Batas pencarian SPF: jejak termasuk dan discohoot aman
Inspeksi istilah DNS- yang menyebabkan, memisahkan estimasi anggaran statis dari hasil pesan, dan verifikasi layanan pengiriman sebelum menyunting SPF.
Mulai dengan path pengiriman yang gagal
Sebuah peringatan SPF menjadi lebih mudah untuk menyelidiki ketika Anda tahu layanan mana yang mengirim pesan. Rekam domain pengirim, mengirim waktu, respon penerima, dan amplop. Alamat Dari yang terlihat adalah konteks yang berguna, tetapi tidak otomatis SPF domain dievaluasi. Simpan pesan asli atau log penyedia yang tersedia. Perubahan pada domain yang salah dapat membuat jalan yang gagal tidak tersentuh saat mengganggu layanan yang berbeda. Gunakan catatan bukti kecil sebelum membuka pengecek anggaran SPF: apa yang terjadi, identitas mana yang diperiksa dan apa hasilnya sistem penerima dilaporkan.
Menghitung istilah, tidak setiap paket DNS
RFC 7208 set batas sepuluh DNS-menyebabkan istilah selama SPF Evaluasi. Mekanisme dan pemodifikasi yang relevan termasuk a, mx, ptr, ada dan mengarahkan kembali. Mekanisme ip4 dan ip6 tidak menggunakan anggaran istilah tersebut. Ini bukan hanya hitungan setiap DNS paket komputer Anda mengirimkan. DNS caching, pencarian alamat dan protokol tambahan batas rumit yang perbandingan. Pemeriksa menampilkan model term-count secara eksplisit. Baca penjelasannya sebelum mengobati sejumlah permintaan TXT atau jumlah jaringan browser sama dengan SPF Anggaran evaluasi.
| Masa | Menggunakan anggaran? | Interpretasi |
|---|---|---|
| ip4 / ip6 | Tidak | Alamat literal atau jaringan |
| a / mx / ptr / ada | Ya | Evaluasi tergantung DNS- |
| include | Ya | Juga evaluasi istilah dalam kebijakan termasuk |
| alihkan | Ketika diikuti | Lanjutkan dengan kebijakan lain |
| semua | Tidak | Cocok; mekanisme kemudian tidak dapat dicapai |
Ini adalah anggaran evaluasi, bukan hitungan dari setiap paket jaringan DNS. Perkiraan statik memiliki keterbatasan.
Cobalah sebuah kebijakan disisipkan dengan batasan yang dikenal
Gunakan mode pasta dengan catatan demonstrasi: v =spf1 ip4:192.0.2.0/24 a mx include:_spf.example.com - Semua. Pemeriksa melaporkan tiga lokal DNS ketentuan: a, mx dan include. Entri ip4 berkontribusi nol. Ini juga melaporkan estimasi tidak lengkap dan nol permintaan TXT karena mode pasta tidak mengambil kebijakan termasuk. Ranah-domain dan alamat-alamat ini menggambarkan konfigurasi fiktif; jangan mempublikasikan catatan sebagai kebijakan otorisasi Anda sendiri. Hasil yang berguna adalah inventaris lokal, bukan bukti bahwa seluruh jalur pengiriman cocok dalam batas protokol.
Ikuti kebijakan yang disertakan dengan lingkup yang jelas
Jika Anda mengontrol domain yang diselidiki, mode langsung dapat membaca kebijakan publik TXT dan mengikuti literal include atau redirect domain. Share ini queried domains dengan Google Public DNS, seperti yang dijelaskan alat. Tinjau baris kebijakan yang dihasilkan, terutama berulang termasuk dan cabang yang belum terselesaikan. Jumlah implementasi secara konservatif; pengirim sebenarnya dapat berhenti sebelum mengunjungi setiap cabang. Macros, siklus rekursif atau batas keselamatan membuat perkiraan tidak lengkap. Jumlah statis yang tinggi adalah alasan untuk menyelidiki jalur evaluasi tertentu, daripada bukti bahwa setiap pesan yang sah harus gagal.
Cocokkan setiap otorisasi ke layanan kini
Buat sebuah inventaris pendek yang menghubungkan setiap include atau jangkauan alamat ke pengirim sebenarnya: layanan kotak surat, platform newsletter, sistem dukungan atau penyedia transaksi. Tanyakan administrator yang bertanggung jawab atau berkonsultasi dengan instruksi penyedia ketika entri tidak memiliki pemilik yang jelas. Domain asing tidak cukup alasan untuk menghapusnya. Sebaliknya, nama penyedia dikenali tidak membuktikan setiap integrasi bersejarah masih diperlukan. Catatan mengapa entri ditahan atau dihapus. Inventaris ini membuat lebih mudah untuk mendiagnosa dan membantu menghindari penyuntingan kebijakan semata-mata untuk memperoleh jumlah yang lebih kecil.
Jangan meratakan pertanyaan pemeliharaan
Mengganti penyedia termasuk dengan jangkauan IP yang disalin dapat mengubah yang mempertahankan daftar otorisasi. Sebuah istilah yang lebih kecil mungkin terlihat menarik sementara daftar disalin menjadi usang ketika penyedia perubahan infrastruktur. Evaluasi setiap yang diusulkan menulis ulang terhadap pengaturan yang didokumentasikan penyedia dan proses perubahan Anda. Menjaga kebijakan sebelumnya, pengganti yang dimaksudkan dan layanan yang terpengaruh bersama-sama. Pemeriksa tidak menghasilkan kebijakan yang disetujui atau menguji setiap alamat pengiriman. Hal ini tidak dapat memutuskan bahwa perubahan kebijakan aman hanya karena parse teks diedit dan jumlah lokal lebih rendah.
Gunakan conceved- message provices bersamaan DNS
Inspeksi pesan tes memakai tajuk surel analyzer, lalu identifikasi otomatis - Hasil field ditambahkan oleh sistem penerima yang Anda percaya. RFC 8601 menjelaskan pentingnya batas kepercayaan itu; sebuah baris pasted sendiri dapat berupa konten yang tidak dipercaya. Bandingkan identitas SPF yang dilaporkan dengan kebijakan yang Anda periksa. Juga merekam domain penandatanganan dan pemilih DKIM di mana sekarang. Pemeriksa rekaman DKIM dapat memeriksa kunci publik yang dipilih, tapi publikasi kunci tidak memverifikasi tanda tangan pada pesan tersebut. Pengamatan DNS dan jawaban pengamatan pesan terkait, pertanyaan yang berbeda.
Verifikasi layanan yang berubah dan pertahankan catatan
Setelah perubahan konfigurasi yang berwenang, tes masing-masing terpengaruh pengiriman layanan melalui normal mengalir kerja. Bandingkan bukti penerima dan log penyedia dengan baseline daripada mengandalkan satu pesan sukses dari layanan yang berbeda. Simpan catatan lama dan baru, waktu perubahan dan cek dilakukan. DNS dan konfigurasi penyedia dapat berkembang setelah inspeksi anda, jadi hasil tertanggal lebih berguna daripada label "SPF" permanen. Jika ada kesalahan, selidiki dengan tepat respon dan identitasnya daripada berulang kali menghapus persyaratan. Otorisasi SPF saja tidak menjamin penempatan inbox.