Kontrola záznamu SPF: kdo smí posílat e-maily jménem této domény?
SPF je záznam DNS, ve kterém doména uvádí servery oprávněné posílat její e-maily. Bez něj, nebo když je poškozený či příliš otevřený, je snazší posílat jménem domény falešné e-maily. Zadejte doménu, e-mailovou adresu nebo odkaz a my její SPF přečteme a vysvětlíme.
Jak na to
- Zadejte doménu, kterou chcete zkontrolovat, nebo vložte e-mailovou adresu či odkaz: použijeme jen jeho doménu.
- Stiskněte „Zkontrolovat SPF“. Přečteme záznam SPF a projdeme každý include, stejně jako by to udělal přijímající server.
- Podívejte se, jak záznam končí a kolik dotazů potřebuje: chcete vidět „-all“ nebo „~all“ a nejvýše 10 dotazů.
Co znamená každý výsledek
- Tato doména nemá SPF
- Neuvádí, které servery smějí posílat její e-maily, takže je snazší se za ni vydávat. Pokud je to vaše doména, zveřejněte záznam SPF.
- Záznam SPF obsahuje chyby
- Přijímající servery ho nemohou použít, takže pro ně doména SPF nemá. Signály níže ukazují, co je špatně.
- Jménem této domény může posílat e-maily kdokoli
- Záznam končí na „+all“, což opravňuje každý server na světě. Takto nastavené SPF nechrání vůbec nic.
- SPF doménu plně nechrání
- Záznam neříká, co dělat se servery, které nejsou na jeho seznamu, takže falešné e-maily jménem domény se neoznačí.
- SPF je nastavené správně
- Doména uvádí servery, které smějí posílat její e-maily, a žádá příjemce, aby ostatní označili nebo odmítli. Samotné SPF vydávání se za doménu nezastaví: co dělat, říká příjemcům DMARC.
Co znamená každý signál
- Doména nezveřejňuje žádný záznam SPF.
- Doména (tato nebo zahrnutá) zveřejňuje víc než jeden záznam SPF. Povolený je jen jeden, takže to příjemci považují za chybu.
- Záznam obsahuje špatně zapsaný výraz, takže ho příjemci považují za chybný.
- Záznam potřebuje víc než 10 dotazů DNS včetně všech svých include. Nad 10 ho příjemci považují za chybný.
- Jeden include odkazuje na doménu bez záznamu SPF, takže příjemci považují záznam za chybný.
- Include tvoří smyčku: doména nakonec zahrnuje sama sebe.
- Končí na „+all“: jménem této domény smí posílat e-maily jakýkoli server na světě.
- Končí na „?all“: o serverech mimo seznam nic neříká, takže nechrání.
- Končí na „~all“: e-maily z jiných serverů se označí jako podezřelé, ale neodmítnou se. Je to nejběžnější nastavení.
- Na konci nemá „all“, takže servery mimo seznam dostanou neutrální výsledek a žádnou ochranu.
- Používá „ptr“, pomalý mechanismus, který standard nedoporučuje. Mnoho příjemců ho přeskakuje.
- Používá makra (výrazy se znakem %), která se mění s každou zprávou, takže tuto část nemůžeme projít a skutečný počet dotazů může být vyšší.
Související nástroje
Které země pokrývá
Funguje s doménami z jakékoli země. Záznam čteme stejně jako přijímající servery (RFC 7208): jeho mechanismy, jak končí, každý include a redirect až do 30 dotazů a počet dotazů DNS vzhledem k limitu 10.
Čteme veřejné záznamy DNS domény. Pokud zadáte e-mailovou adresu nebo odkaz, z vašeho prohlížeče odejde jen jeho doména. Doménu, kterou vyhledáváte, neukládáme.
Časté dotazy
Co je SPF?
Sender Policy Framework: záznam DNS, ve kterém doména uvádí servery oprávněné posílat její e-maily. Server, který zprávu přijímá, ověří, zda je server, který ji doručil, na tomto seznamu.
Co je lepší, „-all“, nebo „~all“?
„-all“ žádá příjemce, aby e-maily ze serverů mimo seznam odmítli; „~all“ žádá, aby je označili jako podezřelé. Obojí chrání a mnoho domén používá „~all“ a rozhodnutí nechává na DMARC. „+all“ a „?all“ nechrání.
Proč je limit 10 dotazů důležitý?
Každý include, a, mx, ptr, exists a redirect donutí přijímající server poslat dotaz do DNS. Pokud celý záznam potřebuje víc než 10, považuje se za chybný a SPF přestane fungovat. Odeberte služby, které už nepoužíváte, nebo požádejte poskytovatele o jednodušší include.
Zastaví SPF samo falešné e-maily?
Ne. SPF kontroluje skrytého odesílatele z obálky, ne adresu, kterou vidíte v poli „Od“. Teprve DMARC obojí propojí a žádá příjemce, aby e-maily, které kontrolou neprojdou, dali do karantény nebo odmítli. Zkontrolujte i DMARC domény.