Berichten

SPF bestaat in de DNS van uw domein als een TXT record met een heleboel mechanismen en modifiers die voor specifieke instructies staan. Het SPF all mechanisme staat aan het rechter eind van een SPF record, voorafgegaan door "-" of "~". Laten we eens kijken wat het verschil is tussen de SPF -all en ~all mechanismen om te bepalen wanneer je ze zou moeten configureren.

SPF -all vs ~all

Zowel het SPF -all als het ~all mechanisme betekenen "NOT PASS" voor SPF authenticatie. De laatste tijd is er voor de meeste e-mail service providers geen verschil meer tussen het -all en ~all mechanisme, en wordt hetzelfde resultaat geretourneerd. Dit was een paar jaar geleden echter niet het geval.

Hoe werkte het SPF all (Softfail vs Fail) mechanisme vóór DMARC?

DMARC werd gecreëerd lang nadat SPF reeds op de markt was als het standaard e-mail authenticatieprotocol. In die tijd werkte het SPF -all softfail mechanisme op de volgende manier: 

Laten we aannemen dat je SPF record was: 

v=spf1 include:spf.domain.com ~all (waar ~all SPF Softfail betekent)

De e-mailserver van de ontvanger zou een DNS lookup hebben uitgevoerd om de DNS van de afzender te vragen naar zijn SPF record. Als het Return-path domein van de e-mail niet in het record van de afzender voorkomt, zou de ontvangende server een SPF "NOT PASS" resultaat hebben teruggestuurd, maar zou de e-mail hebben afgeleverd afgeleverd in de inbox van de ontvanger.

Stel nu dat je SPF record was: 

v=spf1 include:spf.domain.com -all (waar -all SPF Fail betekent)

De e-mailserver van de ontvanger zou een DNS lookup hebben uitgevoerd om de DNS van de afzender te vragen naar zijn SPF record. Als het Return-path domein van de e-mail niet in het record van de afzender voorkomt, zou de ontvangende server een SPF "NOT PASS" resultaat hebben teruggezonden, maar in dit geval zou de e-mail zijn geweest geweigerd en niet afgeleverd in de inbox van de ontvanger.

Lees meer over de geschiedenis van Sender Policy Framework

Hoe gaan e-mail service providers nu om met het SPF -all vs ~all mechanisme?

Hoewel je op dit moment vrij bent om SPF -all of ~all te gebruiken voor de meeste postbusproviders zonder je zorgen te hoeven maken over afleveringsfouten voor legitieme emails, kan er een situatie ontstaan waarbij een server je e-mail weigert in geval van het -all attribuut.

Om het veiliger te maken, kunt u het SPF hard fail -all mechanisme vermijden bij het maken van uw SPF record. Dit is hoe je het doet:

  • Open de PowerDMARC SPF record generator om te beginnen met het gratis aanmaken van een record
  • Nadat u de IP-adressen en domeinen van uw e-mailverzenders hebt ingevoerd, gaat u naar het laatste gedeelte dat is bedoeld om e-mailservers te instrueren hoe streng ze moeten zijn bij het verifiëren van uw e-mails
  • Kies de "Soft-fail" optie alvorens op de "Genereer SPF Record" knop te drukken

Wat bevelen wij aan? SPF -allemaal of SPF ~allemaal

Problemen met de bezorgbaarheid van e-mail in verband met het SPF -all mechanisme kunnen zich in zeer zeldzame gevallen voordoen. Dit is geen terugkerend probleem dat u vaak zult tegenkomen. Om ervoor te zorgen dat u dit probleem nooit tegenkomt, kunt u de volgende stappen ondernemen:

  • Configureer DMARC voor uw e-mails, en schakel DMARC rapportage in
  • Stel uw DMARC-beleid in op bewaking en inspecteer uw SPF-verificatieresultaten nauwkeurig om eventuele inconsistenties in de bezorgbaarheid van e-mail op te sporen
  • Als alles goed is, kunt u het -all mechanisme in uw SPF record gebruiken. Wij raden aan om het hard fail attribuut te gebruiken omdat het bevestigt dat u zeker bent van de authenticiteit van uw e-mails, wat de reputatie van uw domein kan verbeteren

Als u momenteel niet zeker bent over het gebruik van SPF -all, kunt u de volgende stappen volgen:

  • Maak een SPF record aan met het ~all mechanisme
  • Configureer DMARC voor uw e-mails, en schakel DMARC-rapportage in
  • Stel uw DMARC beleid in op weigeren

Oplossen van andere SPF fouten

Bij het gebruik van online tools komt u vaak de melding "Geen SPF record gevonden"Dit is een veel voorkomende foutmelding als gevolg van een null resultaat wanneer een server het SPF record van uw domein heeft opgezocht. We hebben een artikel gewijd aan dit probleem en helpen gebruikers het op te lossen. Klik op de gelinkte tekst voor meer informatie!

Als u DMARC heeft ingesteld voor uw domein bovenop SPF, zullen email servers de DMARC policy van uw domein controleren om te bepalen hoe u emails wilt behandelen die niet geauthenticeerd kunnen worden. Dit DMARC beleid zal bepalen of uw emails worden afgeleverd, in quarantaine worden geplaatst, of worden geweigerd. 

DMARC afwijzing helpt uw domein te beschermen tegen een verscheidenheid van impersonatie aanvallen zoals spoofing, phishing, en ransomware.

Heb je ooit een e-mail gezien die SPF niet haalde? Als dat zo is, dan zal ik je precies vertellen waarom SPF verificatie faalt. Sender Policy Framework, of SPF, is een van de e-mail verificatie standaarden die we allemaal al jaren gebruiken om spam tegen te houden. Zelfs als je er niet van op de hoogte was, durf ik te wedden dat als ik de instellingen van je login account voor Facebook zou controleren, je waarschijnlijk "opt-in" zou zien voor "alleen e-mail van vrienden". Dat is in feite hetzelfde als SPF.

Wat is SPF-authenticatie?

SPF is een e-mailverificatieprotocol dat wordt gebruikt om te controleren of de afzender van de e-mail overeenkomt met zijn domeinnaam in het veld Van: van het bericht. De verzendende MTA zal DNS gebruiken om een vooraf geconfigureerde lijst van SPF servers te bevragen om te controleren of het verzendende IP gemachtigd is om e-mail voor dat domein te verzenden. Er kunnen inconsistenties zijn in de manier waarop SPF-records zijn ingesteld, wat van cruciaal belang is om te begrijpen waarom e-mails SPF-verificatie kunnen weigeren, en welke rol u kunt spelen om ervoor te zorgen dat er geen problemen optreden bij uw eigen e-mailmarketingactiviteiten.

Waarom SPF Authenticatie Faalt : Geen, Neutraal, Hardfail, Softfail, TempError, en PermError

SPF authenticatie mislukt om de volgende redenen:

  • De ontvangende MTA slaagt er niet in een SPF record te vinden dat in uw DNS gepubliceerd is
  • U heeft meerdere SPF records gepubliceerd in uw DNS voor hetzelfde domein
  • Uw ESP's hebben hun IP-adressen gewijzigd of toegevoegd die niet zijn bijgewerkt op uw SPF-record
  • Als u de 10 DNS lookup limiet voor SPF overschrijdt
  • Als u het maximum aantal toegestane opzoekingen overschrijdt van 2
  • De lengte van uw SPF record overschrijdt de limiet van 255 SPF karakters

Hierboven staan verschillende scenario's waarom SPF authenticatie mislukt. U kunt uw domeinen monitoren met onze DMARC analyzer om rapporten te krijgen over SPF authenticatie mislukkingen. Wanneer u DMARC rapportage heeft ingeschakeld, retourneert de ontvangende MTA een van de volgende SPF authenticatie mislukte resultaten voor de e-mail, afhankelijk van de reden waarom uw e-mail SPF heeft gefaald. Laten we ze beter leren kennen:

Soorten SPF Fail kwalificaties

De volgende types van SPF Fail qualifiers worden elk als prefix toegevoegd vóór het SPF fail mechanisme:

"+" "geslaagd"
"-" "Fail"
"~" "Softfail"
"?" "Neutral"

Wat doen deze ertoe? In het geval dat je e-mail SPF niet haalt, kun je kiezen hoe streng je wilt dat ontvangers hiermee omgaan. U kunt een kwalificatie specificeren om berichten die niet voldoen aan de controle "door te laten" (af te leveren), "Niet af te leveren", of een "Neutraal" standpunt in te nemen (niets doen).

Geval 1: SPF Geen resultaat wordt geretourneerd

In het eerste geval, - als de ontvangende e-mailserver een DNS lookup uitvoert en de domeinnaam niet in de DNS kan vinden, wordt een none resultaat geretourneerd. Geen wordt ook geretourneerd als er geen SPF record wordt gevonden in de DNS van de afzender, wat impliceert dat de afzender geen SPF authenticatie heeft geconfigureerd voor dit domein. In dit geval mislukt de SPF authenticatie voor uw emails.

Genereer nu uw foutloze SPF record met onze gratis SPF record generator tool om dit te vermijden.

Geval 2: SPF Neutraal resultaat wordt geretourneerd

Als u bij het configureren van SPF voor uw domein een ?all mechanisme aan uw SPF record hebt gekoppeld, betekent dit dat ongeacht wat de SPF authenticatiecontroles voor uw uitgaande e-mailberichten opleveren, de ontvangende MTA een neutraal resultaat retourneert. Dit gebeurt omdat wanneer je je SPF in neutrale modus hebt, je niet de IP adressen specificeert die geauthoriseerd zijn om namens jou emails te versturen en niet geauthoriseerde IP adressen toestaat om ze ook te versturen.

Geval 3: SPF Softfail Resultaat

Vergelijkbaar met SPF neutraal, wordt SPF softfail geïdentificeerd door het ~all mechanisme, wat inhoudt dat de ontvangende MTA de mail accepteert en aflevert in de inbox van de ontvanger, maar dat deze wordt gemarkeerd als spam, in het geval dat het IP adres niet voorkomt in het SPF record in de DNS, wat een reden kan zijn waarom SPF authenticatie mislukt voor uw e-mail. Hieronder staat een voorbeeld van een SPF softfail:

 v=spf1 include:spf.google.com ~all

Geval 4: SPF Hardfail Resultaat

SPF hardfail, ook bekend als SPF fail is wanneer ontvangende MTA's emails zouden negeren die afkomstig zijn van een versturende bron die niet in je SPF record voorkomt. Wij raden u aan om SPF hardfail in uw SPF record te configureren, als u bescherming wilt tegen domein impersonatie en email spoofing. Hieronder staat een voorbeeld van SPF hardfail:

v=spf1 include:spf.google.com -all

Geval 5: SPF TempError (SPF tijdelijke fout)

Een van de meest voorkomende en vaak onschuldige redenen waarom SPF authenticatie mislukt is SPF TempError (tijdelijke fout) die veroorzaakt wordt door een DNS fout zoals een DNS timeout terwijl een SPF authenticatie controle wordt uitgevoerd door de ontvangende MTA. Het is dus, zoals de naam al doet vermoeden, meestal een tussentijdse fout die een 4xx status code terugstuurt die een tijdelijke SPF mislukking kan veroorzaken, maar een SPF pass resultaat oplevert als het later opnieuw geprobeerd wordt.

Geval 6: SPF PermError (SPF permanente fout)

Een ander veel voorkomend resultaat waar domeinfouten mee te maken krijgen is SPF PermError. Dit is de reden waarom SPF authenticatie in de meeste gevallen mislukt. Dit gebeurt wanneer je SPF record ongeldig wordt gemaakt door de ontvangende MTA. Er zijn vele redenen waarom SPF kan breken en ongeldig gemaakt kan worden door de MTA tijdens het uitvoeren van DNS lookups:

  • Overschrijden van de 10 SPF lookup limiet
  • Onjuiste SPF record syntax
  • Meer dan één SPF record voor hetzelfde domein
  • Overschrijding van de SPF record lengte limiet van 255 tekens
  • Als uw SPF record niet up to date is met de wijzigingen die uw ESP's

Opmerking: Wanneer een MTA een SPF controle uitvoert op een e-mail, bevraagt hij de DNS of voert hij een DNS lookup uit om de authenticiteit van de e-mail bron te controleren. Idealiter zijn in SPF maximaal 10 DNS lookups toegestaan, bij overschrijding daarvan zal SPF falen en een PermError resultaat geven.

Hoe kan Dynamic SPF Flattening een SPF PermError oplossen?

In tegenstelling tot de andere SPF fouten, is de SPF PermError veel lastiger en ingewikkelder op te lossen. PowerSPF helpt u om dit probleem op te lossen met behulp van automatische SPF afvlakking. Het helpt u:

  • Blijf onder de harde limiet van de SPF
  • Optimaliseer direct uw SPF record
  • Verlaag uw record tot een enkele verklaring
  • Zorg ervoor dat uw SPF-record altijd wordt bijgewerkt bij wijzigingen door uw ESP's

Wilt u testen of u SPF correct heeft geconfigureerd voor uw domein? Probeer dan vandaag nog onze gratis SPF record lookup tool!