniu, exercițiul verifică și dacă aveți exact o singură înregistrare SPF.

Exercițiu O4.3: Configurare proprie în zona dumneavoastră de exersare. În zona de exersare folosiți un serviciu fictiv; pentru domeniul dumneavoastră real folosiți include-ul real pe care îl indică furnizorul dumneavoastră de e-mail (de exemplu include:_spf.google.com). Creați în zona dumneavoastră de exersare <code>.dnspractice.eu o înregistrare SPF care permite: serverele MX ale zonei (mx), adresa 192.0.2.25 și serviciul de exersare _spf.mailsuite-demo.dnspractice.eu. Celelalte servere sunt suspecte sau nepermise, deci înregistrarea se termină cu ~all sau -all.

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru panourile WebOké; în alte panouri funcționează similar.

• Manual DirectAdmin 5.7: Configurarea și completarea SPF
• Modul de funcționare a înregistrării SPF în DNS Înregistrarea SPF (Sender Policy Framework) este o înregistrare de tip TXT în DNS, prin care specificați ce servere de e-mail au permisiunea să trimită mesaje în numele domeniului dumneavoastră. Astfel, serverele de primire a e-mailurilor pot verifica dacă un mesaj provine într-adevăr de la o sursă autorizată sau dacă este posibil să fie vorba de spam ori phishing. Când cineva trimite un e-mail, serverul de primire verifică înregistrarea SPF din DNS pentru domeniul expeditorului. Dacă adresa IP a serverului de trimitere se regăsește în lista din înregistrarea SPF, mesajul este considerat valid. În caz contrar, mesajul poate fi marcat drept spam sau respins, în funcție de setările serverului de primire. O înregistrare SPF arată, de exemplu, astfel: v=spf1 include:_spf.webokee.com ~all În acest exemplu: - v=spf1 indică versiunea SPF utilizată. - include:_spf.webokee.com specifică faptul că serverele incluse în acest domeniu au permisiunea de a trimite e-mailuri în numele dumneavoastră. - ~all indică modul în care trebuie tratate mesajele provenite de la servere neautorizate (în acest caz, un avertisment ușor, denumit „soft fail”). Dacă utilizați mai multe servicii de e-mail, este important să combinați toate sursele autorizate într-o singură înregistrare SPF, deoarece sunt permise doar una sau mai multe înregistrări TXT de tip SPF per domeniu, dar o singură linie v=spf1 funcțională. Dacă doriți ajutor la configurarea sau verificarea înregistrării SPF pentru domeniul dumneavoastră, echipa noastră de asistență vă stă cu plăcere la dispoziție.
• Adăugarea sau modificarea înregistrării SPF în DirectAdmin
• Manual WebOké 5.5: Asistenți DNS: MX, SPF, DMARC, CAA și SRV
• RFC 7208 (SPF), în special paragraful 4.6.4 (limita de zece interogări și două interogări goale)