Kontrolluesi i rekordit SPF

Roli i rekordeve SPF në autentifikimin e postës elektronike

Sender Policy Framework (SPF) është një standard i rëndësishëm për autentifikimin e email-eve që ndihmon në parandalimin e falsifikimit të adresave të dërguesit (spoofing). Kur një server merr një mesazh, ai kontrollon rekordin SPF TXT të publikuar në DNS të domenit dërgues për të verifikuar nëse adresa IP e serverit dërgues është e autorizuar.

Një rekord SPF përbëhet nga terma të ndryshëm që përcaktojnë rregullat e dërgimit. Ky kontrollues lokal analizon strukturën e këtyre termave pa kryer kërkime të drejtpërdrejta në DNS. Procesi i analizës kryhet tërësisht në shfletuesin e përdoruesit; rekordi juaj SPF mbetet në shfletues dhe BroBroGo nuk e ngarkon ose ruan atë.

Sintaksa e SPF dhe kuptimi i termave

Çdo rekord SPF duhet të ndjekë një strukturë të përcaktuar saktë që të interpretohet siç duhet nga serverët marrës. Rekordi duhet të fillojë me versionin e saktë, ku v=spf1 duhet të jetë termi i parë. Nëse ky term mungon ose nuk është në fillim, mjeti do të shfaqë shënimet përkatëse të gabimit:

• v=spf1 duhet të jetë termi i parë (shfaqet si Termi ‹term›: v=spf1 duhet të jetë termi i parë. në rast shkeljeje).
• Rekordi duhet të fillojë me v=spf1 (shfaqet si Rekordi duhet të fillojë me v=spf1. nëse mungon).
• Rekordi nuk mund të përmbajë më shumë se një term v=spf1 (Rekordi përmban më shumë se një term v=spf1.).

Mjeti pranon vlerat SPF TXT deri në një gjatësi maksimale prej 20,000 karakteresh. Nëse ngjitet një tekst më i madh, shfaqet gabimi Ky rekord është jashtëzakonisht i madh. Mbajeni nën 20,000 karaktere.. Pjesët e tekstit në thonjëza (quoted DNS TXT chunks) bashkohen automatikisht përpara analizës, duke gjeneruar shënimin Pjesët DNS TXT në thonjëza u bashkuan para analizës..

Termat e analizuar ndahen në kategori të ndryshme si Mekanizëm, Modifikues, Version, ose I panjohur. Mekanizmat e panjohur flagohen me mesazhin Termi ‹term›: “‹detail›” nuk është mekanizëm SPF i njohur..

Kufiri prej 10 kërkimesh DNS dhe rëndësia e tij

Gjatë vlerësimit të plotë të një rekordi SPF nga një server marrës, numri maksimal i lejuar i kërkimeve DNS është 10. Ky kufizim ekziston për të parandaluar sulmet e mohimit të shërbimit (DoS) ndaj infrastrukturës DNS. Termat që shkaktojnë kërkime të drejtpërdrejta DNS në rekordin e parë janë include, a, mx, ptr, exists dhe redirect.

Nëse rekordi i ngjitur përmban më shumë se 10 terma që shkaktojnë kërkime DNS, mjeti do të shfaqë shënimin e rrezikut: Ky rekord përmban tashmë ‹detail› terma që shkaktojnë DNS, mbi kufirin SPF prej 10.. Një vlerësim që tejkalon këtë kufi prej 10 kërkimesh duhet të trajtohet si një gabim i përhershëm (permanent error) nga serverët marrës të postës, gjë që mund të çojë në dështimin e dorëzimit të email-it.

Duhet pasur parasysh se objektivat include ose redirect mund të shtojnë më shumë kërkime DNS sesa vlerësimi i thjeshtë i rekordit të parë, pasi ato mund të përmbajnë rekorde të tjera të folezuara (nested) që kërkojnë kërkime shtesë.

Rreziqet e politikave dhe gabimet e zakonshme të sintaksës

Gjatë hartimit të një rekordi SPF, disa konfigurime mund të dobësojnë sigurinë ose të shkaktojnë sjellje të padëshiruara:

• Përdorimi i +all: Ky mekanizëm autorizon çdo dërgues në internet për të dërguar email në emër të domenit tuaj, duke mposhtur plotësisht qëllimin e SPF. Flagohet me shënimin +all autorizon çdo dërgues dhe zakonisht e mposht qëllimin e SPF..
• Përdorimi i ?all: Kjo kthen një rezultat neutral, duke mos u ofruar serverëve marrës asnjë udhëzim të qartë se si të veprojnë me mesazhet e paautorizuara. Flagohet si ?all kthen rezultat neutral dhe u jep marrësve pak udhëzim politikash..
• Mungesa e një politike përfundimtare: Nëse rekordi nuk ka as all dhe as redirect, dërguesit që nuk përputhen me rregullat do të marrin një rezultat neutral. Mjeti e shënon këtë me Rekordi nuk ka as all, as redirect, ndaj dërguesit që nuk përputhen marrin rezultat neutral..
• Mekanizmi ptr: Ky mekanizëm është i ngadaltë dhe jo i besueshëm, prandaj nuk duhet të publikohet. Flagohet me shënimin Mekanizmi ptr nuk duhet publikuar sepse është i ngadaltë dhe jo i besueshëm..
• Rregullimi i termave pas all: Çdo term i vendosur pas mekanizmit all është i paarritshëm gjatë vlerësimit të SPF. Gjithashtu, prania e më shumë se një mekanizmi all e vështirëson shqyrtimin e politikës.
• Konflikti me redirect: Modifikuesi redirect shpërfillet plotësisht nëse rekordi përmban edhe mekanizmin all.

Për më tepër, mjeti kontrollon vlefshmërinë e adresave IP dhe CIDR. Nëse një adresë ose interval nuk është i saktë, do të shfaqen gabimet përkatëse:

• Termi ‹term›: vendosni një adresë IPv4 ose interval CIDR të vlefshëm.
• Termi ‹term›: vendosni një adresë IPv6 ose interval CIDR të vlefshëm.

Kontrolli lokal i sintaksës përkundrejt kërkesave aktive DNS

Ky mjet kryen një kontroll lokal të sintaksës dhe vlerëson vetëm kërkimet e rekordit të parë. Ai nuk kryen kërkesa aktive në DNS, nuk zgjeron objektivat e ofruesve të jashtëm (siç janë ato brenda termave include ose redirect), nuk teston adresa IP dërguese dhe nuk konfirmon se çfarë do të kthejë një server marrës i postës.

Ky kontroll lokal është i rëndësishëm për të identifikuar gabimet e menjëhershme të shkrimit, formatimit dhe strukturës përpara se rekordi të publikohet në DNS-në publike. Megjithatë, për një verifikim të plotë, administratorët duhet të sigurohen që edhe rekordet e përfshira nga ofruesit e palëve të treta janë të vlefshme dhe nuk tejkalojnë kufirin e kërkimeve DNS.

FAQ

Si llogaritet vlerësimi i kërkimeve SPF DNS?

Vlerësimi numëron termat include, a, mx, ptr, exists dhe redirect në rekordin e ngjitur. Rekordet e përfshira dhe të ridrejtuara mund të shtojnë kërkime, ndaj kontrolli lokal nuk mund ta dijë totalin përfundimtar rekursiv.

Çfarë ndodh nëse SPF kërkon më shumë se 10 kërkime DNS?

Marrësit SPF duhet ta trajtojnë si gabim të përhershëm një vlerësim që tejkalon kufirin prej 10 termash me kërkime DNS. Kufiri mbulon të gjithë zinxhirin include dhe redirect, jo vetëm rekordin e parë.

A provon një rezultat i pastër se konfigurimi im SPF funksionon?

Jo. Kjo faqe kontrollon vetëm tekstin që ngjitni. Nuk kërkon DNS, nuk zgjeron rekordet e ofruesit, nuk teston IP-në e dërguesit dhe nuk konfirmon përgjigjen e serverit marrës të postës.

Çfarë ndodh nëse modifikuesit kanë kualifikues?

Një modifikues nuk mund të ketë kualifikues +, -, ~ ose ?. Nëse zbulohet një i tillë, mjeti do të flagojë gabimin përkatës të sintaksës.

Pse shfaqet gabimi për modifikues të dyfishuar?

Sipas rregullave të SPF, një modifikues specifik nuk duhet të shfaqet më shumë se një herë në të njëjtin rekord. Nëse modifikuesi shfaqet më shumë se një herë, ai flagohet si i dyfishuar.