SPF ieraksta pārbaudītājs

SPF ierakstu loma e-pasta autentifikācijā

Sender Policy Framework (SPF) ir e-pasta autentifikācijas protokols, kas ļauj domēna īpašniekiem norādīt, kuriem IP adrešu sūtītājiem ir atļauts sūtīt e-pastus konkrētā domēna vārdā. Kad saņemošais pasta serveris saņem ziņojumu, tas pārbauda sūtītāja domēna SPF ierakstu, lai pārliecinātos, vai sūtītāja IP adrese ir iekļauta atļauto sūtītāju sarakstā. Pareizi konfigurēts SPF ieraksts palīdz novērst e-pasta adrešu viltošanu (spoofing) un uzlabo e-pasta piegādes rādītājus.

SPF ieraksts tiek publicēts kā DNS TXT ieraksts. Kad saņemošais pasta serveris veic SPF pārbaudi, tas analizē ieraksta sintaksi un izpilda tajā norādītos mehānismus un modifikatorus. Ja sūtītāja IP adrese neatbilst nevienam no norādītajiem nosacījumiem, saņēmējs piemēro ierakstā definēto politiku.

SPF ieraksta sintakse un elementi

Katram SPF ierakstam ir stingri noteikta struktūra, kas sastāv no versijas deklarācijas, mehānismiem un modifikatoriem.

• Versija: Ierakstam obligāti jāsākas ar v=spf1. Šim elementam ir jābūt pašam pirmajam, un ierakstā nedrīkst atrasties vairāk kā viens v=spf1 elements.
• Mehānismi: Tie nosaka, kuras IP adreses ir pilnvarotas sūtīt e-pastus. Biežāk izmantotie mehānismi ir ip4, ip6, a, mx, include, ptr un exists. Katram mehānismam var būt kvalifikators, kas nosaka darbību atbilstības gadījumā: + (Pass), - (Fail), ~ (SoftFail) vai ? (Neutral). Ja kvalifikators nav norādīts, pēc noklusējuma tiek piemērots +.
• Modifikatori: Tie sniedz papildu norādes vai maina SPF novērtēšanas plūsmu. Piemēram, redirect norāda, ka SPF pārbaude ir jāpāradresē uz citu domēnu, savukārt exp norāda uz paskaidrojuma ierakstu. Modifikatoriem nevar būt kvalifikatori +, -, ~ vai ?. Katrs modifikators ierakstā drīkst parādīties ne vairāk kā vienu reizi.

DNS vaicājumu ierobežojums un tā ietekme

Viens no svarīgākajiem SPF ierobežojumiem ir maksimālais DNS vaicājumu skaits. SPF specifikācija nosaka, ka pilnas novērtēšanas laikā drīkst veikt ne vairāk kā 10 DNS vaicājumus. Šis ierobežojums ir ieviests, lai novērstu pakalpojuma atteices (DoS) uzbrukumus pasta serveriem.

DNS vaicājumu skaitā tiek ieskaitīti šādi elementi:

• include
• a
• mx
• ptr
• exists
• redirect

Ja SPF ieraksta novērtēšana pārsniedz šo 10 vaicājumu limitu, SPF saņēmējiem šis rezultāts ir jāuzskata par pastāvīgu kļūdu (PermError). Tas var izraisīt leģitīmu e-pastu noraidīšanu vai nonākšanu mēstuļu mapē. Jāņem vērā, ka include vai redirect mērķi var saturēt savus ligzdotos elementus, kas palielina kopējo DNS vaicājumu skaitu. Tāpēc pirmā līmeņa ieraksta analīze sniedz tikai sākotnējo aplēsi, bet pilna DNS ķēdes izvēršana var atklāt papildu vaicājumus.

Biežākās sintakses kļūdas un politikas riski

Veidojot un uzturot SPF ierakstus, administratori bieži pieļauj kļūdas, kas vājina domēna aizsardzību vai pilnībā sabojā SPF validāciju.

• Vairāki all mehānismi: Ja ierakstā ir vairāk nekā viens all mehānisms, politikas pārskatīšana kļūst apgrūtināta. Jebkuri elementi, kas atrodas aiz pirmā all mehānisma, SPF novērtēšanas laikā nav sasniedzami.
• redirect un all konflikts: Ja ierakstā ir iekļauts gan redirect modifikators, gan all mehānisms, redirect tiek ignorēts.
• ptr mehānisma izmantošana: Mehānismu ptr nevajadzētu publicēt. Tas ir lēns, neuzticams un var radīt lielu slodzi DNS infrastruktūrai.
• Vājas politikas (+all un ?all): Kvalifikators +all pilnvaro jebkuru sūtītāju pasaulē sūtīt e-pastus jūsu vārdā, padarot SPF bezjēdzīgu. Savukārt ?all atgriež neitrālu rezultātu, kas sniedz saņemošajiem serveriem maz noderīgu norāžu par to, kā rīkoties ar neatbilstošiem e-pastiem.
• Trūkstoša gala politika: Ja ierakstā nav ne all mehānisma, ne redirect modifikatora, visi neatbilstošie sūtītāji saņem neitrālu rezultātu, kas samazina aizsardzības efektivitāti.

Kā darbojas SPF ieraksta pārbaudītājs

Rīks "SPF ieraksta pārbaudītājs" ir paredzēts lokālai SPF TXT ieraksta analīzei. Lietotājs ievada SPF ieraksta tekstu laukā "SPF TXT vērtība". Maksimālais pieļaujamais ievades garums ir 20 000 rakstzīmju. Ja ieraksts satur pēdiņās ietvertas DNS TXT daļas, rīks tās pirms analīzes apvieno.

Pēc pārbaudes veikšanas rīks izvada šādus datus:

1. SPF kopsavilkums: Parāda kopējo analizēto elementu skaitu un atrasto risku skaitu.
2. Tiešie DNS elementi: Aprēķinātais DNS vaicājumu skaits, ko izraisīs ielīmētais ieraksts.
3. Mehānismi: Atrasto mehānismu skaits.
4. Riski: Atrasto ne-informatīvo risku un kļūdu skaits.
5. Analizētie elementi: Tabula, kurā katram elementam ir norādīts tā veids (Mehānisms, Modifikators, Versija vai Nezināms), vērtība vai kvalifikators, kā arī tas, vai elements izmanto DNS vaicājumu.
6. Sintakses un politikas piezīmes: Saraksts ar identificētajām problēmām. Ja kļūdas netiek atrastas, tiek attēlots paziņojums: Ielīmētajā ierakstā netika atrasts neviens sintakses vai politikas risks..

Šī pārbaude tiek veikta lokāli lietotāja pārlūkprogrammā. Rīks neaugšupielādē un nesaglabā ievadītos datus. Tāpat tas neveic reālus DNS vaicājumus, neizvērš include vai redirect mērķus, nepārbauda sūtītāja IP adresi un neapstiprina gala rezultātu, ko atgriezīs saņemošais pasta serveris.

Biežāk uzdotie jautājumi (FAQ)

Kā tiek aprēķināts SPF DNS vaicājumu novērtējums?

Novērtējumā tiek skaitīti ielīmētā ieraksta include, a, mx, ptr, exists un redirect elementi. Iekļautie un pāradresētie ieraksti var pievienot papildu vaicājumus, tāpēc lokāla pārbaude nevar noteikt galīgo rekursīvo kopskaitu.

Kas notiek, ja SPF nepieciešami vairāk nekā 10 DNS vaicājumi?

SPF saņēmējiem novērtējums, kas pārsniedz 10 DNS vaicājumus izraisošu elementu ierobežojumu, jāuzskata par pastāvīgu kļūdu. Ierobežojums attiecas uz visu include un redirect ķēdi, ne tikai pirmo ierakstu.

Vai nevainojams rezultāts pierāda, ka mana SPF konfigurācija darbojas?

Nē. Šī lapa pārbauda tikai jūsu ielīmēto tekstu. Tā neveic DNS vaicājumus, neizvērš pakalpojumu sniedzēju ierakstus, nepārbauda sūtītāja IP un neapstiprina, ko atgriezīs saņemošais pasta serveris.

Kāpēc rīks ziņo par kļūdu, ja mans ieraksts nesākas ar v=spf1?

SPF specifikācija pieprasa, lai katrs derīgs SPF ieraksts sāktos tieši ar versijas identifikatoru v=spf1. Ja šī elementa nav vai tas nav pirmajā vietā, saņemošie pasta serveri ierakstu nevar identificēt un ignorē to.