Come risolvere il problema "Il record DNS di tipo 99 (SPF) è stato deprecato"?
di
Ultimo aggiornamento: 4 minuti di lettura
Vi sarà capitato di imbattervi in un avviso relativo al record SPF che dice Il record DNS di tipo 99 (SPF) è stato deprecato. Questo perché è stato interrotto nel 2014. Il blog ne parlerà più diffusamente.
I punti chiave da prendere in considerazione
- Il tipo di record DNS 99 per SPF è stato deprecato dal 2014 e tutti i record SPF esistenti dovrebbero ora essere pubblicati come record DNS TXT.
- La transizione dall'uso del record DNS di tipo 99 è stata in gran parte dovuta a problemi di allineamento con i server DNS e i sistemi di provisioning.
- DKIM e DMARC sono alternative essenziali all'SPF per l'autenticazione delle e-mail, migliorando la verifica della legittimità del mittente.
- Una corretta configurazione dei criteri DMARC può aiutare a gestire il modo in cui i server di ricezione gestiscono le e-mail che non superano i controlli SPF o DKIM.
- Aggiornare e monitorare regolarmente i record SPF è fondamentale per mantenere la sicurezza delle e-mail e prevenire l'invio di e-mail non autorizzate dal vostro dominio.
Annuncio della deprecazione del record DNS di tipo 99 (SPF)
Il team di sviluppo di SPF ha imposto politiche più rigide durante i primi giorni. Ciò ha portato alla nascita del record DNS di tipo 99 (SPF). Tuttavia, questo record SPF è stato deprecato nell'aprile 2014, come previsto da RFC7208.
Attualmente, tutti i record SPF devono essere pubblicati solo come record di risorse DNS TXT (tipo 16).
Le ragioni di "Record SPF deprecato
Secondo la sezione 3.1 dell'RFC7208, le regole per l'assegnazione di nuovi tipi di RR DNS erano più rigide durante la prima fase di sviluppo rispetto allo scenario attuale. Tuttavia, i server DNS e i sistemi di provisioning non si sono allineati bene con la distribuzione di questi tipi di RR DNS, il che ha portato alla loro obsolescenza.
Gli sviluppatori hanno capito che era più conveniente passare al tipo RR TXT per l'implicazione SPF. Da allora il tipo di record DNS 99 (SPF) è stato deprecato.
Semplificate i record DNS con PowerDMARC!
L'impatto della deprecazione sulle implementazioni SPF esistenti
Alternative a SPF per l'autenticazione delle e-mail
Sender Policy Framework aiuta i provider di posta elettronica a verificare se un server di posta è autorizzato a inviare e-mail da un determinato dominio. Le sue alternative sono DKIM e DMARC, ma anche i servizi di monitoraggio dei tempi di attività sono utili.
- DKIM autentica i messaggi di posta elettronica utilizzando la crittografia e aggiungendo firme digitali per verificare la legittimità del mittente. Funziona aggiungendo una firma all'intestazione che viene protetta con la crittografia. Tutte le firme DKIM contengono informazioni che vengono utilizzate dal server del destinatario per eseguire controlli di verifica.
Il server di posta elettronica del mittente ha una chiave DKIM privata che viene abbinata all'altra metà della coppia di chiavi chiamata chiave DKIM pubblica. Il selettore DKIM determina dove cercare la chiave e, una volta trovata, viene utilizzata per decifrare la firma DKIM.
I valori vengono confrontati. Se corrispondono, il DKIM è valido.
- DMARC indica al server del destinatario come gestire le e-mail che non superano i controlli SPF e/o DKIM. È possibile scegliere di impostare il criterio DMARC su nessuna (non viene intrapresa alcuna azione contro le e-mail non riuscite), quarantena (le e-mail non riuscite vengono contrassegnate come spam) o rifiuto (le e-mail non riuscite non entrano affatto nella casella di posta).
Una volta configurato correttamente il DMARC per il vostro dominio, inizierete a ricevere rapporti che dovrete monitorare per individuare attività sospette.
- Il monitoraggio dei tempi di attività è un metodo automatizzato per informare il team interessato quando un sito web si interrompe durante un'interruzione. Utilizza lo stesso concetto anche per l'autenticazione via e-mail, controllando il record a intervalli di 1 minuto, 24 ore su 24, 7 giorni su 7. Il tempo di attività del record di autenticazione si riferisce al tempo in cui un record è configurato e aggiornato correttamente. Il monitoraggio dell'uptime verifica la correttezza dei record di autenticazione e-mail. Informa il team interessato se rileva problemi o discrepanze.
Aggiornamento delle configurazioni SPF per allinearsi alla deprecazione del tipo di record DNS 99
Se viene visualizzato anche l'avviso record DNS tipo 99 (SPF) è stato deprecato aprire la console e selezionare il dominio del record SPF. Copiare i valori e creare un record scegliendo TXT come tipo di record.
Come creare e pubblicare un record TXT SPF?
Salvaguardate la vostra reputazione aziendale eseguendo i seguenti per creare e pubblicare un record SPF TXT:
Passo 1: Fare un elenco
La prima fase dell'implementazione dell'SPF consiste nell'elencare tutti gli indirizzi IP autorizzati a inviare e-mail utilizzando il vostro dominio. Questo include gli indirizzi IP delle reti locali e dei dispositivi appartenenti ai membri del vostro team, ai membri del consiglio di amministrazione e ai fornitori terzi autorizzati a inviare e-mail per vostro conto. Considerate anche l'aggiunta di ESP e server di posta in ufficio.
Passo 2: Creare il record SPF
Una volta raccolto l'elenco, create il vostro record SPF. Ecco cosa dovete fare ora.
- Specificare la versione usando il tag v. Attualmente esiste una sola versione, quindi si dovrebbe iniziare con v=spf1.
- Questo deve essere seguito da tutti gli indirizzi IP aggiunti all'elenco creato inizialmente. Esempio: v=spf1 ip4:123.23.456
- Dopo aver implementato tutti i tag tag include e gli indirizzi IP, terminare il record con ~tutti, -tuttio tutti i tag. Il tag -all indica un errore grave, mentre il tag ~all indica un errore non grave.
Passo 3: Pubblicare il record nel DNS
Il vostro gestore DNS è responsabile della pubblicazione del record SPF. Potrebbe trattarsi di una posizione interna oppure potete richiedere al vostro provider DNS di farlo per voi.
Una volta pubblicato, assicurarsi di utilizzare un programma gratuito di SPF record checker di PowerDMARC per avere un record privo di errori.
Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC
Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.
Ultimi messaggi di Yunes Tarada (vedi tutti)
