Czym jest SPF dla poczty e-mail?

SPF to skrót od Sender Policy Framework. Jest to protokół uwierzytelniania wiadomości e-mail zaprojektowany w celu wykrywania spoofingu wiadomości e-mail i zapobiegania wysyłaniu wiadomości w imieniu określonej domeny przez nieautoryzowanych nadawców. Co 39 sekund na całym świecie dochodzi do cyberatakuz których większość może być przeprowadzana za pośrednictwem poczty elektronicznej. SPF pomaga autoryzować nadawców, dzięki czemu domena nie może zostać przejęta przez nieautoryzowanego nadawcę wiadomości e-mail z zewnątrz. SPF lub Sender Policy Framework to protokół uwierzytelniania poczty e-mail, który zezwala tylko określonym adresom IP na wysyłanie wiadomości e-mail przy użyciu nazwy domeny. Każdy adres IP spoza listy nie dotrze do skrzynki pocztowej odbiorcy, ponieważ prowadzi to do niepowodzenia SPF. Polityka SPF, zdefiniowana w rekordzie DNS, zawiera listę serwerów pocztowych upoważnionych do wysyłania wiadomości w imieniu domeny.

Rekordy SPF email pomagają w utrzymaniu listy zweryfikowanych nadawców dla danej domeny, która może być publicznie wyszukiwana i pobierana przez serwery odbierające w celu uwierzytelnienia wiadomości email i są wymienione w dokumencie RFC 7208. Chroni to domeny e-mail przed hakerami, aby uniknąć ataków phishingowych, spamowych i spoofingowych. Techniki uwierzytelniania poczty elektronicznej, takie jak SPF, są idealne do ochrony domeny e-mail.

Jak działa SPF?

SPF działa poprzez umożliwienie właścicielom domen publikowania listy autoryzowanych serwerów e-mail (adresów IP lub nazw hostów), które mogą wysyłać wiadomości e-mail w ich imieniu. Oto jak działa SPF krok po kroku: 

1. Publikowanie rekordu dla SPF

Właściciel domeny publikuje rekord SPF w DNS (Domain Name System) swojej domeny. DNS to system, który tłumaczy czytelne dla człowieka nazwy hostów na czytelne dla maszyn adresy IP. Rekord SPF jest rekordem DNS TXT zawierającym listę serwerów upoważnionych do wysyłania wiadomości e-mail dla tej domeny.

2. Wiadomość e-mail została odebrana

Gdy wiadomość e-mail jest wysyłana, zawiera informacje o domenie nadawcy, często znajdujące się w adresie Return-Path (znanym również jako koperta nadawcy lub adres MAIL FROM), który określa, gdzie powinny trafiać odrzucone wiadomości e-mail.

3. Wyodrębnianie domeny nadawcy

Serwer poczty e-mail odbiorcy wyodrębnia domenę z adresu e-mail Return-Path w nagłówku wiadomości e-mail.

4. Wykonywane jest wyszukiwanie DNS

Serwer poczty e-mail odbiorcy wykonuje wyszukiwanie DNS w celu pobrania rekordu SPF TXT domeny nadawcy zidentyfikowanej w poprzednim kroku.

5. Przeprowadzane jest uwierzytelnianie SPF

Rekord SPF zawiera politykę, która określa, które serwery mogą wysyłać wiadomości e-mail dla domeny. Serwer pocztowy odbiorcy porównuje adres IP serwera, który wysłał wiadomość e-mail z listą autoryzowanych serwerów określonych w rekordzie SPF. Adres e-mail ścieżki zwrotnej jest sprawdzany krzyżowo po stronie odbiorcy w celu zweryfikowania, czy adres IP wysyłającego jest wymieniony w rekordach SPF.

6. Określany jest ostateczny wynik uwierzytelniania

Na podstawie sprawdzenia SPF, serwer pocztowy odbiorcy określa, czy wiadomość e-mail pochodzi z autoryzowanego serwera, czy nie (Pass, Fail, SoftFail, Neutral, itp.).

7. Działania są podejmowane na podstawie wyników

Serwer pocztowy odbiorcy podejmuje działania w oparciu o wynik sprawdzenia SPF i politykę DMARC domeny (jeśli taka istnieje). Może on zaakceptować wiadomość e-mail, oznaczyć ją jako spam lub całkowicie odrzucić. Jeśli zatwierdzenie jest pozytywne, wiadomości e-mail są zazwyczaj wysyłane do skrzynki odbiorczej; w przeciwnym razie może to prowadzić do niepowodzenia SPF.

Skonfiguruj SPF za pomocą PowerDMARC!

Jak używać SPF w poczcie e-mail

Aby korzystać ze standardu SPF email, musisz upewnić się, że dobrze rozumiesz, jak on działa i sprawdzić, czy Twoja domena i dostawca usług poczty elektronicznej obsługują SPF. Następnie można utworzyć rekord dla SPF, opublikować go w DNS i najlepiej połączyć implementację SPF DNS z DKIM i DMARC, aby zapobiec spoofingowi. Należy zauważyć, że SPF uwierzytelnia serwer wysyłający i niekoniecznie weryfikuje tożsamość nadawcy lub treść wiadomości. Korzystanie z SPF wraz z DKIM, DMARC i potencjalnie BIMI w celu dokładniejszego uwierzytelniania wiadomości e-mail może znacznie poprawić bezpieczeństwo poczty elektronicznej.

Jak włączyć SPF dla poczty e-mail

Aby utworzyć rekord SPF, należy wykonać następujące ogólne kroki:

Określenie autoryzowanych serwerów poczty e-mail

Zidentyfikuj adresy IP lub nazwy hostów wszystkich serwerów poczty e-mail, które są upoważnione do wysyłania wiadomości e-mail w imieniu Twojej domeny. Obejmuje to serwery poczty e-mail własnej organizacji, zewnętrznych dostawców usług poczty e-mail (takich jak Google Workspace, Microsoft 365, SendGrid, Mailchimp itp.) oraz wszelkie inne usługi, które wysyłają wiadomości e-mail przy użyciu nazwy domeny. Zbierz kompleksową listę wszystkich tych adresów IP i domen wysyłających.

Definiowanie polityki SPF

Określenie polityki dla SPF. Obejmuje to określenie, które serwery mogą wysyłać wiadomości e-mail dla domeny przy użyciu mechanizmów SPF. Musisz także zdecydować, jak ściśle serwery odbierające powinny egzekwować politykę przy użyciu kwalifikatorów (np. `-all` dla Fail, `~all` dla SoftFail).

Określenie formatu SPF

Rekordy SPF są publikowane jako rekord TXT w DNS domeny. Rekord powinien mieć określony format, zaczynający się od `v=spf1`, po którym następują mechanizmy, modyfikatory i końcowy mechanizm `all` z kwalifikatorem.

Opublikowanie rekordu SPF

Najpierw należy wygenerować rekord SPF. Możesz skorzystać z naszego bezpłatnego narzędzia generatora SPF lub ręcznie skonstruować rekord w oparciu o autoryzowanych nadawców i politykę. Następnie uzyskaj dostęp do systemu zarządzania DNS swojej domeny, który jest zazwyczaj dostarczany przez rejestratora domeny lub dostawcę usług hostingowych. Znajdź ustawienia DNS dla swojej domeny i dodaj nowy rekord TXT. Określ nazwę hosta (zwykle "@" lub pustą dla samej domeny głównej) i wklej pełny ciąg rekordu SPF w polu wartości/danych.

Przykład rekordu SPF

Rekord SPF TXT w DNS będzie wyglądał mniej więcej tak:

Rekord ten definiuje zestaw hostów jako prawidłowych nadawców. Na przykład, `v=spf1 ip4:192.168.0.0/16 include:spf.example.com -all` oznacza:

• `v=spf1`: Określa używaną wersję SPF.
• `ip4:192.168.0.0/16`: Autoryzuje wiadomości e-mail wysyłane z dowolnego adresu IP w tym zakresie.
• `include:spf.example.com`: Dołącza rekord SPF z `spf.example.com`, skutecznie autoryzując wszystkich wymienionych tam nadawców. Liczy się to jako jedno wyszukiwanie DNS.
• `-all`: Wskazuje, że każdy nadawca, który nie pasuje do poprzednich mechanizmów, powinien nie przejść kontroli SPF (zostać odrzucony).

Struktura zazwyczaj obejmuje mechanizmy, modyfikatory i kwalifikatory:

Mechanizmy:

Definiują one serwery, które mogą wysyłać wiadomości e-mail. Typowe mechanizmy obejmują: `a`, `mx`, `ip4`, `ip6`, `include`, `exists` i `all`.

1. `ALL`: Dopasowuje zawsze. Używane na końcu rekordu (np. `-all`).
2. `A`: Dopasowuje, jeśli IP nadawcy pasuje do rekordu A lub AAAA domeny.
3. `IP4`: Dopasowuje, jeśli adres IP nadawcy znajduje się w określonym zakresie IPv4.
4. `IP6`: Dopasowuje, jeśli adres IP nadawcy znajduje się w określonym zakresie IPv6.
5. `MX`: Dopasowuje, jeśli adres IP nadawcy pasuje do jednego z adresów IP rekordów MX domeny.
6. `PTR`: Dopasowuje, jeśli rekord PTR dla adresu IP nadawcy wskazuje na domenę, która rozwiązuje się z powrotem na adres IP nadawcy. (Odradzane ze względu na nieefektywność i zawodność).
7. `EXISTS`: Dopasowuje, jeśli podana nazwa domeny została rozwiązana.
8. `INCLUDE`: Dołącza politykę z innej domeny. Następuje przetwarzanie rekursywne.

Modyfikatory:

Dostarczają one dodatkowych informacji lub zmieniają sposób działania rekordu. Głównymi modyfikatorami są `redirect` (wskazuje na rekord SPF innej domeny, zastępując bieżący) i `exp` (zapewnia wyjaśnienie błędów SPF). Modyfikatory pojawiają się na końcu, po mechanizmach.

Kwalifikacje:

Przedrostek do mechanizmów wskazujący, jak traktować dopasowanie:

• `+`: Pass (Domyślnie)
• `-`: Niepowodzenie (wiadomość e-mail powinna zostać odrzucona)
• `~`: SoftFail (e-mail powinien zostać zaakceptowany, ale oznaczony/skrytykowany)
• `?`: Neutralny (Nie potwierdzono żadnej polityki; traktuj jako Brak)

Jak sprawdzić i zweryfikować SPF?

Po skonfigurowaniu rekordu SPF może minąć trochę czasu (do 48 godzin, choć często znacznie mniej), zanim zmiany DNS rozprzestrzenią się w Internecie. Skorzystaj z naszego Sprawdzanie rekordu SPF aby zweryfikować i przetestować swój rekord. Pomaga to zweryfikować poprawność składni i zapewnia, że jest on rozpoznawany przez serwery DNS.

Ważne jest, aby pamiętać, że rekordy SPF mogą być złożone, w zależności od konkretnych wymagań infrastruktury poczty e-mail. Jeśli nie masz pewności co do składni lub potrzebujesz bardziej zaawansowanych konfiguracji, zalecamy skonsultowanie się z administratorem systemu, wsparciem IT lub ekspertem ds. uwierzytelniania poczty e-mail w celu uzyskania pomocy w prawidłowym utworzeniu rekordu SPF.

SPF dla sprzedawców zewnętrznych

Czym jest SPF dla zewnętrznych dostawców? Aby upoważnić strony trzecie (takie jak platformy marketingowe, CRM, helpdesk) do wysyłania wiadomości e-mail w Twoim imieniu, musisz dołączyć ich konkretne adresy IP lub ich wyznaczone domeny obsługujące SPF (używając mechanizmu `include:`) do pojedynczego rekordu SPF Twojej domeny. Ale uwaga, nie należy tworzyć wielu rekordów SPF dla tej samej domeny, ponieważ całkowicie unieważnia to SPF! Wszyscy autoryzowani nadawcy muszą być wymienieni w jednym skonsolidowanym rekordzie.

Na przykład, jeśli używasz SuperEmails.net jako nadawcy wiadomości e-mail, a ich domena obsługująca SPF to spf.superemails.net, twój rekord SPF może wyglądać następująco:

v=spf1 include:spf.superemails.net -all

Jeśli korzystasz również z witryny AnotherSender.com, której adresy IP to 1.2.3.4 i 5.6.7.8, możesz je połączyć:

v=spf1 ip4:1.2.3.4 ip4:5.6.7.8 include:spf.superemails.net -all

Dlaczego Sender Policy Framework jest ważny dla poczty e-mail?

SPF jest ważny, aby upewnić się, że wiadomości e-mail wysyłane z Twojej domeny są autentyczne, a nie fałszywe przynęty stworzone przez cyberprzestępców w celu oszukania Twoich klientów, pracowników lub partnerów. Przy miliardach spamu wysyłanego codziennie, SPF jest podstawowym krokiem w ochronie domeny. Oto kilka kluczowych zalet SPF: 

Ograniczenie fałszowania wiadomości e-mail i zapobieganie cyberatakom

SPF pomaga zwalczać spoofing wiadomości e-mail poprzez weryfikację autentyczności serwera wysyłającego. Złośliwi aktorzy często używają sfałszowanych adresów do phishingu, spamowania i innych cyberataków. Prawidłowo skonfigurowany rekord SPF znacznie utrudnia im skuteczne podszywanie się pod Twoją domenę.

Lepsza dostarczalność wiadomości e-mail i niższy współczynnik odrzuceń

Wdrożenie SPF może zwiększyć wskaźniki dostarczalności wiadomości e-mail. Gdy serwery odbiorcy przeprowadzają kontrolę SPF i stwierdzają, że serwer wysyłający jest autoryzowany, są bardziej skłonne do zaakceptowania wiadomości e-mail zamiast oznaczania jej jako spam lub odrzucania. Domeny bez odpowiednich rekordów SPF mogą odnotowywać wyższe współczynniki odrzuceń lub mieć wiadomości e-mail lądujące w folderach spamu.

Mniej fałszywych alarmów

Poprzez dokładną identyfikację autoryzowanych serwerów poczty e-mail, SPF zmniejsza prawdopodobieństwo, że legalne wiadomości e-mail zostaną omyłkowo oznaczone jako spam przez systemy odbiorcze. Pomaga to zapobiegać fałszywym alarmom i zapewnia, że ważne wiadomości docierają do skrzynek odbiorczych zamierzonych odbiorców.

Zwiększona reputacja nadawcy

SPF odgrywa rolę w budowaniu i utrzymywaniu pozytywnej reputacji nadawcy u dostawców skrzynek pocztowych. Wdrażając SPF, właściciele domen demonstrują swoje zaangażowanie w bezpieczeństwo poczty elektronicznej i najlepsze praktyki uwierzytelniania, które cenią dostawcy usług internetowych.

Ograniczanie phishingu i spamu

SPF pomaga zmniejszyć skuteczność prób phishingu i kampanii spamowych, które opierają się na podszywaniu się pod domeny. SPF utrudnia złośliwym podmiotom wysyłanie fałszywych wiadomości e-mail podszywających się pod renomowane domeny.

Zgodność ze standardami poczty e-mail i DMARC

Wielu dostawców usług poczty elektronicznej i organizacji zachęca lub wymaga stosowania SPF jako części ich polityki dotyczącej poczty elektronicznej. Co więcej, SPF jest podstawowym składnikiem DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC opiera się na dostosowaniu SPF (i/lub DKIM) w celu określenia, w jaki sposób serwery odbierające powinny obsługiwać nieuwierzytelnioną pocztę, co czyni SPF niezbędnym dla zgodności z DMARC.

Jakie są ograniczenia SPF?

Chociaż SPF jest cennym narzędziem, ma swoje ograniczenia:

• **Problemy z przekazywaniem wiadomości e-mail:** SPF może napotkać wyzwania związane z przekazywaniem wiadomości e-mail. Gdy wiadomość e-mail jest przekazywana z jednego serwera na drugi, oryginalne uwierzytelnianie SPF może zakończyć się niepowodzeniem, ponieważ adres IP serwera przekazującego nie jest wymieniony w rekordzie SPF domeny pierwotnego nadawcy. DMARC pomaga złagodzić ten problem, ale pozostaje on podstawowym ograniczeniem SPF.
• **Złożoność i zarządzanie:** Wraz ze wzrostem liczby autoryzowanych serwerów e-mail i usług stron trzecich, rośnie złożoność zarządzania i utrzymywania pojedynczego rekordu SPF.
• **10 DNS Lookup Limit:** Rekordy SPF są ograniczone do maksymalnie 10 wyszukiwań DNS (mechanizmy takie jak `include`, `a`, `mx`, `ptr`, `exists` i `redirect` wliczają się do tego limitu). Przekroczenie tego limitu powoduje stały błąd (PermError), czyniąc rekord SPF nieskutecznym. Organizacje korzystające z wielu zewnętrznych dostawców często osiągają ten limit. Narzędzia takie jak SPF flattening mogą pomóc złagodzić ten problem poprzez zastąpienie wyszukiwania statycznymi adresami IP, ale wymagają starannego zarządzania.
• **255-znakowy limit ciągu:** Pojedynczy ciąg rekordu TXT w DNS ma limit 255 znaków. Chociaż rekordy SPF mogą obejmować wiele ciągów znaków w pojedynczym rekordzie TXT, zbyt złożone rekordy mogą stać się trudne w zarządzaniu i potencjalnie przekroczyć ogólne limity rozmiaru rekordów DNS. Przekroczenie limitu znaków ciągu SPF w pojedynczym ciągu spowoduje również unieważnienie rekordu.
• **Uwierzytelnia serwer wysyłający, a nie treść lub nagłówek "Od":** SPF koncentruje się wyłącznie na weryfikacji autentyczności serwera wysyłającego w oparciu o domenę ścieżki zwrotnej. Nie zapewnia szyfrowania, nie weryfikuje integralności treści wiadomości (jak robi to DKIM ), ani nie uwierzytelnia bezpośrednio widocznego dla użytkownika adresu "From", który widzą odbiorcy. Atakujący mogą czasami ominąć SPF, używając autoryzowanego serwera, ale fałszując adres "Od".
• **Brak raportowania:** Sam SPF nie zapewnia widoczności ani informacji zwrotnej dla właściciela domeny na temat wyników uwierzytelniania lub potencjalnych nadużyć. W tym miejscu DMARC staje się kluczowy, ponieważ wykorzystuje wyniki SPF i zapewnia raportowanie.

Unikanie typowych błędów w konfiguracji SPF

Błędne konfiguracje mogą sprawić, że polityka SPF będzie nieskuteczna, a nawet blokować legalne wiadomości e-mail. Unikaj tych typowych pułapek:

• **Używanie wielu rekordów SPF:** Domena MUSI mieć tylko jeden rekord SPF TXT. Wiele rekordów spowoduje błędy walidacji. Skonsoliduj wszystkich autoryzowanych nadawców w jednym rekordzie.
• **Nieprawidłowa składnia:** Rekordy SPF mają ścisłe wymagania dotyczące składni. Literówki, nieprawidłowe użycie mechanizmu (np. użycie `TXT` zamiast `ip4` lub `include`) lub niewłaściwie umieszczone elementy mogą unieważnić rekord. Zawsze sprawdzaj poprawność rekordu przed jego opublikowaniem.
• **Nieuwzględnienie wszystkich autoryzowanych nadawców:** Zapomnienie o umieszczeniu na liście legalnej usługi strony trzeciej lub wewnętrznego serwera pocztowego spowoduje, że wiadomości e-mail wysyłane z tych źródeł nie przejdą kontroli SPF, co wpłynie na dostarczalność. Utrzymywanie kompletnego wykazu.
• **Przekroczenie limitu 10 wyszukiwań DNS:** Jak wspomniano w ograniczeniach, dodanie zbyt wielu mechanizmów `include`, `a`, `mx` itp. złamie SPF. Monitoruj uważnie swoje wyszukiwania, zwłaszcza podczas dodawania nowych dostawców.
• **Przekroczenie limitu znaków:** Upewnij się, że twój rekord jest zgodny z limitem 255 znaków na ciąg znaków i ogólnymi limitami rozmiaru rekordu DNS.
• **Użycie niewłaściwego typu rekordu:** Rekordy SPF muszą być publikowane jako rekordy TXT w DNS. Niektóre starsze systemy używały dedykowanego typu rekordu SPF, ale jest on przestarzały i nie powinien być używany.
• **Brak aktualizacji:** Jeśli zmieniasz dostawcę poczty e-mail, dodajesz nowe usługi lub likwidujesz stare serwery, MUSISZ odpowiednio zaktualizować swój rekord SPF. Nieaktualne rekordy mogą blokować legalną pocztę lub pozostawiać luki dla nadużyć.

Uczyń SPF jeszcze lepszym dzięki PowerDMARC

SPF sam w sobie jest skuteczny, ale ma swoje ograniczenia. Cyberprzestępcy znaleźli sposoby na ominięcie prostego sprawdzania adresów IP, zwłaszcza poprzez celowanie w widoczny dla użytkownika adres "From", którego SPF bezpośrednio nie chroni. Technologia SPF staje się znacznie bardziej wydajna i istotna, gdy jest zintegrowana z DMARC.

Łączymy SPF z DKIM i DMARC

DMARC wymaga wyrównania - co oznacza, że domena używana do SPF (w ścieżce zwrotnej) i/lub domena używana do podpisywania DKIM musi być zgodna z domeną w widocznym nagłówku "From". PowerDMARC pomaga prawidłowo skonfigurować DMARC, wykorzystując zarówno wyniki SPF, jak i DKIM do solidnego uwierzytelniania. Idziemy o krok dalej dzięki opartej na sztucznej inteligencji analizie zagrożeń, która pomaga identyfikować ataki spoofingowe nawet wtedy, gdy podstawowe kontrole zakończą się powodzeniem.

Raportowanie i informacje zwrotne

Ani SPF, ani DKIM same w sobie nie dają właścicielowi domeny informacji zwrotnej na temat wiadomości e-mail, które nie przeszły uwierzytelnienia lub potencjalnych wzorców nadużyć. DMARC umożliwia odbierającym serwerom pocztowym wysyłanie szczegółowych zbiorczych (RUA) i kryminalistycznych (RUF) raportów DMARC z powrotem do właściciela domeny. Platforma PowerDMARC przetwarza te złożone raporty XML w czytelne wykresy, tabele i alerty, zapewniając kluczowy wgląd w ekosystem poczty elektronicznej, zgodność nadawców i zagrożenia. Korzystając z tych danych analitycznych, można udoskonalić konfiguracje SPF/DKIM i dostosować strategię poczty elektronicznej.

Kontroluj, co dzieje się z nieuwierzytelnioną wiadomością e-mail

DMARC pozwala właścicielowi domeny określić politykę, w jaki sposób odbiorcy powinni obsługiwać wiadomości e-mail, które nie przejdą kontroli SPF i DKIM (lub nie przejdą wyrównania). Można wybrać `p=none` (tylko monitorowanie), `p=quarantine` (wysyłanie do spamu) lub `p=reject` (całkowite zablokowanie wiadomości e-mail). Dzięki PowerDMARC zarządzanie i postęp w polityce DMARC w kierunku egzekwowania staje się znacznie prostsze, często osiągalne dzięki jasnym wskazówkom i łatwemu sterowaniu interfejsem.

• O
• Latest Posts

Maitham Al Lawati

Ekspert ds. cyberbezpieczeństwa, CEO w PowerDMARC

Maitham jest przedsiębiorcą technologicznym, ekspertem ds. cyberbezpieczeństwa, dyrektorem generalnym i założycielem PowerDMARC z ponad 15-letnim doświadczeniem w branży. Maitham posiada tytuł Global MBA Uniwersytetu w Manchesterze oraz różne certyfikaty zawodowe, w tym CISSP, CISM, CRISC i ISC2 CCSP.

Najnowsze posty autorstwa Maitham Al Lawati (zobacz wszystkie)

• Jak utworzyć i opublikować rekord DMARC - 3 marca 2025 r.
• Jak naprawić "Nie znaleziono rekordu SPF" w 2025 roku - 21 stycznia 2025 r.
• Jak czytać raport DMARC - 19 stycznia 2025 r.