Co obejmuje wskaźnik SPF? Jak bezpiecznie stosować go w rekordzie SPF

Krótka odpowiedź: Mechanizm „include” w SPF pozwala właścicielowi domeny autoryzować zewnętrznego nadawcę poprzez odwołanie się do rekordu SPF tego nadawcy w ramach własnego rekordu DNS typu TXT. Gdy serwer odbierający analizuje rekord SPF i napotyka instrukcję „include”, pobiera i analizuje rekord SPF domeny, do której odwołuje się ta instrukcja, w ramach przeprowadzanej weryfikacji. Ponieważ każda instrukcja „include” powoduje co najmniej jedno dodatkowe wyszukiwanie w systemie DNS, należy ograniczyć łączną liczbę mechanizmów wysyłających zapytania DNS do 10 lub mniej, aby uniknąć błędu PermError.

Rekord SPF informuje serwery pocztowe odbierające wiadomości, które źródła mają uprawnienia do wysyłania wiadomości e-mail w imieniu Twojej domeny. Gdy Twoja organizacja zacznie korzystać z platform zewnętrznych do celów marketingowych, wysyłania wiadomości transakcyjnych, aktualizacji CRM lub wiadomości dotyczących obsługi klienta, ręczne zarządzanie rekordem SPF staje się coraz trudniejsze. Właśnie w takich sytuacjach pomocny jest mechanizm „SPF include”.

W niniejszym przewodniku wyjaśniono, czym jest wtyczka SPF, jak działa oraz jak radzić sobie z wieloma wtyczkami bez naruszania rekordów. Omówiono w nim również, jak zapewnić zgodność z DMARC, aby Twoje wiadomości e-mail zawsze trafiały do skrzynki odbiorczej.

Kto powinien zapoznać się z funkcją „SPF Include”?

SPF to kwestia o kluczowym znaczeniu dla zespołów IT, administratorów systemów, doradców ds. cyberbezpieczeństwa oraz dostawców usług zarządzanych (MSP) zarządzających domenami, z których wysyłana jest poczta elektroniczna za pośrednictwem wielu usług stron trzecich. Jeśli Twoja organizacja korzysta z platform takich jak CRM, helpdesk, narzędzie do automatyzacji marketingu, dostawca poczty transakcyjnej lub usługa poczty w chmurze, Twój rekord SPF prawdopodobnie opiera się na jednym lub kilku mechanizmach include.

• Zespoły ds. IT i bezpieczeństwa w przedsiębiorstwach, zarządzające wieloma platformami SaaS, regionalnymi nadawcami lub portfelami domen
• Administratorzy systemowi odpowiedzialni za wpisy DNS i dostarczalność wiadomości e-mail
• Dostawcy usług bezpieczeństwa (MSP) i dostawcy kompleksowych usług bezpieczeństwa (MSSP) zarządzający protokołami SPF i DMARC w wielu domenach klientów
• Doradcy ds. cyberbezpieczeństwa w branżach podlegających regulacjom, takich jak finanse, opieka zdrowotna, handel detaliczny oraz sektor publiczny

Czym jest rekord SPF?

Rekord SPF, czyli Sender Policy Framework , to rekord DNS typu TXT , który zawiera listę wszystkich serwerów i adresów IP uprawnionych do wysyłania wiadomości e-mail w imieniu danej domeny. Gdy przychodzi wiadomość e-mail, serwer pocztowy odbiorcy sprawdza rekordy DNS nadawcy, aby zweryfikować, czy wiadomość pochodzi z autoryzowanego źródła. Jeśli adres IP nadawcy zgadza się z wpisem w rekordzie, weryfikacja SPF przebiega pomyślnie. W przeciwnym razie weryfikacja SPF kończy się niepowodzeniem.

Czego same rekordy SPF nie są w stanie zapewnić

Mechanizmy SPF mają fundamentalne znaczenie, ale warto zdawać sobie sprawę z ich ograniczeń:

• Sprawdza to tożsamość nadawcy koperty, a nie widoczny adres „Od”, który faktycznie widzą odbiorcy
• Ulega uszkodzeniu podczas przekazywania wiadomości e-mail, więc przekazywane wiadomości często nie przechodzą weryfikacji SPF, nawet jeśli pierwotny nadawca jest wiarygodny
• To samo w sobie nie jest w stanie zapobiec fałszowania domeny na poziomie nagłówka „From”, który jest głównym celem większości ataków phishingowych

Właśnie dlatego SPF najlepiej sprawdza się w ramach szerszej konfiguracji uwierzytelniania, która obejmuje również DKIM i DMARC. Skonfigurowanie wszystkich trzech protokołów razem zapewnia najwyższy poziom ochrony poczty elektronicznej.

Co obejmuje wskaźnik SPF?

Jeśli rekordy SPF stanowią zbiór zasad określających, kto może wysyłać wiadomości e-mail z danej domeny, to mechanizm „SPF include” pozwala na wykorzystanie zasad opracowanych przez kogoś innego. Umożliwia on właścicielowi domeny przekazanie uprawnień do wysyłania wiadomości innej domenie poprzez odwołanie się w swoim rekordzie SPF do rekordu tej domeny. Zamiast ręcznie wymieniać każdy adres IP używany przez zewnętrzną usługę pocztową, wystarczy uwzględnić jej domenę, a serwer odbiorczy pobierze i oceni jej rekord SPF jako część Twojego własnego rekordu.

Dlaczego istnieje operacja „include” w SPF?

Współczesna wysyłka wiadomości e-mail rzadko odbywa się z jednego serwera. Dla korporacyjnych zespołów IT i ds. bezpieczeństwa złożoność SPF zazwyczaj rośnie wraz z dodawaniem z biegiem czasu nowych narzędzi SaaS, regionalnych platform marketingowych, systemów CRM, systemów pomocy technicznej oraz usług poczty transakcyjnej. Każdy nowy nadawca musi być prawidłowo autoryzowany, stale monitorowany oraz utrzymywany w ramach limitu 10 zapytań DNS określonego przez SPF, aby uniknąć błędów uwierzytelniania i problemów z dostarczalnością.

Mechanizm „include” w SPF rozwiązuje ten problem, umożliwiając bezpośrednie odwołanie się do rekordu SPF usługi zewnętrznej. Gdy serwer odbiorczy analizuje rekord SPF i napotyka instrukcję „include”, w ramach procesu weryfikacji pobiera i rozpoznaje rekord SPF typu TXT tej zewnętrznej domeny. Jeśli polityka SPF domeny objętej instrukcją „include” zwraca wynik pozytywny dla adresu IP nadawcy, mechanizm „include” uznaje zgodność i ocena SPF dla tego nadawcy może zakończyć się wynikiem pozytywnym. W przeciwnym razie serwer odbiorczy kontynuuje analizę pozostałej części rekordu SPF.

Jak w praktyce wygląda stosowanie filtrów SPF

Podstawowa instrukcja `include` w pliku SPF wygląda następująco:

W tym przykładzie serwer odbierający wyszukuje rekord SPF dla domeny thirdpartydomain.com i ocenia go wraz z pozostałymi rekordami użytkownika. Jeśli adres IP nadawcy jest autoryzowany w tym rekordzie, wiadomość e-mail przechodzi weryfikację SPF dla danej domeny. Mechanizm „include” jest niezbędny dla domen, które zlecają wysyłanie wiadomości e-mail podmiotom zewnętrznym lub korzystają z usług wielu dostawców, ponieważ alternatywą byłoby ręczne wymienianie każdego adresu IP używanego przez każdą usługę, co jest niepraktyczne i narażone na błędy.

Jak działa mechanizm SPF?

Zrozumienie mechanizmu include w SPF na poziomie technicznym pomaga uniknąć błędów konfiguracyjnych, które powodują cichą awarię SPF. Oto, co się dzieje, gdy serwer odbierający sprawdza rekord SPF zawierający instrukcje include.

Proces weryfikacji SPF

1. Gdy wiadomość e-mail dociera do serwera pocztowego odbiorcy, serwer ten wyodrębnia domenę z adresu „MAIL FROM” i przeprowadza wyszukiwanie w systemie DNS w celu pobrania rekordu TXT SPF tej domeny. Następnie odczytuje rekord od lewej do prawej, oceniając każdy mechanizm, aż znajdzie dopasowanie lub dotrze do końca. Gdy napotka instrukcję include:
2. Serwer odbierający przeprowadza dodatkowe wyszukiwanie w systemie DNS w celu pobrania rekordu SPF typu TXT dla danej domeny.
3. Sprawdza zgodność rekordu SPF danej domeny z adresem IP nadawcy.
4. Jeśli polityka SPF domeny objętej mechanizmem „include” zwraca wynik pozytywny dla adresu IP nadawcy, mechanizm „include” uznaje zgodność i ocena SPF dla tego nadawcy może zakończyć się wynikiem pozytywnym.
5. Jeśli nie zostanie znalezione żadne dopasowanie, serwer kontynuuje analizę pozostałych mechanizmów zawartych w oryginalnym rekordzie.

W jaki sposób liczbę tych operacji uwzględnia się w limicie wyszukiwań DNS

Każda instrukcja „include” w rekordzie SPF powoduje co najmniej jedno dodatkowe zapytanie DNS. Ma to znaczenie, ponieważ weryfikacja SPF jest ograniczona do maksymalnie dziesięciu zapytań DNS na jedną kontrolę. Każda instrukcja „include”, podobnie jak mechanizmy takie jak „mx” i „a”, wlicza się do tego limitu. Jeśli sam rekord SPF włączonej domeny zawiera kolejne instrukcje „include”, one również się liczą, tworząc łańcuch zapytań, których liczba może szybko wzrosnąć.

Przekroczenie limitu dziesięciu prób wyszukiwania powoduje, że SPF zwraca błąd PermError, który serwery odbierające traktują jako błąd SPF. Może to skutkować odrzuceniem wiadomości e-mail lub umieszczeniem ich w folderach ze spamem, nawet jeśli źródło wysyłki jest całkowicie wiarygodne.

Składnia rekordów SPF: Jak poprawnie napisać instrukcję „SPF Include”

Prawidłowa składnia jest absolutnie niezbędna. Nawet jeden błąd w pliku składni rekordu SPF może spowodować, że cały rekord nie będzie działał, niezależnie od tego, jak dobrze skonfigurowano pozostałe elementy.

Podstawowa struktura rekordu SPF

• v=spf1 określa wersję SPF i musi znajdować się na początku każdego rekordu SPF typu TXT
• mechanizmy określają autoryzowane źródła wysyłania, które mogą obejmować adresy IP, domeny poprzez instrukcję „include”, rekordy MX i inne
• wszystkie to mechanizm uniwersalny, który określa, co dzieje się z wiadomościami e-mail, które nie pasują do żadnego z wymienionych źródeł

Podsumowanie kwalifikacji do SPF

Jak poprawnie napisać instrukcję „include” w pliku SPF

Prawidłowa składnia instrukcji „include” to „include:domain.com”. Należy pamiętać, że między słowem „include” a dwukropkiem nie ma spacji. Spacja powoduje błąd składniowy. Oto pełny przykład rekordu SPF zawierającego wiele instrukcji „include”:

• Witryny sendgrid.net i mailchimp.com są autoryzowane jako zewnętrzni nadawcy poprzez plik include
• 192.168.1.1 to indywidualnie autoryzowany adres IP
• ~wszystkie przypadki to „softfail”, co oznacza, że wiadomości e-mail z nieautoryzowanych źródeł są oznaczane, ale nie są od razu odrzucane

Lista kontrolna: jak bezpiecznie dodać nowy wpis SPF typu „include”

1. Zidentyfikuj nową usługę wysyłkową i potwierdź domenę dołączaną przez dostawcę.
2. Pobierz swój aktualny rekord SPF typu TXT za pomocą narzędzia do wyszukiwania rekordów SPF.
3. Zlicz całkowitą liczbę zapytań DNS, w tym zapytań zagnieżdżonych w rekordach zawartych w tych rekordach.
4. Dodaj nowy mechanizm „include:” do swojego pojedynczego rekordu SPF typu TXT.
5. Sprawdź poprawność składni za pomocą generatora rekordów SPF lub narzędzia do wyszukiwania.
6. Opublikuj zaktualizowany wpis i sprawdź wyniki uwierzytelniania na podstawie nagłówków wiadomości e-mail.
7. Należy monitorować raporty DMARC, aby sprawdzić, czy nowy nadawca spełnia wymogi zgodności z SPF.

SPF „Include” a „Redirect”: jaka jest różnica?

Zarówno mechanizm „include”, jak i modyfikator „redirect” odwołują się do rekordu SPF innej domeny, ale działają zupełnie inaczej. Użycie jednego z nich w sytuacji, gdy potrzebny jest drugi, to częsty błąd konfiguracyjny, który może w sposób niezauważalny uniemożliwić uwierzytelnianie.

Mechanizm „include” autoryzuje nadawców wymienionych w rekordzie SPF innej domeny, jednocześnie umożliwiając umieszczenie w Twoim rekordzie SPF dodatkowych mechanizmów. Natomiast modyfikator „redirect” nakazuje serwerowi odbierającemu, aby traktował rekord SPF innej domeny jako pełną politykę dla Twojej domeny, zastępując nim wszystkie pozostałe elementy w Twoim rekordzie.

Częsty błąd

Używanie zarówno modyfikatora `include`, jak i `redirect` w tym samym rekordzie. Modyfikator `redirect` jest ignorowany, gdy w rekordzie pojawia się mechanizm `all`, więc te dwa modyfikatory nie działają razem w sposób, jakiego można by się spodziewać. W przypadku większości konfiguracji z wieloma nadawcami właściwym wyborem jest modyfikator `include`, a modyfikatora `redirect` należy całkowicie pominąć.

Typowe błędy składniowe, których należy unikać

• Opublikowanie więcej niż jednego rekordu SPF TXT dla tej samej domeny, co powoduje błąd PermError, ponieważ serwery odbierające nie są w stanie ustalić, którą politykę zastosować
• Dodanie spacji po dwukropku w instrukcji include
• Stosowanie nieprawidłowych kwalifikatorów lub mechanizmów, które są ze sobą sprzeczne
• Zapomnienie o zakończeniu zapisu za pomocą mechanizmu all

Generator rekordów SPF tworzy od podstaw poprawnie sformatowany rekord; można też sprawdzić istniejący rekord za pomocą narzędzia do sprawdzania rekordów SPF, aby wykryć błędy, zanim spowodują one problemy z dostarczalnością.

Porównanie mechanizmów działania filtrów SPF: „include” w porównaniu z „a”, „mx”, „ip4”, „ip6” oraz „all”

Przed edycją rekordu DNS typu TXT warto zrozumieć, z którego mechanizmu SPF należy skorzystać i w jakich sytuacjach. Każdy z tych mechanizmów służy innemu celowi i ma inny wpływ na liczbę operacji wyszukiwania w systemie DNS.

Reguły wielokrotnego dołączania SPF oraz limity wyszukiwania DNS

Korzystanie z wielu plików SPF jest powszechną praktyką i często niezbędne, ale wiąże się to ze złożonością, którą należy starannie kontrolować. Oto, co należy wiedzieć o obsłudze rekordem SPF z wieloma elementami „include”.

Dlaczego konieczne jest wielokrotne dołączanie plików

Większość organizacji wysyła wiadomości e-mail za pośrednictwem więcej niż jednej platformy. Typowa konfiguracja obejmuje główny serwer pocztowy obsługujący pocztę wewnętrzną i wychodzącą, usługę poczty transakcyjnej do potwierdzeń zamówień i powiadomień, platformę marketingową do biuletynów i kampanii oraz narzędzie CRM lub helpdesk do komunikacji z klientami. Każda z tych platform musi zostać autoryzowana w rekordzie SPF, a najbardziej praktycznym sposobem na to jest użycie instrukcji „include” odwołujących się do rekordów SPF poszczególnych dostawców.

Dlaczego dostawcy usług zarządzanych (MSP) powinni starannie monitorować ustawienia SPF

W przypadku dostawców usług zarządzanych (MSP) i dostawców usług bezpieczeństwa zarządzanych (MSSP) problemy związane z rekordami SPF szybko rozprzestrzeniają się w środowiskach klientów. Jeden klient może wdrożyć nowe narzędzie do marketingu e-mailowego, inny zmienić system CRM, a trzeci – nieświadomie opublikować wiele rekordów SPF. Bez scentralizowanego wglądu zmiany te często stają się zgłoszeniami do pomocy technicznej dopiero wtedy, gdy zaczynają występować problemy z dostarczaniem wiadomości e-mail. Scentralizowana platforma do zarządzania SPF i DMARC pomaga dostawcom usług zarządzanych (MSP) identyfikować uszkodzone rekordy, nieużywane wtyczki, ryzyko przekroczenia limitów wyszukiwania oraz błędy uwierzytelniania we wszystkich domenach klientów z poziomu jednego pulpitu nawigacyjnego, ograniczając tym samym konieczność reaktywnego rozwiązywania problemów.

Dlaczego wielokrotne włączenie plików SPF może spowodować przekroczenie limitu 10 wyszukiwań

Każda instrukcja „include” powoduje co najmniej jedno wyszukiwanie w systemie DNS, a niektóre rekordy SPF stron trzecich same w sobie zawierają kolejne instrukcje „include”, co powoduje dodatkowe wyszukiwania. Zanim autoryzujesz cztery lub pięć platform, możesz już zbliżać się do limitu dziesięciu wyszukiwań lub go przekroczyć. W przypadku przekroczenia limitu serwer odbiorczy zwraca błąd „PermError” i traktuje wiadomość e-mail jako niepowodzenie uwierzytelnienia SPF.

Przykład: w jaki sposób widoczne elementy „includes” przekraczają łączną liczbę 10 wyszukiwań

Trzy widoczne wywołania funkcji `include` mogą z łatwością przekształcić się w ponad dziesięć operacji wyszukiwania, jeśli uwzględni się zagnieżdżone wywołania funkcji `include` w rekordach, do których odwołują się te wywołania.

Ile wpisów SPF może zawierać jeden rekord SPF?

Nie ma sztywnego ograniczenia liczby instrukcji „include”, które można umieścić w rekordzie SPF. Jednak łącznie wszystkie mechanizmy zapytań DNS, w tym „include”, „a”, „mx”, „exists” i „redirect”, nie mogą podczas oceny wywołać więcej niż 10 wyszukiwań DNS. Ograniczenie to obejmuje również wyszukiwania zagnieżdżone w rekordach dołączonych za pomocą instrukcji „include”.

W praktyce większość domen może bezpiecznie stosować od trzech do pięciu instrukcji „include”, zanim osiągnie limit – w zależności od tego, ile zagnieżdżonych wyszukiwań wyzwala każdy z odwołanych rekordów. Dodanie szóstej lub siódmej instrukcji „include” dla dostawcy, którego własny rekord SPF zawiera wiele zagnieżdżonych instrukcji „include”, może spowodować, że łączna liczba przekroczy 10 i doprowadzi do błędu PermError, nawet jeśli widoczny rekord wydaje się krótki. Narzędzie narzędzie do spłaszczania SPF zlicza łączną liczbę wyszukiwań i rozplątuje łańcuchy `include` przed opublikowaniem jakiejkolwiek zmiany w rekordzie.

Jak nie przekroczyć limitu wyszukiwań DNS

• Sprawdź swój aktualny rekord SPF i policz, ile w sumie wywołań DNS powoduje, uwzględniając wywołania zagnieżdżone w rekordach dołączonych
• Usuń wszystkie instrukcje include dotyczące usług, z których już nie korzystasz
• W miarę możliwości należy zastąpić mechanizmy typu „include” bezpośrednimi wpisami IPv4 lub IPv6 dla usług, których zakresy adresów IP są statyczne i dobrze udokumentowane
• Zastosowanie funkcji spłaszczania SPF w celu automatycznego rozplątania łańcuchów dołączania i zastąpienia ich bezpośrednimi adresami IP, co zmniejsza całkowitą liczbę wyszukiwań
• Sprawdź swoje dane za każdym razem, gdy dodajesz lub usuwasz platformę wysyłkową

Zawsze jeden rekord SPF na domenę

Istotna zasada, która obowiązuje niezależnie od liczby zarządzanych domen: nigdy nie publikuj więcej niż jednego rekordu SPF TXT dla tej samej domeny lub subdomeny. Wiele rekordów SPF powoduje błąd SPF PermError, ponieważ serwery odbierające nie są w stanie określić, którą politykę zastosować, dlatego wszystkie dane muszą zostać skonsolidowane w jednym rekordzie. Jeśli wysyłasz wiadomości z subdomen, każda subdomena musi mieć swój własny, oddzielny rekord SPF TXT.

Przykłady plików SPF dla typowych konfiguracji wysyłania wiadomości e-mail

Poniższe przykłady ilustrują poprawną składnię wpisu „include” w rekordzie SPF dla typowych konfiguracji wieloplatformowych. Przed opublikowaniem należy zawsze sprawdzić dokładną nazwę domeny „include” w dokumentacji dostawcy oraz zweryfikować każdy nowy rekord za pomocą funkcji narzędzia do sprawdzania rekordów SPF przed opublikowaniem w systemie DNS.

Tylko jeden dostawca poczty elektronicznej

Dostawca poczty elektronicznej oraz usługa wysyłania wiadomości transakcyjnych

Dostawca poczty elektronicznej, platforma marketingowa i CRM (zwróć uwagę na liczbę wyszukiwań)

Nieprawidłowe przykłady

Dwa rekordy, które zakończą się niepowodzeniem, wraz z uzasadnieniem:

Typowe błędy związane z SPF i jak ich unikać

Rekordy SPF są potężnym narzędziem, ale nie wybaczają błędów. Pojedyncza nieprawidłowa konfiguracja może spowodować awarie uwierzytelniania w całym strumieniu wiadomości e-mail, a najbardziej frustrujące jest to, że wiele z tych błędów nie powoduje wyświetlenia oczywistego komunikatu o błędzie. Niezależnie od tego, czy konfigurujesz rekord SPF po raz pierwszy, czy przeprowadzasz audyt istniejącego rekordu, oto błędy, na które należy zwrócić uwagę.

Wyniki oceny SPF: „Pass”, „Fail”, „Softfail”, „Neutral”, „TempError” oraz „PermError”

Zrozumienie znaczenia poszczególnych wyników SPF pomaga w szybkiej diagnozie błędów uwierzytelniania. Poniższa tabela przedstawia wszystkie wyniki, jakie serwer odbierający może zwrócić po sprawdzeniu rekordu SPF.

Włączenie SPF i zgodność z DMARC

Elementy SPF nie działają w izolacji. Sposób ich konfiguracji ma bezpośredni wpływ na zgodność z protokołem DMARC, a zrozumienie relacji między nimi ma kluczowe znaczenie dla utrzymania stałej dostarczalności wiadomości.

W branżach podlegających regulacjom, takich jak finanse, opieka zdrowotna, edukacja, handel detaliczny i sektor publiczny, uwzględnienie zasad SPF nie jest jedynie kwestią dostarczalności wiadomości. Stanowi ono wsparcie dla szerszych wymagań dotyczących uwierzytelniania wiadomości e-mail powiązanych z zasadami dotyczącymi nadawców obowiązującymi w serwisach Google i Yahoo, oczekiwań firmy Microsoft w zakresie uwierzytelniania oraz PCI DSS, środki bezpieczeństwa zgodne z RODO oraz wewnętrzne programy zarządzania ryzykiem.

Jak SPF wpisuje się w DMARC

DMARC opiera się na protokołach SPF i DKIM, dając właścicielom domen kontrolę nad tym, jak obsługiwane są ich wiadomości e-mail w przypadku niepowodzenia uwierzytelnienia. Aby wiadomość e-mail przeszła weryfikację DMARC, musi być spełniony co najmniej jeden z poniższych warunków:

• Sprawdzenie SPF przebiegło pomyślnie, a domena w polu „Envelope” pokrywa się z domeną w polu „From”
• Sprawdzenie DKIM przebiegło pomyślnie, a domena podpisująca DKIM pokrywa się z domeną nadawcy

Oznacza to, że nawet poprawnie skonfigurowany rekord SPF zawierający wszystkie wymagane elementy nie wystarczy sam w sobie. Konieczne jest również spełnienie wymogów zgodności SPF, co oznacza, że domena w ścieżce zwrotnej musi być zgodna z domeną nadawcy („From”) zgodnie z ustawieniami zgodności DMARC.

W jaki sposób wkluczenie SPF wpływa na wyrównanie

Gdy zewnętrzny nadawca używa własnej domeny w ścieżce zwrotnej, jego adres „include” może figurować w Twoim rekordzie SPF i technicznie rzecz biorąc, SPF może przejść pomyślnie dla tej domeny, ale nie będzie to zgodne z Twoją domeną „From”. W takim scenariuszu DMARC nadal nie przejdzie testu SPF. Należy skonfigurować usługę zewnętrzną tak, aby używała niestandardowej ścieżki zwrotnej w ramach Twojej domeny, lub zapewnić zgodności DKIM jako rozwiązanie awaryjne.

Dlaczego sam filtr SPF to za mało

SPF, DKIM i DMARC zostały zaprojektowane tak, aby współdziałać jako podstawowe środki bezpieczeństwa poczty elektronicznej . SPF weryfikuje źródło nadawcy, ale przestaje działać podczas przekazywania wiadomości. DKIM podpisuje samą wiadomość i zachowuje swoją skuteczność nawet po przekazaniu. DMARC łączy oba te mechanizmy, zapewniając wgląd i kontrolę nad tym, co dzieje się w przypadku awarii któregokolwiek z nich. Skonfigurowanie wszystkich trzech jest jedynym sposobem na stworzenie niezawodnego systemu uwierzytelniania poczty elektronicznej.

Konfiguracja protokołu DMARC wraz z protokołem SPF

Jeśli masz poprawnie skonfigurowane pliki SPF, ale nie wdrożyłeś jeszcze DMARC, konfiguracja DMARC jest logicznym kolejnym krokiem. Zacznij od polityki o treści p=none , aby monitorować przepływ wiadomości e-mail bez wpływu na dostarczalność, a następnie przejdź do kwarantanny i odrzucania wiadomości w miarę wzrostu zaufania do konfiguracji uwierzytelniania.

Zarządzaj plikami SPF i zgodnością z DMARC za pomocą PowerDMARC

Zarządzanie elementami dołączanymi w SPF staje się trudne, gdy organizacja korzysta z wielu zewnętrznych nadawców w różnych działach, domenach i regionach. Pojedynczy nieużywany element dołączany, zagnieżdżony łańcuch wyszukiwania lub nieprawidłowo dopasowana domena ścieżki zwrotnej mogą powodować błędy uwierzytelniania, które trudno wykryć ręcznie.

PowerDMARC zapewnia zespołom IT, kierownictwu ds. bezpieczeństwa oraz dostawcom usług zarządzanych (MSP) scentralizowany wgląd w wyniki SPF, DKIM i DMARC ze wszystkich źródeł wysyłania. Dzięki zautomatyzowanego zarządzania SPF, raportowaniem DMARC, analizy SPF, hostowane usługi uwierzytelniania oraz wsparcie ekspertów — zespoły mogą zapobiegać błędom związanym z limitami wyszukiwania SPF, identyfikować nieautoryzowanych nadawców oraz zachować zgodność z przepisami przy mniejszym obciążeniu systemu DNS.

Organizacje korzystają z PowerDMARC w celu ujednolicenia zarządzania SPF, monitorowania niepowodzeń uwierzytelniania oraz identyfikowania nieautoryzowanych źródeł wysyłki, zanim wpłyną one na dostarczalność wiadomości.

Zarezerwuj demo

Najczęściej zadawane pytania

Ile pozycji z filtrem SPF mogę dodać?

Nie ma ustalonego limitu dla instrukcji „include”, ale łączna liczba zapytań DNS nie może przekroczyć 10, przy czym uwzględnia się zapytania zagnieżdżone w rekordach, do których odwołują się te instrukcje. Większość domen bez problemu obsługuje od trzech do pięciu instrukcji „include”, zanim konieczne stanie się spłaszczenie struktury.

Jaka jest różnica między funkcją „include” a „redirect”?

Opcja `include` dodaje nadawców z innej domeny, zachowując jednocześnie aktywność własnych mechanizmów. Opcja `redirect` zastępuje całą politykę rekordem z innej domeny. Opcja `redirect` jest ignorowana, jeśli występuje mechanizm `all`, więc te dwie opcje nie są łączone.

Dlaczego mój test SPF kończy się powodzeniem, a test DMARC nadal kończy się niepowodzeniem?

Wskaźnik SPF może wskazywać domenę zewnętrznego nadawcy, nie zgadzając się jednocześnie z domeną nadawcy. Protokół DMARC wymaga zgodności, dlatego należy skonfigurować niestandardową ścieżkę zwrotną w ramach własnej domeny lub, w razie potrzeby, skorzystać z zgodności DKIM jako rozwiązania awaryjnego.

Co powoduje błąd SPF PermError?

Trzy typowe przyczyny: przekroczenie limitu 10 wyszukiwań, opublikowanie więcej niż jednego rekordu SPF dla domeny lub błąd składniowy, np. spacja po „include:”. Wszystkie trzy powodują niepowodzenie weryfikacji SPF dla każdego nadawcy, dopóki nie zostaną naprawione.

Czy mogę utworzyć jeden rekord SPF dla wielu subdomen?

Nie. Każda poddomena wysyłająca pocztę musi mieć własny rekord TXT SPF. Rekord domeny nadrzędnej nie obejmuje subdomen, więc wiadomości wysyłane z nie skonfigurowanej subdomeny nie przejdą weryfikacji SPF.

Jak zmniejszyć liczbę wyszukiwań SPF?

Należy usunąć odwołania do nieużywanych usług, zastąpić nadawców ze statycznymi adresami IP bezpośrednimi wpisami IPv4 lub IPv6 oraz zastosować spłaszczanie SPF w celu przekształcenia łańcuchów odwołań w bezpośrednie adresy IP. Należy przeprowadzać audyt przy każdym dodaniu lub usunięciu platformy wysyłającej.

Czy dodanie pliku include ma natychmiastowy wpływ na wiadomości e-mail?

Dopiero po zakończeniu propagacji DNS, co może potrwać do 48 godzin. Przed opublikowaniem sprawdź poprawność wpisu za pomocą narzędzia do wyszukiwania, a następnie upewnij się, że nowy nadawca spełnia wymagania zgodności z SPF w raportach DMARC.

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Przewodnik po konfiguracji DKIM, DMARC i SPF w PandaDoc – 19 sierpnia 2026 r.
• Przewodnik po konfiguracji DKIM, DMARC i SPF w Moloni – 18 sierpnia 2026 r.
• FACTS – Przewodnik po konfiguracji DKIM, DMARC i SPF – 17 sierpnia 2026 r.