Перевірка SPF

Запис SPF вказує, яким серверам дозволено надсилати електронну пошту як ваш домен. Більшість із тих, хто зазнає невдачі, не виходить з ладу гучно – вони зазнають невдачі, тихо пропускаючи всіх. Перевірте домен, яким ви керуєте, і отримайте запис і те, що він насправді дає вказівки серверу-одержувачу.

Що таке запис SPF, одним абзацом

Коли поштовий сервер отримує повідомлення, нібито з вашого домену, він може запитати ваш домен, яким серверам дозволено надсилати повідомлення від вашого імені. Відповідь – запис TXT уваш DNS починається з v=spf1. Якщо сервер-відправник є в цьому списку, повідомлення проходить. Якщо це не так, подальші дії повністю залежатимуть від того, як закінчиться ваш запис - і саме в цьому полягає найбільша проблема.

Шість причин перевірити власний запис SPF

Обмеження в десять запитів, яке безшумно б’є рекорди

Це невдача, якої ніхто не очікує, і з якою зрештою стикаються майже всі.

Коли сервер-одержувач оцінює ваш запис SPF, він повинен це зробитирозв’язувати всі знайдені include:, a, mx, ptr і redirect – і кожен із них може містити більше того самого. Стандарт обмежує це десятьма запитами DNS. Перевищте це значення, і оцінка не повертатиметься до результату проходження чи помилки; він повертає постійну помилку, і більшість приймачів розглядають це як відсутність SPF взагалі. Рекорди перевищують його зростанням. Маркетингова платформа тут, довідкова служба там, постачальник заробітної плати, нова CRM – кожен додає один include:, а кожен include: може приховувати в собі кілька пошукових запитів. Нічого не попереджає. Запис усе ще добре виглядає на вашій панелі DNS, і доставка починає страждати через причини, чому ніхто не підключається до змін, внесених чотирма місяцями тому.

М'яка помилка, яка нікого не авторизує та нічого не зупиняє

Кожен запис SPF закінчується символомМеханізм all, а персонаж перед ним вирішує все:

Закінчення	Що він повідомляє одержувачу
`-all`	Жесткий збій. Цей сервер не авторизований. Відхилити його
`~all`	Мягка помилка. Цей сервер не авторизовано, але все одно прийміть його та позначте
`?all`	Нейтральний. Немає думки
`+all`	Кожен авторизований. Ніколи не виправляти

Більшість доменів закінчуються на ~all, що є правильним місцем для початку та неправильним місцем для зупинки. Це означає, що у вашому записі описано, хто може надсилати, не наполягаючи на цьому, і це заява, а не заявазахист.

include:, який ви додали, є чужим списком, і він змінюється

include: не копіює сервери постачальника у ваші записи – він вказує на їх сервери та імпортує все, що там є на момент перевірки.

Це зручно, і це означає, що частина автентифікації вашої пошти підтримується компанією, яку ви не контролюєте. Коли вони додають інфраструктуру, ваші записи охоплюють більше. Коли вони реструктуризуються, кількість ваших пошуківможе стрибати. Варто знати, які з ваших записів include: великі, оскільки саме вони перевищать ліміт.

Домен, який взагалі не надсилає пошту

Домен, яким ви володієте і з якого ніколи не надсилаєте, найлегше видати себе за нього, тому що ніхто не дивиться відповіді та ніхто не помічає скарг.

Такий домен все одно повинен мати запис SPF, який нічого не авторизує:

v=spf1 -all

Це повний, правильний запис. Там написано: жодному серверу не дозволено надсилати як цей домен. Припарковані домени, старі бренди та домени, придбані з метою захисту, усі заслуговують на один.

Кілька записів там, де має бути один

Домен може мати лише один запис SPF. Два записи TXT, обидва починаються з v=spf1, не є подвійним захистом – це постійна помилка, і результат такий самий, як відсутність жодного.

Це відбувається при запуску майстра налаштування другого провайдерадодає власний запис, а не редагує ваш. Виправлення полягає в об’єднанні їх в одне; проблема помічає.

Доказ того, що запис був правильним на певну дату

«У нас налаштовано SPF» - це твердження. Датований звіт із записом і політикою є доказом, і це те, чого насправді хоче страховик або перевірка безпеки клієнта. Створення цього запису є [окремою темою] (/prove-remediation/).

Дізнайтеся день свого рекордузміни

DNS редагується більшою кількістю людей, ніж будь-який інший рівень, а запис SPF редагують ті, хто найменше про це повідомить команду безпеки: маркетинг додає платформу надсилання, ІТ-спеціаліст переміщує постачальника послуг електронної пошти, підрядник підключає форму.

Кожна правка невелика, і жодна не переглядається. Заплановані сканування перетворюють це на різницю, про яку вам повідомляють: цей запис отримав запис, цю політику повернуто з -all до ~all. Сповіщення надходять у додаток, електронною поштою,або через Slack, Teams, Jira або вебхук.

Крок 01 · Назвіть домен

Домен, яким ви керуєте, доданий до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, згідно з яким цільовою адресою має бути публічна адреса.

Крок 02 · Нехайперевірка

Записи SPF є загальнодоступними, тому це читання, а не зондування. Запис виглядає так, як це робив би сервер приймаючої пошти.

Крок 03 · Прочитайте результат

Висновки надходять упорядковані за ступенем серйозності та оцінюються від A+ до F. Запис, який авторизує всіх, і м’яка помилка не знаходяться в одному недиференційованому списку.

Що це є частиною

SPF є одним із кількох пов’язаних із поштою записів, які AYAsec перевіряє в рамках сканування DNS, поряд із DKIM,DMARC, MTA-STS, TLS-RPT і DNSSEC. Це одне сканування, і ця сторінка є приблизно частиною того, що вона переглядає.

DNS займає 20% загальної оцінки. Інші: HTTP на 30%, TLS і порти на 20% кожен, а довіра до домену на 10%. Усі вони разом - це те, що керування поверхнею атакиозначає на практиці.

Запитання перед перевіркою

Що я можу перевірити?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не підтверджує це для вас - вона лише обмежує швидкість IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Натомість додайте домен до облікового запису AYAsec, і контроль буде перевірено до того, як буде запущено будь-який запланований запуск: це юридичне обмеження, як і практичне, оскільки неперевірене сканування також не є для вас доказом.

Записи SPF є загальнодоступними. Навіщо це потрібноперевірка?

Запис є загальнодоступним, а чек доступний лише для читання, тому сам чек нешкідливий. Перевірка стосується того, що відбувається далі: домен у вашому обліковому записі AYAsec відстежується, оцінюється та зберігається у вашій історії, і нічого з цього не повинно бути можливим для домену, який не є вашим.

Чи достатньо SPF самого по собі?

Ні. SPF авторизує сервери; воно не витримує пересилання та нічого не повідомляє про те, чи було повідомлення змінено. Ось щоDKIM призначений для, а DMARC - це те, що об’єднує ці два параметри та вирішує, що станеться, якщо вони вийдуть з ладу.

Як мені досягти ліміту в десять запитань?

Зазвичай шляхом видалення постачальників, якими ви більше не користуєтеся, заміни широкого include: конкретними механізмами, які вам потрібні з нього, або зведення запису – розв’язання ланцюжка самостійно та перерахування адрес безпосередньо. Зведення працює і вимагає витрат: запис припиняє оновлення, колипостачальник змінює свої сервери, тому його потрібно повторно налаштувати за розкладом.

Чи може один запис охоплювати субдомени?

Не автоматично. SPF звіряється з доменом у відправнику конверта, тому субдомен, який надсилає пошту, потребує власного запису.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. Натомість додайте домен до облікового запису AYAsec, і кожне сканування збережеться – серія, яка повідомляє вам, яка зміна порушила його. Утримання залежить від вашого плану.

Зберігайте історію, а не тількирезультат

Запустіть повну перевірку DNS для ваших власних доменів за розкладом, позначаючи кожну зміну тим, хто її бажає побачити.

Почніть безкоштовне сканування Порівняти плани

Інші шашки

View all free security scanners

DMARC Checker

що відбувається з поштою, яка не проходить перевірку?

[Засіб перевірки безпеки DNS] (/dns-security-checker/) - DNSSEC, сервери імен і самі записи

[Усі чотири сканери] (/tools/) -порти, TLS, HTTP і DNS

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec SPF Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/spf-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.