Исправьте пермеррор SPF: Преодолеть ограничение SPF Too Many DNS Lookups Limit

SPF (Sender Policy Framework) - это протокол аутентификации электронной почты, который проверяет ваших отправителей, чтобы подтвердить их легитимность. Без записей SPF любой может отправлять электронные письма от имени вашего домена! Протокол действует как контрольная точка безопасности, проверяя, разрешили ли вы отправителю отправлять письма с вашего домена, или же кто-то пытается использовать ваше доменное имя не по назначению. 

Однако SPF не совершенен! SPF поставляется с набором правил и ограничений, соблюдение которых может сделать или сломать ваш SPF-протокол! Одно из них - ограничение на 10 DNS-поисков, которое ограничивает количество разрешенных SPF-поисков до 10 за сеанс аутентификации. Несоблюдение этого правила приводит к постоянным ошибкам SPF - более известным как SPF Permerror.

Что такое SPF Permerror?

Ошибка SPF PermError (постоянная ошибка) возникает при наличии критической проблемы с записью Sender Policy Framework (SPF), которая не позволяет правильно ее оценить. Эта ошибка обычно означает, что запись SPF недействительна или неправильно настроена. В отличие от SPF 'fail' (временный сбой авторизации), Permerror указывает на постоянную неправильную конфигурацию.

Ошибка SPF может негативно повлиять на доставляемость электронной почты, что приведет к отклонениям и спаму. Она также может снизить эффективность DMARC, если вы полагались исключительно на SPF при настройке DMARC.

Упростите пермерор SPF с помощью PowerDMARC!

В чем разница между SPF fail и Permerror?

Разница между SPF fail и Permerror заключается в ошибках, возникающих во время SPF-аутентификации:

1. Отказ SPF: Когда почтовый сервер проверяет SPF-запись домена отправителя и определяет, что сервер-отправитель не уполномочен отправлять электронные письма от имени этого домена, это приводит к отказ SPF.

Тип ошибки: Временная ошибка

Причина: IP-адрес или домен отправителя не указан в записи SPF.

Пример сценария: Неавторизованная третья сторона пытается отправлять электронные письма от имени вашего домена.

Возможные исправления: Убедитесь, что IP-адрес сервера-отправителя включен в запись SPF.

2. SPF Permerror: SPF Permerror, сокращение от SPF permanent error, возникает при наличии критической проблемы с SPF-записью, которая не позволяет правильно ее оценить. Ошибка Permerror указывает на то, что запись SPF не может быть обработана точно, что не позволяет определить, авторизован ли сервер-отправитель или нет.

Тип ошибки: Постоянная ошибка

Причины: Синтаксические ошибки, слишком много обращений к DNS, несколько записей SPF.

Пример сценария: Превышение лимита в 10 DNS-поисков для SPF.

Возможные исправления: Использование SPF-макросов в записях или службы SPF Flattening.

Что вызывает пермерор SPF?

Ошибки SPF Permerror могут быть вызваны различными факторами, такими как слишком большое количество DNS-поисков, превышающих лимит SPF, синтаксические ошибки и проблемы с конфигурацией. Давайте разберемся, что это такое: 

1. Ошибки синтаксиса SPF

Неправильное форматирование или синтаксис в записи SPF могут вызвать пермеррор. Отсутствующие или неправильно расставленные символы, такие как кавычки или двоеточия, могут привести к проблемам разбора. Эти ошибки могут возникать по следующим причинам:

• Пропущенные или неправильно расставленные символы, такие как кавычки ("") и двоеточия (:)
• Неправильно отформатированные механизмы или классификаторы
• Недопустимые макроопределения

Примеры:

Недостающие двоеточия: v=spf1 include_spf.example.com -all

Ошибочные квалификаторы: v=spf1 +mx a:mail.example.com -all

2. Проблемы с конфигурацией DNS

Проблемы с настройкой DNS связаны с проблемами, связанными с настройкой системы доменных имен (DNS) для записей SPF. К таким проблемам можно отнести:

• Неправильная или неполная настройка DNS для домена или связанных с ним записей SPF.
• Неправильное расположение SPF-записей, например, указание на несуществующие или неправильные записи DNS.

Пример:

Неправильная или неполная конфигурация DNS, неверное расположение записи SPF или неправильная ассоциация с соответствующим доменом могут привести к сбоям в оценке.

3. Слишком много обращений к DNS

Ограничения на поиск DNS - это ограничения, накладываемые спецификациями SPF для предотвращения чрезмерных DNS-запросов во время оценки SPF. К таким ограничениям относятся:

• При оценке SPF допускается не более 10 DNS-поисков.
• При оценке SPF допускается максимум 2 поиска "пустоты".

Превышение этих пределов приводит к пермерору.

Пример:

Запись SPF, включающая несколько механизмов включения, что приводит к более чем 10 поискам DNS.

Негабаритные записи SPF

Чрезмерно большие записи SPF возникают, когда размер записи SPF превышает ограничения, установленные IETF, как указано в документах RFC. Записи SPF ограничены 255 символами в строке, в то время как записи TXT допускают до 512 байт. Причинами чрезмерного размера записей SPF являются:

• Включение многочисленных механизмов, уточнений или модификаторов, что приводит к чрезмерному количеству символов.
• Избыточные или ненужные записи в SPF-записи, увеличивающие ее размер.

Пример:

Одна запись SPF с широким включением IP-адресов, сетей или сторонних сервисов.

Что такое ограничение на 10 DNS-поисков?

Ограничение на 10 DNS-поисков - это ограничение, наложенное на записи Sender Policy Framework (SPF), которое означает, что когда почтовый сервер получает входящее письмо, он может выполнить не более 10 DNS-поисков, чтобы получить SPF-записи, связанные с доменом отправителя.

Это ограничение помогает предотвратить чрезмерные DNS-запросы и потенциальные проблемы с производительностью при доставке электронной почты. Если SPF-запись домена превышает лимит в 10 DNS-запросов, некоторые почтовые серверы могут считать SPF-запись недействительной или вообще отклонить письмо. Поэтому очень важно тщательно управлять и оптимизировать количество DNS-запросов в записи SPF для обеспечения надлежащей доставки электронной почты и проверки SPF.

Почему RFC определяет такой строгий лимит SPF DNS-поиска для доменов?

Хотя ограничение SPF-записи может показаться довольно нежелательным ограничением SPF, это не обязательно так. Ограничение SPF на DNS-поиск было введено для блокирования атак типа "отказ в обслуживании" (как указано в RFC 7208).

Например, злоумышленник создает SPF-запись на поддельном домене со ссылкой на легитимный корпоративный домен, чтобы массово отправлять электронные письма на различные серверы-получатели. Ограничение в 10 запросов не позволяет злоумышленникам перегружать получателей рекурсивными DNS-запросами (например, вредоносная SPF-запись заставляет выполнять 100+ запросов на одно письмо).

Как влияет большое количество DNS-поисков на вашу электронную почту?

Если в записи SPF задействовано слишком много DNS-запросов, это может оказать беспрецедентное влияние на вашу электронную почту. Слишком большое количество DNS-записей может привести к несоответствиям в доставке и спровоцировать SPF Permerror. 

1. Может привести к задержке доставки

Чрезмерный поиск в DNS может увеличить время обработки записей SPF. Это может привести к задержкам в доставке электронной почты, поскольку серверу-получателю приходится ждать ответов от нескольких DNS-серверов.

2. Может привести к ошибкам тайм-аута 

Поиск DNS включает в себя обмен данными между принимающим сервером и серверами DNS. Слишком большое количество DNS-поисков увеличивает вероятность ошибок тайм-аута, что приводит к сбоям в оценке SPF или затягиванию времени доставки.

3. Может повышать риск пермеррора SPF

Если SPF-запись превышает эти пределы поиска, это может вызвать Permerror, указывающий на то, что SPF-запись не может быть обработана точно. Письмо может быть помечено как подозрительное или потенциально отклоненное.

4. Может привести к неполной оценке SPF

Если принимающий сервер сталкивается с ошибкой ограничения поиска DNS или таймаута из-за слишком большого количества DNS-поисков SPF, он может преждевременно прекратить оценку SPF. 

Как исправить ошибку SPF и преодолеть ограничение на 10 DNS-поисков?

Чтобы решить проблему SPF Permerror, обеспечьте эффективное использование поисковых запросов с помощью SPF flattening, чтобы оптимизировать запись SPF и не превышать лимит в 10 DNS-поисков во время проверок.

1. Исправление пермеррора путем ручного уменьшения количества просмотров

Вы можете заменить механизмы SPF "include" и/или "redirect" на IP-адреса. Хотя это и исправит ошибку SPF Permerror, это не идеальное решение. Это связано с тем, что длина записи после добавления длинного списка IP-адресов может превысить лимит символов и вызвать дополнительные ошибки. 

Например, рассмотрим следующую запись SPF с несколькими механизмами "include":

v=spf1 include:_spf.example.com include:_spf.anotherexample.com -all

Чтобы сократить количество DNS-поисков, можно заменить механизмы "include" на IP-адреса:

v=spf1 ip4:192.0.2.1 ip4:203.0.113.5 -all

В этом примере домены _spf.example.com и _spf.anotherexample.com заменены на соответствующие им IP-адреса (192.0.2.1 и 203.0.113.5 соответственно).

Хотя такое ручное сокращение DNS-поиска может смягчить последствия SPF Permerror, необходимо учитывать возможные ограничения. Одним из них является ограничение на количество символов в записях SPF. Добавление длинного списка IP-адресов может превысить этот лимит, что приведет к дополнительным ошибкам. Поэтому необходимо тщательное планирование и оптимизация, чтобы запись SPF не выходила за рамки допустимого количества символов.

Внимание: Ручная замена 'include' на IP-адреса является нестабильной - сторонние IP-адреса часто меняются!

2. Исправление пермеррора с помощью автоматического средства оптимизации SPF

Более эффективным способом избежать ошибок SPF является развертывание сглаживание SPF или, что еще лучше, макросы SPF. PowerSPF - это решение, которое включает в себя автоматическую, без лишних хлопот, хостинговую службу. Это не только гарантирует, что вы не превысите лимит в 10 DNS-поисков, но и позволит вам быть в курсе всех изменений, вносимых поставщиками услуг электронной почты и поставщиками, которые часто добавляют или меняют свои IP-адреса.

Что еще лучше, так это то, что это занимает не более нескольких кликов! Ниже показаны шаги по использованию инструмента: 

1. Зарегистрируйтесь на PowerDMARC бесплатно

2. Перейдите в раздел Hosted Services > PowerSPF

3. Создайте запись SPF, следуя инструкциям, предоставленным инструментом

4. Нажмите, чтобы включить кнопку PowerSPF

5. Опубликуйте пользовательскую SPF-запись PowerSPF в DNS, после чего статус "ожидает" перейдет в статус "включен".

И все готово! Это самый быстрый, простой и эффективный способ предотвращения SPF-перверсий. PowerSPF автоматизирует сплющивание, обеспечивая соответствие требованиям и автоматическое обновление при смене IP-адресов поставщиков.

Передовые стратегии оптимизации SPF

Сплющивание SPF это процесс преобразования множества операторов "include" и других поисковых запросов на основе DNS в упрощенный список IP-адресов. Такой подход позволяет сократить количество DNS-запросов при оценке SPF.

Преимущества и недостатки SPF Flattening

1. Удаление недействительных или неиспользуемых ссылок на домены

Каждое утверждение include в записи SPF запускает отдельный поиск DNS. Если домен больше не актуален (например, старый почтовый провайдер, который больше не используется), сохранение его оператора include приводит к ненужным поискам, что может вызвать сбои в проверке SPF. Удаление этих утверждений оптимизирует запись и повышает эффективность.

Шаги по выявлению и удалению недействительных или неиспользуемых доменов

1. Просмотрите свою запись SPF и перечислите все включающие утверждения, а также ссылки на домены.
2. Теперь проверьте активное использование, определив, какие домены все еще используются для исходящей электронной почты.
3. Использование инструментов поиска SPF, таких как PowerDMARC's программа проверки SPF могут помочь проверить, является ли включенный домен все еще действительным.
4. Обратитесь к поставщику электронной почты, чтобы уточнить, какие механизмы включения требуются для текущих почтовых служб.
5. Наконец, удалите неиспользуемые утверждения include и проверьте запись SPF еще раз, чтобы убедиться в ее правильности.

2. Избегание механизма SPF "ptr"

Механизм ptr в SPF проверяет, разрешается ли IP-адрес в доменное имя, совпадающее с доменом отправителя. Однако у этого подхода есть несколько недостатков. Начнем с того, что включение тега PTR может замедлить процесс проверки подлинности SPF, поскольку обратный поиск DNS (запросы PTR) занимает много времени. Это также довольно ненадежно, поскольку не все отправители электронной почты имеют правильно настроенные PTR-записи. И самое главное, IETF отказалась от этого механизма, не рекомендуя использовать его из-за рисков безопасности и неэффективности.

3. Устранение избыточных механизмов

Многие записи SPF содержат дублирующие или пересекающиеся механизмы, например, несколько утверждений include для одного и того же домена. Такая избыточность увеличивает сложность SPF и приводит к трате ценных DNS-поисков. Обойти эту проблему можно следующим образом: 

• Выявление дубликатов и удаление лишних механизмов.
• Консолидируйте и объединяйте включения, если несколько из них указывают на один и тот же домен.
• Избегайте чрезмерного использования механизмов "a" и "mx" и применяйте их только в случае необходимости.
• Наконец, всегда проверяйте SPF-запись на валидность и убедитесь, что ваши источники рассылки актуальны. 

4. Использование механизмов ip4 и ip6 

В отличие от механизмов include, которые требуют дополнительных DNS-запросов, механизмы ip4 и ip6 указывают IP-адреса непосредственно в SPF-записи. Это избавляет от лишних DNS-запросов и обеспечивает более быструю аутентификацию.

Исправление ошибок SPF для повышения эффективности доставки электронной почты

Исправление ошибок SPF имеет огромное значение по нескольким причинам. Это существенно влияет на доставляемость электронной почты, поскольку ошибки SPF могут привести к тому, что легитимные письма будут помечены как спам или отклонены принимающими почтовыми серверами, что снизит вероятность их попадания в почтовые ящики получателей. Кроме того, SPF служит важным механизмом аутентификации отправителя, позволяя получателям электронной почты проверять легитимность домена отправителя. 

Устраняя ошибки SPF, вы обеспечиваете надлежащую проверку подлинности ваших законных электронных писем, снижая риск использования вашего домена для подделки электронной почты или фишинговых атак. Устранение ошибок SPF помогает защитить репутацию вашего бренда, поскольку постоянные сбои в доставке и пометки "спам" могут повредить восприятию надежности и доверия к вашему бренду.

• О сайте
• Последние сообщения

Майтхам аль-Лоуати

Эксперт по кибербезопасности, генеральный директор PowerDMARC

Майтем - технологический предприниматель, эксперт по кибербезопасности, генеральный директор и основатель PowerDMARC с 15-летним опытом работы в отрасли. Майтем получил степень Global MBA в Манчестерском университете и различные профессиональные сертификаты, включая CISSP, CISM, CRISC и ISC2 CCSP.

Последние сообщения Maitham Al Lawati (см. все)

• Как создать и опубликовать запись DMARC - 3 марта 2025 г.
• Как исправить "Запись SPF не найдена" в 2025 году - 21 января 2025 г.
• Как читать отчет DMARC - 19 января 2025 г.