Kontrola SPF
SPF záznam hovorí, ktoré servery môžu posielať e-mail za vašu doménu. Väčšina chybných záznamov nezlyhá nahlas - potichu pustí všetkých. Skontrolujte doménu, ktorú ovládate, a zistite, čo záznam skutočne prikazuje prijímajúcemu serveru.
Sledované, nielen skontrolované
Toto je jeden sken jednej vrstvy spustený raz. V AYAsec sa rovnaká kontrola spúšťa podľa plánu nad každým aktívom, ktoré vlastníte, a upozorníme vás v deň, keď známka klesne.
Čo je SPF záznam v jednom odseku
Keď mailový server prijme správu, môže sa opýtať vašej domény, ktoré servery smú odosielať v jej mene. Odpoveď je TXT záznam v DNS začínajúci v=spf1. Ak je odosielajúci server v zozname, správa prejde. Čo sa stane ďalej, závisí od konca záznamu.
Šesť dôvodov skontrolovať vlastný SPF záznam
01
Limit desiatich lookupov, ktorý záznam potichu rozbije
Každý include:, a, mx, ptr a redirect môže obsahovať ďalšie lookupy. Štandard ich povoľuje najviac desať. Po prekročení vznikne permanentná chyba a príjemcovia sa správajú, akoby SPF neexistoval. Poskytovatelia pribúdajú, varovanie nepríde a doručovanie sa začne zhoršovať mesiace po zmene.
02
Soft fail, ktorý nikoho neautorizuje a nič nezastaví
| Koniec | Čo hovorí príjemcovi |
|---|---|
-all | Hard fail. Server nie je autorizovaný, odmietni ho |
~all | Soft fail. Nie je autorizovaný, ale prijmi ho a označ |
?all | Neutrálne. Bez názoru |
+all | Autorizovaní sú všetci. Nikdy správne |
~all je správne miesto na začiatok a nesprávne na zotrvanie. Opisuje pravidlo, nie obranu.
03
include:, ktorý odkazuje na cudzí zoznam
include: nekopíruje servery poskytovateľa, ale pri každom overení načíta jeho aktuálny zoznam. Časť autentizácie tak spravuje firma, ktorú nekontrolujete, a zmena jej infraštruktúry môže zvýšiť počet lookupov.
04
Doména, ktorá neposiela vôbec nič
Taká doména sa najľahšie napodobní. Mala by mať SPF záznam, ktorý nepovoľuje nikoho:
v=spf1 -allJe to úplný a správny záznam pre zaparkované domény, staré značky a domény kúpené preventívne.
05
Viac záznamov tam, kde má byť jeden
Doména môže mať práve jeden SPF záznam. Dva TXT záznamy začínajúce v=spf1 znamenajú permanentnú chybu. Stáva sa to, keď sprievodca druhého poskytovateľa pridá vlastný záznam namiesto úpravy existujúceho. Treba ich zlúčiť.
06
Dôkaz, že záznam bol v daný deň správny
„SPF máme“ je tvrdenie. Datovaný report so záznamom a politikou je dôkaz, ktorý chce poisťovňa alebo bezpečnostná kontrola zákazníka. Je to samostatná dôkazná stopa.
Poznajte deň, keď sa záznam zmení
DNS upravuje veľa ľudí: marketing pridá odosielaciu platformu, IT presunie mail a dodávateľ pripojí formulár. Plánované skeny zmenu zachytia a oznámia - napríklad keď sa -all zmení späť na ~all.
Krok 01 · Pomenujte doménu
Pridajte doménu, ktorú ovládate, do účtu AYAsec. Vlastníctvo sa overí skôr, než sa čokoľvek spustí, a preukázanie vyžaduje jeden DNS záznam.
Krok 02 · Nechajte kontrolu prebehnúť
SPF je verejný, preto sa záznam číta rovnako, ako by to urobil prijímajúci mailový server.
Krok 03 · Prečítajte výsledok
Nálezy prídu zoradené podľa závažnosti so známkou A+ až F. Záznam, ktorý povoľuje všetkých, a soft fail nie sú to isté.
Otázky pred kontrolou
Čo môžem kontrolovať?
Infraštruktúru, ktorú vlastníte alebo máte povolenie testovať. Účet AYAsec overí vlastníctvo pred plánovaným skenom.
SPF je verejný. Prečo treba overenie?
Samotná kontrola je neškodná. Overenie chráni následné monitorovanie, známky a históriu pred použitím na cudzej doméne.
Stačí SPF sám o sebe?
Nie. SPF nepokrýva zmenu správy pri preposlaní. DKIM podpisuje obsah a DMARC spojí obe kontroly s rozhodnutím o zlyhaní.
Ako sa dostať pod limit desiatich lookupov?
Odstráňte nepoužívaných poskytovateľov, zúžte include: alebo záznam flattenujte. Pri flatteningu však treba pravidelne aktualizovať adresy.
Môže jeden záznam pokrývať subdomény?
Nie automaticky. Subdoména, ktorá odosiela poštu, potrebuje vlastný záznam.
Uchovávate výsledky?
Rýchla kontrola približne pätnásť minút, plánované skeny v účte podľa plánu. História ukáže, ktorá úprava záznam pokazila.
Uchovávajte históriu, nielen výsledok
Spustite úplný DNS sken vlastných domén podľa plánu a označte každú zmenu tým, ktorí ju potrebujú vidieť.