Provjera SPF zapisa

Funkcija i uloga SPF zapisa u autentifikaciji e-pošte

Sender Policy Framework (SPF) je standardizovani sistem za autentifikaciju e-pošte koji vlasnicima domena omogućava da definišu koji su serveri ovlašteni za slanje poruka u ime njihovog domena. SPF se oslanja na TXT zapise unutar DNS (Domain Name System) konfiguracije domena. Kada server primilac dobije poruku, on provjerava SPF zapis pošiljaoca kako bi utvrdio da li IP adresa pošiljaoca odgovara ovlaštenim izvorima navedenim u zapisu.

Alat Provjera SPF zapisa pomaže u analizi SPF TXT zapisa tako što raščlanjuje njegove pojmove, procjenjuje broj DNS upita koje će zapis pokrenuti i identifikuje potencijalne sintaksne greške ili sigurnosne rizike. Alat obavlja lokalnu provjeru sintakse i procjenjuje upite prvog zapisa, bez slanja stvarnih DNS upita i bez proširivanja ciljeva unutar include i redirect mehanizama.

Sintaksa SPF zapisa i ključni pojmovi

SPF zapis se sastoji od verzije i niza mehanizama, modifikatora i kvalifikatora koji definišu pravila slanja. Svaki ispravan SPF zapis mora ispunjavati stroga pravila strukture:

• Verzija: Zapis mora početi s v=spf1. Ovaj pojam mora biti prvi, a zapis ne smije sadržavati više od jednog pojma v=spf1. Ako ovi uslovi nisu ispunjeni, alat označava greške poput Zapis mora početi s v=spf1. ili Pojam ‹term›: v=spf1 mora biti prvi pojam..
• Mehanizmi: Koriste se za identifikaciju ovlaštenih IP adresa. Najčešći mehanizmi su ip4, ip6, a, mx, include, ptr, exists i all.
• Kvalifikatori: Svaki mehanizam može imati prefiks koji određuje akciju: + (Pass), - (Fail), ~ (SoftFail) ili ? (Neutral). Ako kvalifikator nije naveden, podrazumijeva se +.
• Modifikatori: Dodatni parametri poput redirect ili exp koji mijenjaju ponašanje pravila. Modifikatori ne mogu imati kvalifikatore +, -, ~ ili ?. Dupliranje modifikatora unutar istog zapisa nije dozvoljeno.

Ograničenje od 10 DNS upita i uticaj na isporuku e-pošte

Jedno od najvažnijih pravila u SPF specifikaciji jeste ograničenje broja DNS upita. Tokom evaluacije SPF zapisa od strane servera primaoca, dozvoljeno je najviše 10 mehanizama koji pokreću DNS upite. Mehanizmi koji se ubrajaju u ovo ograničenje su include, a, mx, ptr, exists i redirect. Mehanizmi ip4 i ip6 ne zahtijevaju DNS upite jer direktno sadrže IP adrese ili CIDR raspone.

Ako SPF zapis zahtijeva više od 10 DNS upita, primaoci e-pošte moraju tretirati takvu evaluaciju kao trajnu grešku (PermError). To direktno utiče na isporuku e-pošte, jer mnogi serveri primaoci automatski odbacuju poruke koje rezultiraju trajnom greškom SPF-a.

Alat Provjera SPF zapisa izračunava procjenu direktnih DNS upita na osnovu pojmova u zalijepljenom zapisu. Ako zapis sadrži više od 10 takvih pojmova, alat aktivira upozorenje: Ovaj zapis već sadrži ‹detail› pojmova koji pokreću DNS upite, iznad SPF ograničenja od 10.. Važno je napomenuti da ciljevi unutar include ili redirect mehanizama mogu pokrenuti dodatne ugniježđene DNS upite koji nisu vidljivi u prvom zapisu, što dodatno povećava rizik od prekoračenja limita.

Evaluacija pravila i uloga mehanizama all i redirect

Serveri primaoci evaluiraju SPF zapis s lijeva na desno. Kada se pronađe podudaranje s nekim mehanizmom, evaluacija se završava i primjenjuje se odgovarajući kvalifikator.

Mehanizam all se postavlja na kraj zapisa i definiše pravilo za sve pošiljaoce koji se nisu podudarali s prethodnim mehanizmima:

• +all: Ovlašćuje apsolutno svakog pošiljaoca na internetu da šalje e-poštu u ime vašeg domena, čime se u potpunosti poništava svrha SPF zaštite. Alat ovo označava kao rizik: +all ovlašćuje svakog pošiljaoca i obično poništava svrhu SPF-a..
• ?all: Vraća neutralan rezultat, što primaocima daje malo smjernica o tome kako da postupe sa sumnjivim porukama. Alat ovo označava napomenom: ?all vraća neutralan rezultat i primaocima daje malo smjernica o pravilima..
• Nedostatak terminalnog pravila: Ako zapis nema ni all ni redirect, pošiljaoci koji se ne podudaraju dobijaju neutralan rezultat, što slabi sigurnost domena.

Pravila evaluacije nalažu da svi pojmovi navedeni nakon mehanizma all postaju nedostupni i nikada se ne procjenjuju. Takođe, ako zapis sadrži i all i modifikator redirect, modifikator redirect se u potpunosti zanemaruje.

Sintaksne greške i sigurnosni rizici u SPF zapisima

Pored prekoračenja DNS limita i loše konfigurisanih all mehanizama, administratori se često susreću sa sljedećim problemima koje alat može identifikovati:

1. Zastarjeli mehanizmi: Mehanizam ptr se ne bi trebao objavljivati jer je spor, nepouzdan i opterećuje DNS infrastrukturu. Alat ga označava upozorenjem: Mehanizam ptr ne treba objavljivati jer je spor i nepouzdan..
2. Nevažeće IP adrese: Pogrešno upisane IPv4 ili IPv6 adrese, kao i neispravni CIDR rasponi, biće označeni greškama poput Pojam ‹term›: unesite važeću IPv4 adresu ili CIDR raspon. ili Pojam ‹term›: unesite važeću IPv6 adresu ili CIDR raspon..
3. Nepoznati mehanizmi: Svaki pojam koji ne odgovara standardnim mehanizmima ili modifikatorima biće označen kao nepoznat: Pojam ‹term›: „‹detail›“ nije prepoznat SPF mehanizam..

Privatnost i lokalna obrada podataka

Prilikom korištenja ovog alata, vaša privatnost je u potpunosti zaštićena lokalnim načinom rada. Vaš SPF zapis ostaje u pregledniku. BroBroGo ga ne prenosi niti čuva.

Alat ne vrši nikakve mrežne upite prema vanjskim DNS serverima, ne proširuje zapise pružatelja usluga, ne testira IP adresu pošiljaoca niti potvrđuje šta će vratiti prijemni server e-pošte. Sva analiza se obavlja isključivo na osnovu tekstualnog niza koji unesete, do maksimalne dužine od 20.000 znakova.

Često postavljana pitanja (FAQ)

Kako se izračunava procjena SPF DNS upita?

Procjena broji pojmove include, a, mx, ptr, exists i redirect u zalijepljenom zapisu. Uključeni i preusmjereni zapisi mogu dodati još upita, pa lokalna provjera ne može znati konačan rekurzivni zbir.

Šta se događa ako SPF zahtijeva više od 10 DNS upita?

SPF primaoci moraju tretirati procjenu koja prelazi ograničenje od 10 pojmova s DNS upitima kao trajnu grešku. Ograničenje obuhvata cijeli lanac include i redirect, a ne samo prvi zapis.

Dokazuje li uredan rezultat da moja SPF postavka radi?

Ne. Ova stranica provjerava samo tekst koji zalijepite. Ne šalje DNS upite, ne proširuje zapise pružatelja usluga, ne testira IP pošiljaoca niti potvrđuje šta će vratiti prijemni server e-pošte.

Kako alat tretira zapise u navodnicima?

DNS TXT dijelovi u navodnicima se automatski spajaju prije početka analize, omogućavajući ispravnu provjeru čak i kada je zapis kopiran iz direktnih DNS odgovora koji sadrže više dijelova teksta.