Kontroler SPF

Rekord SPF określa, które serwery mogą wysyłać wiadomości e-mail w ramach Twojej domeny. Większość tych, które zawiodą, nie zawodzi głośno – zawodzą, cicho przepuszczając wszystkich. Sprawdź kontrolowaną przez siebie domenę i uzyskaj zapis oraz to, co faktycznie instruuje serwer odbierający, co ma zrobić.

Czym jest rekord SPF, w jednym akapicie

Gdy serwer pocztowy odbierze wiadomość rzekomo pochodzącą z Twojej domeny, może zapytać Twoją domenę, które serwery mogą wysyłać w Twoim imieniu. Odpowiedź to rekord TXT w formacieTwój DNS zaczynający się od v=spf1. Jeśli serwer wysyłający znajduje się na tej liście, wiadomość zostaje przekazana. Jeśli tak nie jest, to, co stanie się dalej, zależy całkowicie od tego, jak zakończy się Twoja płyta – i na tym właśnie polega najwięcej problemów.

Sześć powodów, dla których warto sprawdzić własny rekord SPF

Limit dziesięciu wyszukiwań, który cicho bije rekordy

Jest to porażka, której nikt się nie spodziewa, i którą prawie każdy w końcu spotyka.

Kiedy serwer odbierający ocenia Twój rekord SPF, musi to zrobićrozwiąż wszystkie znalezione include:, a, mx, ptr i redirect - a każdy z nich może zawierać więcej tego samego. Standard ogranicza tę wartość do dziesięciu wyszukiwań DNS. Po przekroczeniu tej wartości ocena nie będzie pozytywna ani negatywna; zwraca trwały błąd i większość odbiorników traktuje to jako brak SPF. Rekordy przekraczają go, rosnąc. Tutaj platforma marketingowa, tam helpdesk, dostawca usług płacowych, nowy CRM – każdy dodaje jeden include:, a każdy include: może ukryć w sobie kilka wyszukiwań. Nic Cię nie ostrzega. Rekord nadal wygląda dobrze w Twoim panelu DNS, a dostarczanie zaczyna ucierpieć z powodów, których nikt nie powiązał ze zmianą dokonaną cztery miesiące wcześniej.

Miękki błąd, który nikogo nie upoważnia i niczego nie zatrzymuje

Każdy rekord SPF kończy się rozszerzeniemMechanizm all i postać przed nim decyduje o wszystkim:

Zakończenie	Co mówi odbiorcy
`-all`	Twardy błąd. Ten serwer nie jest autoryzowany. Odrzuć
`~all`	Soft Fail. Ten serwer nie jest autoryzowany, ale mimo to zaakceptuj go i zaznacz
`?all`	Neutralny. Nie mam zdania
`+all`	Każdy jest upoważniony. Nigdy nie poprawiaj

Większość domen kończy się na ~all, co jest właściwym miejscem na rozpoczęcie, ale złym miejscem na pobyt. Oznacza to, że w aktach opisano, kto może wysyłać bez nalegania, i jest to oświadczenie, a nie:obrona.

Dodany przez Ciebie include: jest listą kogoś innego i ulega zmianie

include: nie kopiuje serwerów dostawcy do Twojego rekordu - wskazuje na jego serwer i importuje wszystko, co jest tam w momencie sprawdzania.

Jest to wygodne i oznacza, że część uwierzytelniania Twojej poczty jest obsługiwana przez firmę, nad którą nie masz kontroli. Kiedy dodają infrastrukturę, Twoje dane po cichu obejmują więcej. Kiedy się zrestrukturyzują, liczy się Twoje wyszukiwaniepotrafi skakać. Warto wiedzieć, które z Twoich wpisów include: są duże, bo to one wypchną Cię poza limit.

Domena, która w ogóle nie wysyła poczty

Domena, którą posiadasz, z której nigdy nie wysyłasz wiadomości, jest najłatwiejsza do podszycia, ponieważ nikt nie ogląda odpowiedzi i nikt nie zauważa skarg.

Taka domena powinna nadal posiadać rekord SPF – taki, który niczego nie autoryzuje:

v=spf1 -all

To kompletny, prawidłowy zapis. Mówi: żaden serwer nie ma pozwolenia na wysyłanie w tej domenie. Zaparkowane domeny, stare marki i domeny zakupione w defensywie zasługują na jedno.

Kilka rekordów tam, gdzie powinien być jeden

Domena może mieć dokładnie jeden rekord SPF. Dwa rekordy TXT, oba rozpoczynające się od v=spf1, nie zapewniają dwukrotnie większej ochrony - jest to trwały błąd, a wynik jest taki sam, jak brak rekordu.

Dzieje się tak, gdy kreator konfiguracji drugiego dostawcydodaje własny rekord, zamiast edytować swój. Rozwiązaniem jest połączenie ich w jedno; problem polega na dostrzeżeniu.

Dowód poprawności zapisu na dany dzień

„Mamy skonfigurowany SPF” to stwierdzenie. Opatrzony datą raport przedstawiający dokumentację i obowiązującą w niej politykę stanowi dowód i tego właśnie chce ubezpieczyciel lub kontrola bezpieczeństwa klienta. Budowanie tego rekordu to osobny temat.

Poznaj dzień swojego rekorduzmiany

DNS jest edytowane przez więcej osób niż jakakolwiek inna warstwa, a rekord SPF jest edytowany przez osoby, które najmniej wiedzą o tym zespołowi ds. bezpieczeństwa: marketing dodaje platformę wysyłającą, IT przenosi dostawcę poczty, wykonawca podłączający formularz.

Każda edycja jest niewielka i żadna nie jest sprawdzana. Zaplanowane skanowania sprawiają, że jest to różnica, o której zostajesz poinformowany: ten rekord zyskał wpis, ta zasada została zmieniona z -all z powrotem na ~all. Alerty docierają do aplikacji, pocztą elektroniczną,lub poprzez Slack, Teams, Jira lub webhook.

Krok 01 · Nazwij domenę

Domena, którą kontrolujesz, dodana do Twojego konta AYAsec. Własność jest sprawdzana przed wysłaniem czegokolwiek - AYAsec nie zaplanuje skanowania infrastruktury, nad którą nie wykazałeś kontroli, ani udowadniania, że wymaga to jednego rekordu DNS. Powyższe szybkie sprawdzenie pomija to: brak konta, brak weryfikacji, jedynie ograniczenie szybkości IP i zasada, że celem musi być adres publiczny.

Krok 02 · Niechprzebieg kontroli

Rekordy SPF są publiczne, więc to raczej odczytuje niż sonduje. Sprawdza rekord w taki sam sposób, w jaki zrobiłby to serwer poczty odbierającej.

Krok 03 · Przeczytaj wynik

Wyniki są uporządkowane według ważności i punktowane od A+ do F. Rekord, który upoważnia wszystkich, i miękka porażka nie znajdują się na tej samej niezróżnicowanej liście.

Czego to jest częścią

SPF to jeden z kilku rekordów związanych z pocztą, które AYAsec sprawdza w ramach skanowania DNS, obok DKIM,DMARC, MTA-STS, TLS-RPT i DNSSEC. To jeden skan, a ta strona dotyczy tylko jednej części tego, co przegląda.

DNS przenosi 20% oceny złożonej. Pozostałe to HTTP na poziomie 30%, TLS i porty na poziomie 20% każdy oraz wiarygodność domeny na poziomie 10%. To wszystko razem zarządzanie powierzchnią atakuznaczy w praktyce.

Pytania przed sprawdzeniem

Co mogę sprawdzić?

Infrastruktura, którą posiadasz lub którą masz zleconą do testowania. Powyższa szybka kontrola nie weryfikuje tego za Ciebie - ogranicza jedynie limity szybkości według adresu IP i nie kieruje reklam na nic innego niż adres publiczny. Zamiast tego dodaj domenę do konta AYAsec, a kontrola zostanie zweryfikowana przed uruchomieniem czegokolwiek zaplanowanego: granica prawna, a nie praktyczna, ponieważ niezweryfikowany skan również nie będzie dla Ciebie przydatny jako dowód.

Rekordy SPF są publiczne. Dlaczego to jest potrzebneweryfikacja?

Zapis jest publiczny, a czek jest tylko do odczytu, więc sam czek jest nieszkodliwy. Weryfikacja dotyczy tego, co dzieje się dalej: domena na Twoim koncie AYAsec jest monitorowana, oceniana i zapisywana w Twojej historii, a nic takiego nie powinno być możliwe w przypadku domeny, która nie jest Twoja.

Czy sam filtr SPF wystarczy?

Nie. SPF autoryzuje serwery; nie przetrwa przekazania i nie zawiera żadnej informacji o tym, czy wiadomość została zmieniona. Właśnie toDKIM jest dla, a DMARC jest tym, co łączy te dwie rzeczy i decyduje, co się stanie, gdy zawiodą.

Jak zmieścić się w limicie dziesięciu wyszukiwań?

Zwykle poprzez usunięcie dostawców, których już nie używasz, zastąpienie szerokiego include: konkretnymi mechanizmami, których potrzebujesz, lub spłaszczenie rekordu - samodzielne rozwiązywanie łańcucha i bezpośrednie wyświetlanie adresów. Spłaszczanie działa i wiąże się z kosztami: rekord przestaje być aktualizowany, gdydostawca zmienia swoje serwery, więc należy to ponownie spłaszczyć zgodnie z harmonogramem.

Czy jeden rekord może obejmować subdomeny?

Nie automatycznie. SPF jest sprawdzany w odniesieniu do domeny w nadawcy kopertowym, zatem subdomena wysyłająca pocztę potrzebuje własnego rekordu.

Czy przechowujesz wyniki?

To nie jest szybkie sprawdzenie powyżej – plik żyje w pamięci przez około piętnaście minut, więc możesz go przeczytać raz, a potem już go nie ma. Jest to celowy wybór dotyczący prywatności, a nie ograniczenie: nikt oprócz Ciebie nigdy nie widzi tego skanu i możesz pobrać pełny wynik przed jego wygaśnięciem. Zamiast tego dodaj domenę do konta AYAsec, a każdy skan zostanie zachowany – seria informująca, która edycja go uszkodziła. Przechowywanie zależy od Twojego planu.

Zachowaj historię, nie tylkowynik

Przeprowadź pełną kontrolę DNS we własnych domenach zgodnie z harmonogramem, a każda zmiana zostanie oznaczona każdemu, kto potrzebuje ją zobaczyć.

Rozpocznij skanowanie za darmo Porównaj plany

Pozostałe warcaby

– Weryfikator DMARC – co dzieje się z pocztą, która nie przeszła kontroli?

View all free security scanners

Kontrola bezpieczeństwa DNS

DNSSEC, serwery nazw i same rekordy

Wszystkie cztery skanery

porty, TLS, HTTP i DNS

Uporządkowane dane do osadzenia

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec SPF Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/spf-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Nie dodawaj znaczników FAQPage ani HowTo – Google wycofał oba typy wyników.