Как настроить SPF-запись? - Руководство по настройке SPF

Электронная почта - важнейший инструмент для бизнеса, и большинство из нас ежедневно используют ее для общения. Однако с ростом числа пользователей электронной почты растет и проблема спама, подмены электронной почты, фишинга и мошенничества с электронной почтой. Эти виды атак могут нанести значительный ущерб, включая потерю репутации, финансовые потери и утечку данных. Чтобы предотвратить такие атаки, компании должны принимать упреждающие меры по защите своих систем электронной почты. Одним из способов сделать это является настройка SPF.

Крупнейшие поставщики электронной почты, такие как Yahoo Mail и Google Workspace, рекомендуют использовать такие протоколы аутентификации электронной почты, как Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) и Domain-based Message Authentication, Reporting, and Conformance (DMARC), чтобы защитить получателей электронной почты от потенциального мошенничества.

SPF в системе безопасности электронной почты - объяснение 

Что такое SPF? SPF расшифровывается как Sender Policy Framework. Протокол аутентификации электронной почты позволяет указать, какие серверы имеют право отправлять электронную почту на ваш домен. SPF работает путем добавления DNS-записи в конфигурацию DNS вашего домена, в которой перечислены IP-адреса ваших почтовых серверов. Эта запись сообщает другим почтовым серверам, что все письма, отправленные с вашего домена не с авторизованных IP-адресов, должны быть отклонены.

Настройка действительной записи SPF необходима для предотвращения отправки электронных сообщений неавторизованными пользователями с использованием вашего доменного имени. Например, спамеры или злоумышленники могут использовать ваше доменное имя для рассылки спама или фишинговых писемчто может нанести вред вашей репутации, привести к блокировке и поставить под угрозу безопасность ваших клиентов и сотрудников.

Компоненты SPF 

Основные компоненты SPF-запись в DNS являются следующие:

1. Версия (v=spf1):
   Указывает версию SPF, всегда начинающуюся с v=spf1.
2. IP4 и IP6 (ip4: / ip6:):
   Список разрешенных адресов IPv4 и IPv6, с которых разрешено отправлять электронную почту для домена.
3. Механизмы A и MX (a: / mx:):
   • a: позволяет отправлять электронную почту с серверов, IP-адреса которых совпадают с A-записью домена.
   • mx: позволяет получать электронную почту с серверов, перечисленных в записях MX (Mail Exchange) домена.
4. Механизм включения (include:):
   Разрешает использовать SPF-записи других доменов для авторизации отправителей, что полезно, когда сторонние службы отправляют электронные письма от имени вашего домена.
5. Все механизмы (все):
   Устанавливает правило по умолчанию в конце записи SPF. Возможны следующие варианты:
   • -все: Hard fail (отклонить неавторизованные IP).
   • ~all: Soft fail (пометить неавторизованные IP как подозрительные).
   • ?all: Нейтральный (не предпринимается никаких действий в отношении неавторизованных IP-адресов).
   • +all: Пропуск (разрешает все IP-адреса, редко рекомендуется).
6. Перенаправление (redirect=):
   Указывает на SPF-запись другого домена, если вы хотите использовать ее вместо того, чтобы создавать свою собственную.
7. Модификаторы:
   Необязательные правила для тонкой настройки, хотя встречаются реже.

Пример SPF

v=spf1 ip4:192.168.1.1 include:_spf.thirdparty.com -all

В этом примере разрешены сообщения электронной почты с адреса 192.168.1.1 и включает запись SPF стороннего производителя, отклоняя письма с других IP с параметром -all.

Освоение настроек SPF

Настройка SPF - это конфигурация протокола аутентификации электронной почты SPF в DNS владельца домена. Настройка SPF позволяет авторизовать легитимные источники отправки, гарантируя, что серверы-получатели смогут легко отличить подлинного отправителя электронной почты от того, кто просто выдает себя за легитимное доменное имя. Это необходимый шаг в проверке электронной почты для защиты от кибератак на основе электронной почты. 

Как настроить и добавить SPF-записи

Настройка SPF необходима не только для активных источников, но и для доменов без рассылки, чтобы гарантировать их безопасность от вредоносного использования. Настройка SPF-записи - несложный процесс, который включает в себя следующие шаги:

Шаг 1: Определите серверы электронной почты

Прежде всего необходимо определить, какие серверы имеют право отправлять электронную почту для вашего домена. Эти серверы могут включать ваш почтовый сервер, стороннего поставщика услуг электронной почты или любой другой сервер, который отправляет электронную почту с использованием вашего доменного имени.

Шаг 2: Создание SPF-записи

После определения авторизованных почтовых серверов вы можете создать SPF-запись с помощью Инструмент для создания SPF-записей. Запись SPF - это TXT (текстовая) запись в конфигурации DNS вашего домена, которая необходима для настройки SPF. Вы можете использовать простой синтаксис для создания SPF-записи, например:

v=spf1 ip4:<IP address> -all

In this example, the “v=spf1” indicates that this is an SPF record, and “ip4:<IP address>” indicates the IP address of the authorized email server. The “-all” at the end indicates that any emails that do not come from authorized IP addresses should be rejected.

Шаг 3: Опубликуйте свою SPF-запись

После создания записи SPF ее необходимо опубликовать в DNS вашего домена. Администраторы доменов могут внести необходимые обновления в DNS, чтобы легко активировать протокол. Это можно сделать, войдя на сайт DNS-провайдера и добавив новую TXT-запись с вашей SPF-записью. Кроме того, вы можете попросить свою ИТ-службу или хостинг-провайдера сделать это за вас.

Шаг 4: Проверьте свою SPF-запись

После публикации записи SPF необходимо протестировать ее, чтобы убедиться, что она работает правильно. Вы можете использовать онлайн программы проверки SPF-записейтакие как MXToolbox, для проверки вашей SPF-записи. Эти инструменты подскажут вам, действительна ли ваша SPF-запись и правильно ли она настроена.

5 заблуждений о записях SPF 

В интернете ходят мифы о записи SPF, которые могут привести к принятию неверных решений. Давайте развеем их один за другим: 

1. SPF сам по себе может предотвратить спуфинг 

Это неправда. Настройка SPF сама по себе не может предотвратить такие кибератаки, как спуфинг или имперсонация. Чтобы предотвратить их, SPF необходимо объединить с DMARC (Domain-based Message Authentication, Reporting, and Conformance), который позволяет владельцам доменов отклонять мошеннические письма, отправленные с их собственного домена. 

2. Вы можете использовать +all в SPF-записи

Использование +all позволяет любому серверу отправлять электронные письма от имени вашего домена. Это сводит на нет цель, которую преследует протокол SPF. Вместо этого рекомендуется использовать ~all или -all, чтобы эффективно развернуть SPF для вашего домена. 

3. SPF работает для пересылаемых писем 

Мы все хотели бы, чтобы это было правдой. К сожалению, в сценариях пересылки почты SPF ломается из-за изменений в информации заголовков, вносимых серверами-посредниками. В таких случаях для эффективной проверки подлинности электронной почты могут пригодиться такие протоколы, как DKIM или, предпочтительно, ARC. 

4. SPF-записи имеют неограниченное количество DNS-поисков 

RFC устанавливает максимум 10 DNS-поисков для SPF-записей, превышение которого приводит к ошибке SPF. Очень важно использовать методы оптимизации SPF, такие как сглаживание, или, предпочтительно, SPF-макросы, чтобы всегда оставаться в пределах ограничений SPF.

5. С SPF вы можете "настроить и забыть"! 

Не совершайте эту ошибку с SPF! Вам необходимо время от времени обновлять записи SPF, чтобы ваш обновленный список отправителей мог отправлять письма от имени вашего домена! Это важный шаг для того, чтобы легитимные письма не были заблокированы сервером вашего получателя. 

Как работает SPF-запись?

• Владелец домена создает SPF-запись вручную или с помощью онлайн-инструмента, в которой указываются источники отправки, которым разрешено отправлять электронные письма от имени домена. 
• Когда письмо отправляется, сервер получателя выполняет DNS-запрос к DNS отправителя, чтобы найти запись SPF и проверить наличие авторизованных источников. 
• Если письмо совпадает, оно благополучно попадает в папку "Входящие", в противном случае письмо может быть помечено как подозрительное. Это зависит от квалификатора действия (~all, -all, ?all), заданного владельцем домена в записи SPF. 

Советы по точной настройке SPF

Вот несколько советов по созданию надежной записи SPF:

• Включите все авторизованные серверы электронной почты: Убедитесь, что в настройку SPF включены все авторизованные серверы электронной почты для отправки писем для вашего домена. Это может быть ваш почтовый сервер, сторонние поставщики услуг электронной почты или любой другой сервер, который отправляет электронную почту с использованием вашего доменного имени.
• Используйте механизм "-all": Механизм "-all" в конце вашей SPF-записи указывает другим почтовым серверам отклонять любые электронные письма, которые не приходят с авторизованных IP-адресов. Это очень важный шаг для предотвращения отправки писем неавторизованными пользователями с использованием вашего доменного имени.
• Используйте механизм "include": Механизм "include" позволяет включать записи SPF из других доменов. Это может быть полезно, если вы используете стороннего поставщика услуг электронной почты для отправки писем для вашего домена. Вы можете включить их SPF-запись в свою настройку SPF, чтобы убедиться, что электронные письма, отправленные с их серверов, также проходят проверку подлинности.
• Используйте механизм "~all" для тестирования: Механизм "~all" указывает другим почтовым серверам отмечать все письма, пришедшие не с авторизованных IP-адресов, как "мягкие отказы". Это означает, что такие письма все равно будут доставлены, но они будут помечены как подозрительные. Вы можете использовать этот механизм во время тестирования, чтобы убедиться, что ваша запись SPF работает правильно, без немедленного отклонения писем.
• Поддерживайте запись SPF в актуальном состоянии: По мере изменения инфраструктуры электронной почты обязательно обновляйте запись SPF, чтобы отразить эти изменения. Это может включать добавление новых почтовых серверов или удаление старых.

Преимущества оптимизации настроек SPF с помощью PowerDMARC

Лимит DNS-поиска - это ограничение, накладываемое почтовыми серверами. Оно ограничивает количество DNS-запросов, которые могут быть выполнены при проверке SPF-записи электронного письма. Обычно это ограничение составляет 10 DNS-запросов, и если сервер электронной почты превысит этот лимит, SPF может сломаться и вызвать проблемы с доставкой почты.

Сплющивание SPF это техника, используемая для уменьшения количества DNS-запросов, необходимых для проверки SPF-записи электронной почты. Она работает путем объединения нескольких SPF-записей в одну запись, что позволяет сократить количество DNS-запросов, необходимых для проверки подлинности электронной почты.

Вот пример того, как может помочь выравнивание SPF:

Допустим, ваша компания использует несколько сторонних сервисов для отправки электронной почты. Это может быть программное обеспечение для автоматизации маркетинга, система технической поддержки и CRM-инструмент для малого бизнеса. Каждый из этих сервисов будет добавлен в список IP-адресов в вашей записи DNS SPF или в отдельные записи SPF для каждого из этих сервисов, и если вы включите их все в запись SPF вашего домена, это превысит ограничение в 10 DNS-поисков.

Используя сглаживание SPF, вы можете объединить все эти избыточные IP в один. Это означает, что когда почтовый сервер выполняет поиск DNS для проверки вашей SPF-записи, ему нужно выполнить только один или несколько поисков, а не несколько поисков для каждой отдельной SPF-записи и IP-адреса.

Подводя итог 

Настройка SPF - это важный шаг в обеспечении безопасности вашей почтовой системы и предотвращении мошенничества с электронной почтой. Создав SPF-запись и опубликовав ее в конфигурации DNS вашего домена, вы сможете убедиться, что электронные письма, отправленные с вашего домена, проходят проверку подлинности, и предотвратить отправку писем неавторизованными пользователями с использованием вашего доменного имени. Следуя приведенным выше советам, вы сможете создать надежную запись SPF и защитить свою систему электронной почты.

Вопросы и ответы по настройке SPF-записи

Можно ли разделить большой SPF?

Разбивать большую запись SPF на более мелкие не рекомендуется из-за ограничений на количество символов в SPF и дополнительных ограничений на публикацию более одной записи SPF для одного домена. Вместо этого попробуйте применить следующую тактику: 

1. Сделайте запись SPF простой и лаконичной 
2. Используйте меньшее количество включений и объединяйте диапазоны IP-адресов 
3. Использование решений для управления SPF и сторонних служб

Для чего используется запись SPF?

Запись SPF используется для того, чтобы гарантировать, что только авторизованным источникам разрешено отправлять электронные письма от имени вашего домена, ограничивая внешнее воздействие и попытки самозванства. 

Когда вам нужен SPF?

Протокол SPF необходим для проверки подлинности сообщений электронной почты и соответствия последним отраслевым требованиям. Узнайте больше о о важности настройки SPF.

Как оптимизировать запись SPF?

Вы можете оптимизировать SPF-запись вручную, получив доступ к DNS и внеся необходимые изменения. Однако более удобным и простым вариантом является использование сторонних сервисов оптимизации SPF, которые предлагают сглаживание или оптимизацию с помощью макросов для управления записями SPF. 

Как узнать, что SPF-запись установлена?

Вы можете проверить свою SPF-запись с помощью онлайнового инструмент поиска SPF-записей чтобы убедиться, что ваша SPF-запись установлена правильно.

• О сайте
• Последние сообщения

Ахона Рудра

Эксперт по безопасности доменов и электронной почты в PowerDMARC

Аона - менеджер по маркетингу в PowerDMARC, имеет более чем 5-летний опыт написания статей на темы кибербезопасности, специализируясь на безопасности доменов и электронной почты. Ахона получила диплом о высшем образовании по специальности "Журналистика и коммуникации", а с 2019 года начала работать в сфере безопасности.

Последние сообщения Ахона Рудра (см. все)

• Рост числа фишинговых атак с использованием претекстов - 15 января 2025 г.
• DMARC станет обязательным для индустрии платежных карт с 2025 года - 12 января 2025 г.
• Изменения в NCSC Mail Check и их влияние на безопасность электронной почты в государственном секторе Великобритании - 11 января 2025 г.