Analizzi qualsiasi dominio con questo SPF checker e recupera il record in tempo reale, espande ogni meccanismo e le mostra l'elenco completo degli indirizzi IP a cui il suo dominio attualmente concede di inviare posta. Qualsiasi cosa fuori da quell'elenco è ciò che i server riceventi contesteranno o rifiuteranno. Se è nuovo al concetto, inizi da cos'è una ricerca SPF e perché è importante.
Che aspetto ha un record SPF
Un record SPF è un'unica voce TXT pubblicata nei suoi record DNS che indica ai riceventi quali server di posta possono inviare messaggi a nome del suo dominio. Un record tipico si presenta così:
v=spf1 include:_spf.google.com ip4:192.0.2.0/24 -all
Ogni parte è un meccanismo. Il meccanismo include: incorpora i mittenti autorizzati di un altro dominio, ip4: autorizza un indirizzo IP o un intervallo di IP specifico e il finale -all rifiuta ogni altro mittente. Quando esegue questo SPF checker, espande ciascun meccanismo, valida la sintassi rispetto alla specifica Sender Policy Framework (SPF) (RFC 7208) ed elenca ogni indirizzo IP che il suo dominio attualmente autorizza.
Errori SPF comuni e cosa significano
Quando il verificatore analizza il suo record, il risultato si risolve in uno di diversi esiti SPF. Gli errori che vale la pena riconoscere:
- PermError (mostrato come
PermErrornell'output dello strumento) - un fallimento permanente nel record stesso. Quasi sempre un errore di sintassi o un record che supera il limite di ricerche DNS. I riceventi trattano il record come se non esistesse. Corregga la sintassi o riduca gli include annidati per eliminarlo. - TempError (
TempError) - un problema temporaneo di risoluzione DNS, spesso un nameserver lento o irraggiungibile. Riprovi tra qualche minuto; se persiste, verifichi il suo provider DNS. - softfail (il qualificatore
~all) - il mittente non è autorizzato, ma i riceventi dovrebbero accettare il messaggio e contrassegnarlo come sospetto. Comune nelle configurazioni transitorie prima di passare all'hardfail. - hardfail (il qualificatore
-all) - il mittente non è autorizzato, quindi i riceventi rifiutano il messaggio in modo netto. È l'impostazione desiderata una volta che ogni mittente legittimo è stato conteggiato. - none - il dominio non pubblica alcun record SPF, quindi i riceventi non hanno nulla con cui verificare il mittente e spesso trattano la posta come non affidabile.
- neutral (il qualificatore
?all) - il dominio dichiara esplicitamente di non asserire l'autorizzazione. Trattato in modo simile a none.
Ogni esito corrisponde a una correzione diversa. Errori di sintassi, record TXT mancanti e mittenti non autorizzati emergono nel verificatore come categorie di errore distinte, così può intervenire senza scavare tra le risposte DNS grezze.
Come funziona SPF con DKIM e DMARC
SPF è uno dei tre standard di autenticazione e-mail che funzionano insieme, quindi un controllo SPF raramente racconta l'intera storia da solo. SPF verifica il server mittente, DKIM aggiunge una firma crittografica che prova che il messaggio non è stato alterato in transito e DMARC unisce i due: verifica che SPF o DKIM si allinei con il dominio dell'indirizzo "From" visibile e indica ai riceventi cosa fare quando l'autenticazione fallisce. Gmail, Yahoo e Microsoft ora richiedono tutti e tre ai mittenti in blocco, quindi un record SPF superato è la base su cui poggia il resto della sua autenticazione e-mail, e la sua difesa contro spoofing e frodi via e-mail.
Quando risolve un problema che questo SPF checker rivela, ricontrolli DKIM e DMARC allo stesso tempo. Un record SPF tecnicamente valido ma non allineato con il suo criterio DMARC può comunque fallire, e inasprire lo SPF a -all prima che gli altri mittenti siano coperti bloccherà posta legittima.
Il limite di 10 ricerche DNS
include, a, mx, ptr ed exists conta ai fini del limite di 10 ricerche DNS. Se lo supera, il record fallisce con PermError.La specifica Sender Policy Framework limita le ricerche DNS a dieci per valutazione (RFC 7208, sezione 4.6.4). Ogni meccanismo include:, a, mx, ptr ed exists conta ai fini del limite, e gli include annidati contano ricorsivamente. Quando il suo record supera il limite di 10 ricerche DNS, i riceventi restituiscono PermError e i suoi messaggi possono finire nello spam a prescindere da quanto sia corretto il resto del record: ogni indirizzo IP elencato diventa irrilevante nel momento in cui il limite di ricerche supera dieci.
Il verificatore conta ogni ricerca che il suo record innesca, comprese quelle nascoste all'interno delle direttive include: di terze parti. Se è oltre dieci - o vicino - AutoSPF può appiattire il suo record SPF automaticamente, preservando gli indirizzi IP autorizzati e collassando le ricerche annidate in un unico record SPF valido.
Quando eseguire un controllo SPF
Esegua un controllo SPF ogni volta che aggiunge o rimuove un provider e-mail, migra piattaforme o nota messaggi che finiscono nello spam: questi controlli del record SPF sono ordinaria manutenzione, quindi verifichi il suo record almeno una volta a trimestre. Ogni volta che cambia chi invia posta per il suo dominio, una ricerca SPF conferma che il record si risolve ancora, resta sotto il limite di 10 ricerche ed elenca solo i server di cui si fida. Strumenti come questo trasformano tutto ciò in un controllo di 10 secondi invece di una sessione manuale di dig, e si abbinano bene a un DMARC checker e a un DKIM lookup per una visione completa della sua autenticazione e-mail. Controlli anche i suoi sottodomini separatamente: un sottodominio non eredita il record SPF del dominio principale, quindi ogni sottodominio che invia posta necessita del proprio.