SPF-kirje kontroll

SPF-kirjete roll e-posti autentimisel

Sender Policy Framework (SPF) on e-posti autentimise standard, mis aitab vältida domeeninimede kuritarvitamist ja kirjade võltsimist. SPF-kirje on domeeni DNS-is (Domain Name System) avaldatud TXT-tüüpi kirje, mis määratleb autoriseeritud IP-aadressid ja serverid, millel on lubatud selle domeeni nimel e-kirju välja saata.

Kui vastuvõttev meiliserver võtab kirja vastu, kontrollib see saatja domeeni SPF-kirjet, et veenduda, kas kirja teele saatnud server on selleks volitatud. SPF-kirje korrektne süntaks ja reeglite täpne seadistamine on kriitilise tähtsusega, sest vigane kirje võib põhjustada legitiimsete e-kirjade jõudmise rämpsposti kausta või nende täieliku tagasilükkamise.

SPF-kirje süntaks ja põhiterminid

SPF-kirje koosneb kindlatest komponentidest, mida meiliserverid hindavad vasakult paremale. Kirje analüüsimisel jagatakse see järgmisteks osadeks:

• Versioon (v=spf1): Iga SPF-kirje peab algama täpse tähisega v=spf1. See määratleb kasutatava SPF-i versiooni ja seda saab kirjes olla ainult üks.
• Mehhanismid: Mehhanisme kasutatakse saatjate tuvastamiseks. Nende hulka kuuluvad näiteks ip4 ja ip6 konkreetsete IP-aadresside või CIDR-vahemike määramiseks, a ja mx domeeni vastavate DNS-kirjete päringuteks, ning include, mis kaasab teise domeeni SPF-reeglid.
• Modifikaatorid: Modifikaatorid, nagu redirect, suunavad SPF-i hindamise täielikult teisele domeenile. Modifikaatoritel ei tohi olla kvalifikaatoreid.
• Kvalifikaatorid: Mehhanismide ees kasutatakse sümboleid, mis määravad reegli rakendamise rangeuse:
  • + (Pass/Luba): Saatja on lubatud (vaikeväärtus, kui sümbol puudub).
  • - (Fail/Keela): Saatja ei ole lubatud.
  • ~ (SoftFail/Pehme keeld): Saatja pole lubatud, kuid kirja ei pruugita kohe tagasi lükata.
  • ? (Neutral/Neutraalne): Saatja oleku kohta puudub kindel poliitika.

DNS-päringute 10-kordne piirang ja selle mõju

SPF-i spetsifikatsioon seab range piirangu: SPF-kirje hindamine ei tohi meiliserverilt nõuda rohkem kui 10 DNS-päringut. See piirang on loodud DNS-i infrastruktuuri kaitseks teenusetõkestusrünnete (DoS) eest.

DNS-päringuid käivitavad järgmised terminid: include, a, mx, ptr, exists ja redirect. Kui meiliserver põrkub SPF-i hindamisel kokku olukorraga, kus päringute arv ületab 10, peab vastuvõtja seda käsitlema püsiva veana (PermError). See toob sageli kaasa e-kirjade kohaletoimetamise ebaõnnestumise.

Oluline on mõista, et piirang hõlmab kogu hindamisahelat. Kui teie kirjes on include-mehhanismid, mis omakorda sisaldavad teisi include-mehhanisme (pesastatud päringud), liidetakse kõik need DNS-päringud kokku.

Süntaksivead ja reegliriskid SPF-kirjades

SPF-kirjete käsitsi kirjutamisel või muutmisel tekib kergesti vigu, mis muudavad kirje kehtetuks või nõrgendavad selle turvalisust. Tavalised probleemid on järgmised:

• +all kasutamine: Mehhanism +all lubab sõnumite saatmise mis tahes IP-aadressilt maailmas, mis muudab SPF-kirje olemasolu sisuliselt mõttetuks.
• ?all kasutamine: See tagastab neutraalse tulemuse ega anna vastuvõtvatele serveritele selgeid juhiseid kirja töötlemiseks.
• ptr-mehhanism: Mehhanismi ptr kasutamine on aegunud, kuna see on aeglane ja ebausaldusväärne. Seda ei tohiks SPF-kirjades avaldada.
• Järjekorra vead: Kõik terminid, mis asuvad pärast all-mehhanismi, on saavutamatud, sest all lõpetab kirje hindamise. Samuti ignoreeritakse modifikaatorit redirect, kui kirjas sisaldub ka all.
• Puuduv lõpp-poliitika: Kui kirjes puudub nii all kui ka redirect, saavad reeglitega kattumatud saatjad neutraalse tulemuse, mis vähendab domeeni kaitset.

Kuidas SPF-kirje kontroll töötab

Tööriist SPF-kirje kontroll võimaldab analüüsida SPF TXT-kirje väärtust otse veebibrauseris. Tööriist teeb kohaliku süntaksikontrolli ja annab esimese taseme hinnangu DNS-päringute arvule.

Sisendid ja piirangud

• SPF TXT väärtus: Tekstiväli, kuhu sisestatakse kontrollitav SPF-kirje. Kirje peab algama tekstiga v=spf1. Jutumärkides DNS TXT osad võetakse vastu ja ühendatakse automaatselt enne analüüsi.
• Maksimaalne lubatud sisendi pikkus on 20 000 tähemärki.

Privaatsus ja andmetöötlus

Sinu SPF-kirje jääb brauserisse. Tööriist ei laadi andmeid serverisse ega salvesta neid. Kuna tegemist on kohaliku analüsaatoriga, ei tee leht reaalseid DNS-päringuid, ei ava teenusepakkujate kirjeid, ei testi saatja IP-aadressi ega kinnita, mida vastuvõttev meiliserver reaalselt tagastab.

Tööriista väljundid ja veateated

Pärast kontrolli käivitamist kuvatakse tulemused järgmistes jaotistes:

1. SPF-i kokkuvõte: Näitab üldist statistikat, sealhulgas otseste DNS-terminite arvu, mehhanismide koguarvu ja leitud mittekirjeldavate riskide arvu.
2. Analüüsitud terminid: Tabel, mis jaotab kirje osadeks. Iga termini kohta kuvatakse selle liik (näiteks Versioon, Mehhanism, Modifikaator või Tundmatu), väärtus või kvalifikaator ning märge selle kohta, kas termin kasutab DNS-päringut.
3. Süntaksi- ja reeglimärkused: Kuvatakse tuvastatud probleemid ja hoiatused. Kui vigu ei leita, kuvatakse teade: Kleebitud kirjest ei leitud süntaksi- ega reegliriski..

Võimalikud veateated ja hoiatused liideses:

• Kui sisestusväli on tühi: Kleebi esmalt SPF-kirje..
• Kui kirje on liiga pikk: See kirje on ebatavaliselt suur. Hoia see alla 20 000 tähemärgi..
• Kui kirje ei alga korrektselt: Sisesta toetatud SPF-kirje. või Kirje peab algama tekstiga v=spf1..
• Kui v=spf1 pole alguses: Termin ‹term›: v=spf1 peab olema esimene termin..
• Kui kirjes on mitu versioonitähist: Kirje sisaldab rohkem kui üht v=spf1 terminit..
• Tundmatu mehhanismi korral: Termin ‹term›: „‹detail›” ei ole tuvastatud SPF-mehhanism..
• Vigase IP-aadressi korral: Termin ‹term›: sisesta kehtiv IPv4-aadress või CIDR-vahemik. või Termin ‹term›: sisesta kehtiv IPv6-aadress või CIDR-vahemik..
• Kui DNS-päringute limiit on ületatud: See kirje sisaldab juba ‹detail› DNS-päringut käivitavat terminit, mis ületab SPF-i piiri 10..

Korduma kippuvad küsimused

Kuidas arvutatakse SPF-i DNS-päringute hinnang?

Hinnang loendab kleebitud kirjes terminid include, a, mx, ptr, exists ja redirect. Kaasatud ja ümber suunatud kirjed võivad lisada päringuid, seega ei saa kohalik kontroll lõplikku rekursiivset koguarvu teada.

Mis juhtub, kui SPF vajab üle 10 DNS-päringu?

SPF-i vastuvõtjad peavad üle 10 DNS-päringu termini piiri minevat hindamist käsitlema püsiva veana. Piirang hõlmab kogu include- ja redirect-ahelat, mitte ainult esimest kirjet.

Kas veatu tulemus tõestab, et minu SPF-seadistus töötab?

Ei. See leht kontrollib ainult kleebitud teksti. See ei tee DNS-päringuid, ei ava teenusepakkuja kirjeid, ei testi saatja IP-aadressi ega kinnita, mida vastuvõttev meiliserver tagastab.

Miks on +all kasutamine SPF-kirjes ohtlik?

Kvalifikaatoriga mehhanism +all lubab e-kirju saata igast IP-aadressist, mis tühistab SPF-kirje peamise eesmärgi kaitsta domeeni võltsimise eest.

Kuidas käitub kontrollija jutumärkides tekstiga?

Kui sisestate SPF-kirje, mis sisaldab jutumärkidesse jagatud DNS TXT osi, liidab tööriist need osad enne analüüsi alustamist üheks terviklikuks stringiks.