Sprawdzanie rekordu SPF: kto może wysyłać e-maile w imieniu tej domeny?

SPF to rekord DNS, w którym domena wymienia serwery uprawnione do wysyłania jej poczty. Bez niego albo z rekordem uszkodzonym lub zbyt otwartym łatwiej wysyłać fałszywe e-maile w imieniu tej domeny. Wpisz domenę, adres e-mail lub link, a odczytamy jej SPF i go wyjaśnimy.

Dodaj jako preferowane źródło Pobierz zGoogle Play Pobierz zApp Store

Jak z tego korzystać

Wpisz domenę, którą chcesz sprawdzić, albo wklej adres e-mail lub link: używamy tylko jego domeny.
Naciśnij „Sprawdź SPF”. Odczytujemy rekord SPF i podążamy za każdym include, tak jak zrobiłby to serwer odbierający pocztę.
Zwróć uwagę na to, jak kończy się rekord, i na liczbę zapytań: chcesz zobaczyć „-all” lub „~all” i najwyżej 10 zapytań.

Co oznacza każdy wynik

Ta domena nie ma SPF: Nie określa, które serwery mogą wysyłać jej pocztę, więc łatwiej się pod nią podszyć. Jeśli to twoja domena, opublikuj rekord SPF.
Rekord SPF zawiera błędy: Serwery odbierające pocztę nie mogą go zastosować, więc dla nich domena nie ma SPF. Sygnały poniżej mówią, co jest nie tak.
Każdy może wysyłać e-maile w imieniu tej domeny: Rekord kończy się na „+all”, co upoważnia każdy serwer na świecie. Przy takiej konfiguracji SPF niczego nie chroni.
SPF nie chroni domeny w pełni: Rekord nie mówi, co robić z serwerami spoza jego listy, więc fałszywa poczta w imieniu domeny nie jest oznaczana.
SPF jest poprawnie skonfigurowany: Domena wymienia serwery, które mogą wysyłać jej pocztę, i prosi odbiorców o oznaczanie lub odrzucanie pozostałych. Sam SPF nie powstrzymuje podszywania się: to DMARC mówi odbiorcom, co robić.

Co oznacza każdy sygnał

Domena nie publikuje rekordu SPF.
Domena (ta lub dołączona) publikuje więcej niż jeden rekord SPF. Dozwolony jest tylko jeden, więc odbiorcy traktują to jako błąd.
Rekord zawiera błędnie zapisany element, więc odbiorcy traktują go jako błędny.
Rekord wymaga ponad 10 zapytań DNS, licząc wszystkie jego include. Powyżej 10 odbiorcy traktują go jako błędny.
Jeden z include wskazuje domenę bez rekordu SPF, więc odbiorcy traktują rekord jako błędny.
Include tworzą pętlę: domena w końcu dołącza samą siebie.
Kończy się na „+all”: każdy serwer na świecie może wysyłać e-maile w imieniu tej domeny.
Kończy się na „?all”: nic nie mówi o serwerach spoza listy, więc nie chroni.
Kończy się na „~all”: poczta z innych serwerów jest oznaczana jako podejrzana, ale nie jest odrzucana. To najczęstsze ustawienie.
Nie ma „all” na końcu, więc serwery spoza listy dostają wynik neutralny i żadnej ochrony.
Używa „ptr”, powolnego mechanizmu, który standard odradza. Wielu odbiorców go pomija.
Używa makr (elementów z %), które zmieniają się z każdą wiadomością, więc nie możemy prześledzić tej części, a rzeczywista liczba zapytań może być wyższa.

Jakie kraje obejmuje

Działa z domenami z każdego kraju. Odczytujemy rekord tak jak serwery odbierające pocztę (RFC 7208): jego mechanizmy, zakończenie, każdy include i redirect do 30 zapytań oraz liczbę zapytań DNS wobec limitu 10.

Odczytujemy publiczne rekordy DNS domeny. Jeśli wpiszesz adres e-mail lub link, z twojej przeglądarki wychodzi tylko jego domena. Sprawdzana domena nie jest zapisywana.

Najczęściej zadawane pytania

Co to jest SPF?

Sender Policy Framework: rekord DNS, w którym domena wymienia serwery uprawnione do wysyłania jej poczty. Serwer, który odbiera wiadomość, sprawdza, czy serwer, który ją dostarczył, jest na tej liście.

Co jest lepsze: „-all” czy „~all”?

„-all” prosi odbiorców o odrzucanie poczty z serwerów spoza listy; „~all” prosi o oznaczanie jej jako podejrzanej. Oba chronią, a wiele domen używa „~all” i pozwala DMARC zdecydować, co zrobić. „+all” i „?all” nie chronią.

Dlaczego limit 10 zapytań jest ważny?

Każdy include, a, mx, ptr, exists i redirect zmusza serwer odbierający pocztę do zapytania DNS. Jeśli cały rekord potrzebuje ich ponad 10, jest traktowany jako błędny i SPF przestaje działać. Usuń usługi, z których już nie korzystasz, albo poproś dostawcę o prostszy include.

Czy SPF sam powstrzymuje fałszywe e-maile?

Nie. SPF sprawdza ukrytego nadawcę z koperty, a nie adres, który widzisz w polu „Od”. To DMARC łączy jedno z drugim i prosi odbiorców o kwarantannę lub odrzucenie poczty, która nie przejdzie weryfikacji. Sprawdź też DMARC domeny.