Questo generatore di record SPF assembla un record Sender Policy Framework valido a partire dai mittenti che seleziona, poi le consegna un'unica riga da pubblicare nel DNS. Sapere cosa contiene quella riga rende molto più facile mantenerlo e configurare un record SPF correttamente, quindi ecco cosa sta costruendo il generatore e perché ogni parte è importante.
L'anatomia di un record SPF
Ogni record SPF segue una rigorosa sintassi del record SPF: un unico record DNS TXT composto da tre parti - un tag di versione, uno o più meccanismi e un qualificatore di chiusura. Un record completo si presenta così:
v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Il tag v=spf1 identifica la voce come SPF e deve venire per primo: un record che inizia con qualcos'altro viene ignorato. Ogni meccanismo al centro autorizza un gruppo di mittenti, e il finale -all indica ai riceventi come trattare ogni mittente non corrispondente. Il generatore li emette sempre nell'ordine corretto, perché un record senza un v=spf1 iniziale o un qualificatore all di chiusura è considerato non valido.
I meccanismi che può aggiungere
Ogni riga che aggiunge al generatore diventa uno di questi meccanismi:
include:- autorizza i mittenti di un altro dominio (è così che aggiunge Google Workspace, Microsoft 365, SendGrid e la maggior parte dei provider SaaS). Ogni include costa almeno una ricerca DNS, e spesso di più, perché può incorporare ulteriori include.ip4:eip6:- autorizzano direttamente un indirizzo IP o un intervallo CIDR specifico. Costano zero ricerche DNS, il che li rende il modo più economico per aggiungere un server di posta noto.aemx- autorizzano gli host nei record A o MX del suo dominio. Ciascuno costa una ricerca.all- il catch-all che deve venire per ultimo, abbinato a un qualificatore che imposta il suo criterio.
Scegliere il suo criterio: -all, ~all o ?all
Il qualificatore davanti a all decide cosa fanno i riceventi con la posta non autorizzata da alcun altro meccanismo:
-all(hardfail) - rifiuta in modo netto la posta non autorizzata. È l'obiettivo una volta che ogni mittente legittimo è nel record.~all(softfail) - accetta ma contrassegna la posta non autorizzata come sospetta. Lo usi mentre distribuisce SPF e conferma che nulla di legittimo venga tralasciato.?all(neutral) - non fa alcuna asserzione. Non offre protezione ed è raramente la scelta giusta.
Un rilascio sicuro consiste nel generare con ~all, osservare i rapporti per una o due settimane, poi rigenerare con -all una volta sicuro. Eviti del tutto +all: autorizza l'intera Internet a inviare a nome del suo dominio.
Errori comuni che il generatore previene
- Più di un record SPF. Un dominio può pubblicare un solo record TXT
v=spf1; un secondo rende entrambi non validi. Combini ogni mittente nell'unico record che il generatore produce. - Superamento del limite di 10 ricerche. Aggiungere troppi meccanismi
include:la spinge oltre il tetto e innesca un PermError. Il contatore in tempo reale lo segnala prima che pubblichi. - Uso di
ptr. Il meccanismoptrè deprecato e lento; il generatore si affida invece ainclude,ip4eip6. - Assenza del qualificatore
allo divisione di una stringa oltre il limite TXT di 255 caratteri - entrambi rompono silenziosamente il record.
Restare sotto il limite di 10 ricerche DNS
La specifica SPF limita le ricerche DNS a dieci per valutazione (RFC 7208, sezione 4.6.4). Ogni meccanismo include, a, mx ed exists conta, e gli include annidati contano ricorsivamente, quindi una manciata di provider SaaS può superare silenziosamente dieci. Quando il suo record generato è oltre il limite (o vicino), AutoSPF appiattisce gli include in un record compatto e riesamina ogni 15 minuti, mantenendola sotto il tetto senza perdere alcun mittente autorizzato. Veda troppe ricerche DNS per la spiegazione completa.
SPF, DKIM e DMARC lavorano insieme
Un record SPF generato è uno di tre standard di autenticazione e-mail. SPF verifica il server mittente, DKIM firma il messaggio così i riceventi possono provare che non è stato alterato e DMARC li unisce e indica ai riceventi cosa fare in caso di fallimento. Gmail, Yahoo e Microsoft ora richiedono tutti e tre ai mittenti in blocco, quindi abbini questo generatore al DMARC checker e al DKIM lookup gratuiti per una copertura completa.
Pubblichi, poi verifichi
Una volta generato il record, lo pubblichi come record TXT sull'apex del suo dominio (host @), attenda la propagazione DNS - di solito da 5 a 60 minuti - poi lo confermi con l'SPF checker gratuito o cerchi il suo record SPF per assicurarsi che si risolva e resti sotto le dieci ricerche. Ricordi che i sottodomini non ereditano il record SPF del dominio principale: ogni sottodominio che invia posta necessita del proprio record, che può costruire nello stesso modo.