Limites de busca da SPF: Traço inclui e solução de problemas com segurança
Inspecione termos causadores de DNS, separe um orçamento estático do resultado da mensagem, e verifique o serviço de envio antes de editar o SPF.
Comece com o caminho que falhou.
Um aviso SPF torna-se mais fácil de investigar quando você sabe qual serviço enviou a mensagem. Grave o provedor, o tempo de envio, a resposta do destinatário e o domínio remetente do envelope. O visível do endereço é o contexto útil, mas não é automaticamente o domínio avaliado SPF. Mantenha a mensagem original ou o registro do provedor disponível. Uma mudança no domínio errado pode deixar o caminho errado intocado enquanto interrompe um serviço diferente. Use um pequeno registro de evidência antes de abrir o verificador de orçamento do SPF: o que aconteceu, qual identidade foi verificada e qual o resultado relatado pelo sistema receptor.
Conte os termos, não todos os pacotes DNS.
RFC 7208 Estabelece um limite de dez. DNS-causando termos durante SPF Avaliação. Os mecanismos relevantes e modificadores incluem: A, Mx, ptr, existe e redireciona. Mecanismos de ip4 e ip6 não usam esse termo de orçamento. Isto não é simplesmente uma contagem de cada DNS pacote seu computador envia. DNS Caching, busca de endereço e limites de protocolo complicam essa comparação. O verificador mostra seu modelo de contagem de termos explicitamente. Leia sua explicação antes de tratar uma série de pedidos TXT ou uma rede de navegadores contam como a mesma coisa que o SPF Orçamento de avaliação.
| Termo | Usa o orçamento? | Interpretação |
|---|---|---|
| ip4 / ip6 | Não. | Endereço literal ou rede. |
| A / mx / ptr / existe | Sim. | Avaliação dependente do DNS |
| incluir | Sim. | Também avalie termos na política incluída. |
| redirecionar | Quando se seguiu | Continue com outra política. |
| Todos | Não. | Os mecanismos posteriores são inalcançáveis. |
Este é um orçamento de avaliação-termo, não uma contagem de cada pacote de rede DNS. Estimativas estáticas têm limitações.
Tente uma política colada com uma limitação conhecida.
Use o modo pasta com o registro de demonstração: v=spf1 ip4:192.0.2.0/24 A MX inclui:_spf.example.com - Todos. O verificador relata três locais DNS termos: A, MX e include. A entrada IP4 contribui com zero. Também relata uma estimativa incompleta e zero. TXT Pedidos porque o modo de colar não busca a política incluída. Estes domínios de exemplo e endereços descrevem uma configuração fictícia; não publiquem o registro como sua própria política de autorização. O resultado útil é um inventário local, não a prova de que todo o caminho de envio se encaixa dentro do limite do protocolo.
Siga políticas incluídas com um escopo claro.
Se você controlar o domínio investigado, o modo vivo pode ler sua política pública de TXT e seguir literalmente incluir ou redirecionar domínios. Isso compartilha domínios com o Google Public DNS, como a ferramenta explica. Reveja as linhas de políticas resultantes, especialmente repetidas, inclui e ramos não resolvidos. A implementação resume as filiais conservadoramente, um verdadeiro remetente pode parar antes de visitar cada filial. Macros, ciclos recursivos ou limites de segurança tornam a estimativa incompleta. Uma alta soma estática é uma razão para investigar um caminho de avaliação específico, ao invés de provar que toda mensagem legítima deve falhar.
Combine cada autorização com um serviço atual.
Faça um pequeno inventário ligando cada faixa de inclusão ou endereço a um remetente real: serviço de correio, plataforma de newsletter, sistema de suporte ou provedor de transações. Pergunte ao administrador responsável ou consulte as instruções do provedor quando uma entrada não tiver um proprietário claro. Um domínio desconhecido não é razão suficiente para deletá-lo. Por outro lado, um nome de provedor reconhecível não prova que toda integração histórica ainda é necessária. Registre por que uma entrada é retida ou removida. Este inventário torna um incidente posterior mais fácil de diagnosticar e ajuda a evitar editar uma política apenas para obter uma menor contagem exibida.
Não diminua a questão da manutenção.
Substituir provedor inclui com faixas IP copiadas pode mudar quem mantém a lista de autorização. Uma contagem menor pode parecer atraente enquanto a lista copiada fica desatualizada quando o provedor muda sua infraestrutura. Avaliar qualquer reescrita proposta contra a configuração documentada do provedor e seu processo de mudança. Mantenha a política prévia, o substituto e os serviços afetados juntos. O verificador não gera uma política achatada aprovada pelo provedor ou testa cada endereço de envio. Não pode decidir que uma mudança de política é segura apenas porque o texto editado analisa e sua contagem local é menor.
Use as evidências recebidas ao lado do DNS.
Inspecione uma mensagem de teste usando o analisador de cabeçalhos de e-mail, então identifique o campo de resultados de autenticação adicionado por um sistema de recepção que você confia. RFC 8601 explica a importância desse limite de confiança, uma linha colada pode ser conteúdo não confiável. Compare a identidade do SPF com a política que inspecionou. Também grave o domínio de assinatura DKIM e seletor onde está presente. O verificador de registros DKIM pode inspecionar a chave pública selecionada, mas a publicação chave não verifica a assinatura dessa mensagem. Uma observação DNS e uma resposta de observação de mensagens relacionadas, perguntas diferentes.
Verifique os serviços alterados e mantenha um registro.
Após uma mudança de configuração autorizada, teste cada um afetado enviando serviço através de seu fluxo de trabalho normal. Compare as evidências do destinatário e os registros do provedor com a linha de base em vez de contar com uma mensagem bem sucedida de um serviço diferente. Guarde os velhos e novos registros, o tempo de mudança e os cheques realizados. DNS e configuração de provedor pode evoluir após sua inspeção, então um resultado datado é mais útil do que uma etiqueta permanente "SPF é boa". Se um erro permanecer, investigue sua resposta exata e identidade em vez de repetidamente remover termos. Só a autorização do SPF não garante a colocação da caixa de entrada.