Kontrola SPF
SPF záznam říká, které servery mohou posílat e-mail za vaši doménu. Většina chybných záznamů neselže nahlas - potichu pustí všechny. Zkontrolujte doménu, kterou ovládáte, a zjistěte, co záznam skutečně přikazuje přijímajícímu serveru.
Sledované, nejen zkontrolované
Toto je jeden sken jedné vrstvy spuštěný jednou. V AYAsec se stejná kontrola spouští podle plánu nad každým aktivem, které vlastníte, a upozorníme vás v den, kdy známka klesne.
Co je SPF záznam v jednom odstavci
Když mailový server přijme zprávu, může se zeptat vaší domény, které servery smějí odesílat jejím jménem. Odpovědí je TXT záznam v DNS začínající v=spf1. Co se stane dál, závisí na konci záznamu.
Šest důvodů zkontrolovat vlastní SPF záznam
01
Limit deseti lookupů, který záznam potichu rozbije
Každé include:, a, mx, ptr a redirect může obsahovat další lookupy. Standard povoluje nejvýše deset DNS lookupů. Po překročení vznikne trvalá chyba a příjemci se chovají, jako by SPF neexistoval. Poskytovatelé přibývají, varování nepřijde a doručování se zhorší měsíce po změně.
02
Soft fail, který nikoho neautorizuje a nic nezastaví
| Konec | Co říká příjemci |
|---|---|
-all | Hard fail. Server není autorizovaný, odmítni ho |
~all | Soft fail. Není autorizovaný, ale přijmi ho a označ |
?all | Neutrální. Bez názoru |
+all | Všichni jsou autorizovaní. Nikdy správně |
~all je správné místo pro začátek a špatné místo pro setrvání. Popisuje pravidlo, ne obranu.
03
include:, který odkazuje na cizí seznam
include: nekopíruje servery poskytovatele, ale při každém ověření načte jeho aktuální seznam. Část autentizace tak závisí na firmě, kterou nekontrolujete, a její změna může zvýšit počet lookupů.
04
Doména, která neposílá vůbec nic
Taková doména se nejsnáze napodobí. Měla by mít SPF záznam, který nepovoluje nikoho:
v=spf1 -allJe to úplný a správný záznam pro zaparkované domény, staré značky a domény koupené preventivně.
05
Více záznamů tam, kde má být jeden
Doména může mít právě jeden SPF záznam. Dva TXT záznamy začínající v=spf1 znamenají trvalou chybu. Stává se to, když průvodce druhého poskytovatele přidá vlastní záznam místo úpravy existujícího. Je třeba je sloučit.
06
Důkaz, že záznam byl v daný den správný
„SPF máme“ je tvrzení. Datovaný report se záznamem a politikou je důkaz, který chce pojišťovna nebo bezpečnostní kontrola zákazníka. Je to samostatná důkazní stopa.
Znáte den, kdy se záznam změní
DNS upravuje mnoho lidí: marketing přidá odesílací platformu, IT přesune mail a dodavatel připojí formulář. Plánované skeny změnu zachytí a oznámí - například když se -all změní zpět na ~all.
Krok 01 · Pojmenujte doménu
Přidejte doménu, kterou ovládáte, do účtu AYAsec. Vlastnictví se ověří před spuštěním a prokázání vyžaduje jeden DNS záznam.
Krok 02 · Nechte kontrolu proběhnout
SPF je veřejný, proto se záznam čte stejně, jako by to udělal přijímající mailový server.
Krok 03 · Přečtěte výsledek
Nálezy přijdou seřazené podle závažnosti se známkou A+ až F. Záznam povolující všechny a soft fail nejsou totéž.
Otázky před kontrolou
Co mohu kontrolovat?
Infrastrukturu, kterou vlastníte nebo máte povolení testovat. Účet AYAsec ověří vlastnictví před plánovaným skenem.
SPF je veřejný. Proč je potřeba ověření?
Samotná kontrola je neškodná. Ověření chrání následné monitorování, známky a historii před použitím na cizí doméně.
Stačí SPF sám o sobě?
Ne. SPF neřeší změnu zprávy při přeposílání. DKIM podepisuje obsah a DMARC spojí obě kontroly s rozhodnutím o selhání.
Jak se dostat pod limit deseti lookupů?
Odstraňte nepoužívané poskytovatele, zúžte include: nebo záznam flattenujte. Při flatteningu je třeba adresy pravidelně aktualizovat.
Může jeden záznam pokrývat subdomény?
Ne automaticky. Subdoména, která posílá poštu, potřebuje vlastní záznam.
Uchováváte výsledky?
Rychlá kontrola asi patnáct minut, plánované skeny v účtu podle plánu. Historie ukáže, která úprava záznam pokazila.
Uchovávejte historii, nejen výsledek
Spusťte úplný DNS sken vlastních domén podle plánu a označte každou změnu těm, kteří ji potřebují vidět.